サードパーティのサイバーセキュリティを効果的に実現するためのシスコの5つのステップ

自分のビジネスの壁の中でサイバーセキュリティを強化するのは十分に難しいことです。しかし、グローバルなサプライチェーンを構成するパートナーの軍隊に対しても同じことをしているのでしょうか。それはほぼ不可能かもしれません。

大手企業のサプライチェーンに対する別のサイバー攻撃のニュースがなければ、1週間はほとんど過ぎません。そして、多くの場合、侵入の経路は、制御が弱いサードパーティです。

現代のサプライチェーンでは、サードパーティは、部品、製品、サービス、サポート、ソフトウェアを販売する任意のエンティティである可能性があります。リストは続きます。シスコシステムズのグローバルバリューチェーンの最高セキュリティ責任者であるEdnaConwayは、次のように述べています。

シスコは、「バリューチェーン」という用語を支持しています。これは、製品から市場へのエンドツーエンドの旅の一般的な記述子として、「サプライチェーン」に取って代わることに成功せずに多くの企業やコンサルタントが試みたものです。その努力に従事する独立した実体。しかし、企業の話題を受け入れるかどうかにかかわらず、パートナーの急増がサイバーセキュリティの深刻な問題を引き起こすことは間違いありません。適切なシステムと手順が整っていないと、ライバル企業、政府、強奪者、さらには地下室のハッカーなど、悪意のある人物の努力の餌食になる可能性があります。

Conwayは、サードパーティとの関係に効果的なサイバーセキュリティ計画を立てるために、次の5段階のアプローチを提供しています。

1。サプライチェーンの「誰が、何を、どこで」知っている。 自明のように思われるかもしれませんが、多くの企業は、ビジネスに何らかの形で貢献しているすべての関係者を把握しているわけではありません。これは特に多層サプライチェーンの場合に当てはまります。そのような構造に依存しない今日の製造製品を考えるのは困難です。

2。これらすべての関係者と効果的にコミュニケーションする方法に取り組みます。 コンウェイは、地政学的な問題や供給の継続性をカバーするすべての相互作用を指しているのではなく、特にセキュリティの問題に対処している相互作用を指しているだけです。そのため、彼女は3つの主要なタイプの脅威について説明しています。操作（情報が変更された場合）、スパイ活動（国家と産業の両方）、および混乱（ビジネスをシャットダウンする試みを含む）です。彼女は、ソフトウェアライセンス開発者やサードパーティのクラウドサービスプロバイダーに、3つの脅威すべてから保護することの重要性を印象付けるのは難しいかもしれないと言います。同じことが工場のフロアにいる個人にも当てはまります。彼らの注意はラインを維持することに集中しているかもしれません。 「セキュリティをあらゆる役割の人の日常的な思考の一部にするためには、トレーニングが必要です」とコンウェイ氏は言います。

3。 「柔軟で弾力性のある」アーキテクチャを開発します。 サプライチェーンセキュリティに対するシスコのアプローチには、プロセスの複雑さを反映した11の個別のドメインが含まれます。設計、開発、提供、およびサービス：各分野はサードパーティとの関係を所有しており、組織の内外で無数の弱点が生じる可能性があります。この戦略は、生産のさまざまな領域で、その運用に固有のガイドラインが必要であるという事実を説明しています。 「私たちはあなたがそれらをマッピングできる方法で要件を書きました、それであなたが私たちに提供するものの性質に基づくものだけが適用されます」とコンウェイは言います。 「誰もがカスタマイズされたバージョンを取得します。」

4。すべてのサードパーティで行うすべてのことにセキュリティを組み込みます。 Conwayは、企業に次の質問をするように促します。「なぜそれらを使用しているのか、そしてサービスメトリックに従ってどのように機能しているのか？」皮肉なことに、「品質」がバナーや企業の集会で打ちのめされたとき、その概念は組織内に「説得力を持って浸透」していませんでした。現在のサイバーセキュリティに関して言えば、品質はスローガンや個別の機能ではなく、サプライチェーン内のすべてのプロセスに浸透しているとコンウェイ氏は言います。シスコは、品質への準拠が実証されていることを確認して、サードパーティにポイントを割り当てます。セキュリティは、その対策の重要な部分です。 「私たちはそれを数学的に意味のあるものにしているので、あなたがサプライヤーとしては素晴らしいが、セキュリティに恐怖を感じているなら、あなたは好ましいサプライヤーであり続けることができないかもしれません」と彼女は言います。

5。誰もが測定する必要があります 。 Conwayは、組織全体のパフォーマンスを測定するために懸命に取り組んできました。 「私たちは、独自の仕様とプロセスに対して許容レベルを確立します」と彼女は言います。 「結局のところ、私たちはセキュリティにビジネスの言葉を話させています。」

シスコのセキュリティイニシアチブは一度に実装されたわけではありません。以前は知的財産問題を専門とする会社の外部弁護士を務めていたコンウェイは、2000年代初頭にCSOになりました。彼女は最初から「モノリシックアーキテクチャ」をすぐに課すのではなく、Ciscoの電子製造システム（EMS）パートナーから始めて、プリント回路メーカー、エンジニアリング、および会社を構成するチャネルパートナーのホストに移り、段階的に導入しました。 「バリューチェーン」

サイバーセキュリティの福音を説く際に、コンウェイは、世界観が利益と損失に根ざしているエグゼクティブスイートと通信することが不可欠であると考えています。 「許容レベルをドルリスクに変換したいと思います」と彼女は言います。 「私たちは皆、ビジネスの言語を話す必要があります。」