Rủi ro chuỗi cung ứng theo Kaspersky: những gì doanh nghiệp UAE cần biết

Kaspersky phát hiện nhiều lỗ hổng lớn trong năng lực quản lý rủi ro chuỗi cung ứng số của các doanh nghiệp UAE, khi sự phụ thuộc vào bên thứ ba tăng và số vụ tấn công gia tăng.

Phát hiện của Kaspersky nêu rõ một vấn đề rất thực tế cho doanh nghiệp UAE: dịch vụ số và dịch vụ thuê ngoài mở thêm cửa cho kẻ tấn công vào cả công ty lớn lẫn nhỏ. Khi một nhà cung cấp hoặc nhà cung cấp đám mây bị xâm phạm, vi phạm đó có thể lan nhanh gây gián đoạn hoạt động, mất dữ liệu, tổn hại danh tiếng và chịu giám sát pháp lý. Vấn đề vừa mang tính vận hành, pháp lý lẫn tài chính, và nằm trực tiếp trên vai hội đồng quản trị và giám đốc điều hành để giải quyết.

Lãnh đạo các ngành tài chính, bán lẻ, logistics, y tế và chính phủ ở UAE ngày càng dựa vào nền tảng bên thứ ba và dịch vụ được quản lý. Phân tích của Kaspersky cho thấy những liên kết này là điểm yếu khi nhà cung cấp thiếu vệ sinh an ninh cơ bản, và khi tổ chức mua không áp dụng các kiểm soát rõ ràng, nghĩa vụ hợp đồng hoặc giám sát liên tục hiệu suất bảo mật của bên thứ ba.

Kaspersky nhận thấy các cuộc tấn công chuỗi cung ứng và lỗ hổng bên thứ ba đang trở thành nhân tố chính làm gia tăng rủi ro an ninh mạng đối với doanh nghiệp và hoạt động tại UAE.

Nghiên cứu của Kaspersky làm nổi bật những mô thức đáng chú ý: kẻ tấn công lợi dụng nhà cung cấp, nhà cung cấp dịch vụ được quản lý và các thành phần phần mềm phổ biến để tiếp cận nhiều mục tiêu chỉ từ một lần xâm phạm. Điều này có nghĩa là vi phạm ở nhà cung cấp có thể chuyển thành sự cố ở công ty mà không cần xâm nhập trực tiếp vào vùng an ninh của công ty đó. Với doanh nghiệp UAE, hệ quả thực tế là tăng phơi nhiễm với mất dịch vụ, rò rỉ dữ liệu và các cuộc điều tra tuân thủ khi đội mua sắm và bảo mật không đồng bộ.

Rủi ro chiến lược nằm ở quản trị và khả năng quan sát hơn là chỉ phòng thủ kỹ thuật thuần túy. Hội đồng và ban lãnh đạo cấp cao phải coi bảo mật nhà cung cấp như là phần mở rộng của các kiểm soát nội bộ, không phải là vấn đề bên ngoài. Khi mua sắm chỉ tập trung vào chi phí và SLA, Kaspersky cho thấy các lỗ hổng bảo mật vẫn tồn tại, nên doanh nghiệp cần bịt các điểm mù về hợp đồng, giám sát và phản ứng sự cố để giảm tác động vận hành lan tỏa.

Rủi ro chuỗi cung ứng an ninh mạng xuất hiện khác nhau theo từng ngành nhưng nguyên nhân gốc là giống nhau: quyền truy cập bên thứ ba, mức độ tin cậy và giám sát hạn chế, theo giải thích của Kaspersky.

Trong lĩnh vực tài chính, tấn công vào bộ xử lý thanh toán hoặc cổng nhà cung cấp có thể làm gián đoạn giao dịch và kích hoạt báo cáo cho cơ quan quản lý. Trong y tế, cập nhật phần mềm bị xâm phạm hoặc IT thuê ngoài có thể lộ hồ sơ bệnh nhân và gián đoạn việc chăm sóc. Trong logistics và bán lẻ, tấn công vào nền tảng cung ứng hoặc dịch vụ quản lý tồn kho có thể làm dừng giao hàng và doanh số. Điểm mà Kaspersky nhấn mạnh là kẻ tấn công tìm đường qua mắt xích yếu nhất, và khi một nhà cung cấp phục vụ nhiều khách hàng thì tác động sẽ nhân lên.

Với hội đồng quản trị và người lãnh đạo vận hành ở UAE, hệ quả là cần lập bản đồ phụ thuộc và ưu tiên giám sát nơi thất bại nhà cung cấp gây ảnh hưởng kinh doanh lớn nhất. Bản đồ này nên dẫn đến các yêu cầu hợp đồng, bài kiểm tra chấp nhận dịch vụ và kịch bản phản ứng sự cố để một thất bại nhà cung cấp trở thành tình huống được quản lý chứ không phải khủng hoảng công ty.

Bắt đầu bằng việc xác định nhà cung cấp quan trọng, mức độ truy cập của họ và các dịch vụ sẽ gây gián đoạn lớn nhất cho hoạt động nếu bị thất bại, Kaspersky khuyến nghị.

Các biện pháp thực tế bao gồm đặt yêu cầu trong hợp đồng, đánh giá an ninh liên tục và hạn chế đặc quyền nhà cung cấp ở mức cần thiết thấp nhất. Doanh nghiệp nên yêu cầu nhà cung cấp chứng minh thực hành phát triển phần mềm an toàn, quản lý bản vá và thời hạn thông báo sự cố. Những buổi diễn tập bàn (tabletop exercises) định kỳ có kịch bản thất bại nhà cung cấp giúp đội vận hành luyện tập cách ngăn chặn và khôi phục. Kaspersky nhấn mạnh rằng phòng ngừa kết hợp phát hiện nhanh là tổ hợp hiệu quả nhất.

Tính tế nhị trong vận hành là quan trọng: các nhà cung cấp nhỏ thường thiếu trưởng thành nhưng vẫn có vai trò quan trọng. Xử lý nhà cung cấp nhỏ phụ thuộc cao như ưu tiên kiểm soát hoặc tìm nhà cung cấp thay thế. Với quan hệ dịch vụ được quản lý, yêu cầu ghi nhật ký minh bạch và kiểm toán truy cập để có thể phát hiện xâm phạm nhà cung cấp trước khi nó trở thành sự cố cấp công ty.

• Map supplier access and criticality across systems
• Enforce least-privilege for vendor accounts
• Require security attestations and regular scans
• Include suppliers in incident response exercises

Phân tích của Kaspersky ngụ ý rằng cơ quan quản lý mong đợi hội đồng giám sát rủi ro an ninh mạng bên thứ ba và đảm bảo doanh nghiệp có thể tiếp tục hoạt động khi nhà cung cấp thất bại.

Hội đồng nên yêu cầu báo cáo rủi ro nhà cung cấp vượt ra ngoài tuân thủ hình thức: bằng chứng thường xuyên về kiểm soát, tóm tắt kiểm thử xâm nhập và các chỉ số rõ ràng về truy cập nhà cung cấp và sự cố. Với các ngành được quản lý, điều này chuyển thành báo cáo nhanh hơn cho cơ quan chức năng, điều khoản hợp đồng chặt chẽ hơn và kiểm tra khả năng liên tục chịu tải rõ ràng. Kaspersky làm rõ rằng thất bại trong quản trị thường là nguyên nhân khi vi phạm nhà cung cấp leo thang thành sự cố cấp công ty.

Những yêu cầu thực tiễn ở cấp hội đồng bao gồm bản đồ nhiệt rủi ro nhà cung cấp rõ ràng, KPIs cho tư thế bảo mật nhà cung cấp và tiêu chí chấp nhận khi onboard hoặc chấm dứt nhà cung cấp. Đây là công cụ quản trị giúp giảm phơi nhiễm pháp lý, tài chính và vận hành, đồng thời cung cấp hồ sơ kiểm toán có thể bảo vệ lãnh đạo nếu xảy ra sự cố.

Đánh giá của Kaspersky nêu rõ: lỗ hổng an ninh mạng bên thứ ba và chuỗi cung ứng là rủi ro vận hành mà doanh nghiệp UAE phải quản lý thông qua lập bản đồ, điều khoản hợp đồng, giám sát liên tục và giám sát ở cấp hội đồng. Chuyển quan hệ nhà cung cấp thành tài sản được đo lường và quản trị là cách thực tiễn để giảm thiểu tác động vận hành và uy tín mà báo cáo cảnh báo.