โจมตี ‘ซัพพลายเชน’ ทั่วโลก พุ่ง 51% ช่วงครึ่งหลังปี 64

จากงานวิจัยของกลุ่มบริษัท NCC พบว่า การโจมตีห่วงโซ่อุปทานในองค์กรทั่วโลกเพิ่มขึ้นสูงถึง 51% ระหว่างเดือนก.ค. ถึง ธ.ค.2564 โดยมีความเสี่ยงหลักๆ มาจากบุคคลที่สาม 

โดยบริษัทประกันข้อมูลในอังกฤษได้ทำโพลสำรวจความคิดเห็นของคนที่มีอำนาจตัดสินใจด้านความปลอดภัย 1,400 คน ในองค์กรที่มีพนักงานมากกว่า 500 คนใน 11 ประเทศ เพื่อให้เข้าใจถึงความเสี่ยงของซัพพลายเชนได้ดียิ่งขึ้น 

จากการโจมตีที่เพิ่มขึ้น มีเพียงหนึ่งในสาม หรือ 32% ขององค์กรที่ตอบกลับ กล่าวว่าพวกเขา “มั่นใจมากว่าสามารถจัดการต่อการละเมิดซัพพลายเชนได้อย่างรวดเร็วและมีประสิทธิภาพ”

การวิจัยได้แสดงให้เห็นถึงความสับสนในการทำงานว่า ฝ่ายไหนมีหน้าที่รับผิดชอบในการป้องกัน ตรวจจับ และบรรเทาความเสี่ยงในห่วงโซ่อุปทาน 

โดยหนึ่งในสาม หรือ 36% ของผู้ตอบแบบสอบถามเห็นว่า องค์กรของพวกเขามีความรับผิดชอบมากกว่าซัพพลายเออร์ ในขณะที่กว่าครึ่งหนึ่ง หรือ 53% เห็นว่า ความรับผิดชอบถูกแบ่งเท่าๆ กัน

NCC Group แจ้งเตือนให้หน่วยงานกำกับดูแลความเสี่ยงด้านซัพพลายเชนขององค์กรต่างๆ มีความรับผิดชอบมากขึ้นในเรื่องดังกล่าวและได้อ้างถึงกฎหมาย Digital Operational Resilience Act (DORA) ของสหภาพยุโรป ซึ่งกำหนดให้บริษัททางด้านการเงินรวบรวมข้อกำหนดด้านความปลอดภัยที่สำคัญไว้ในสัญญาที่ทำกับบุคคลที่สาม

General Data Protection Regulation (GDPR) หรือ กฎหมายของสหภาพยุโรปที่บังคับใช้กับองค์กรที่จัดเก็บข้อมูลส่วนบุคคลจะต้องเพิ่มมาตรการการคุ้มครองข้อมูลส่วนบุคคลด้วยความโปร่งใสและความรับผิดชอบที่มากขึ้นจากทุกซัพพลายเออร์ ทั้งลูกค้าและซัพพลายเออร์อาจต้องรับผิดชอบในกรณีที่มีการละเมิด

NCC Group สำรวจพบว่า องค์กรเกือบครึ่ง หรือ 49% แจ้งว่าพวกเขาไม่ได้กำหนดมาตรฐานความปลอดภัยที่ซัพพลายเออร์ต้องปฏิบัติตามโดยเป็นส่วนหนึ่งของสัญญา หนึ่งในสาม หรือ 34% อ้างว่าพวกเขาไม่ได้ติดตามหรือประเมินความเสี่ยงในการประเมินการจัดการความปลอดภัยทางไซเบอร์ของซัพพลายเออร์เป็นประจำ 

อีกทั้งหลายองค์กรจำเป็นต้องทำงานอย่างใกล้ชิดกับซัพพลายเออร์ โดยการร่วมกันของโครงสร้างพื้นฐานเพื่อเพิ่มประสิทธิภาพและสร้างความแข็งแกร่งในการดำเนินงาน แต่สิ่งนี้สามารถเพิ่มความเสี่ยงทางไซเบอร์ด้วยการขยายพื้นที่การโจมตีที่อาจเกิดขึ้นได้ 

โดยช่องว่างด้านความปลอดภัยในห่วงโซ่อุปทานอาจนำไปสู่การรั่วไหลของข้อมูลลูกค้า และยังเป็นจุดเริ่มต้นสำหรับการโจมตีโดยแรนซัมแวร์ 

ผลการวิจัยแสดงให้เห็นส่วนที่ต้องปรับปรุง รวมถึงความชัดเจนเกี่ยวกับความรับผิดชอบในการป้องกัน การตรวจจับ การแก้ไขการโจมตี และการควบคุมที่ไม่รัดกุมสำหรับการรับรองซัพพลายเออร์ และจากการสำรวจพบด้วยว่า ความเสี่ยงของซัพพลายเออร์ถือเป็นความท้าทายอันดับต้นๆ ในอีก 6 ถึง 12 เดือนข้างหน้า

ดังนั้นแม้องค์กรของเรามีความปลอดภัยในระบบไซเบอร์ซิเคียวริตี้ที่ดีแล้ว แต่ยังจำเป็นต้องไปเชื่อมต่อกับซัพพลายเชนอื่นๆ ที่ยังไม่มีระบบไซเบอร์ซิเคียวริตี้ที่ดีอย่างเพียงพอก็สามารถนำภัยมาสู่องค์กรของเราได้โดยง่ายดาย 

เราจึงควรมีการตรวจสอบเกี่ยวกับเรื่องซัพพลายเชนต่างๆ ที่มีการเชื่อมต่อกับองค์กรของเรา และมีมาตราการด้านไซเบอร์ซิเคียวริตี้ร่วมกันอยู่เสมอ รวมทั้งมีการทำเรื่อง Breach attack simulation ระหว่างกันด้วย