Ulusal Standartlar ve Teknoloji Enstitüsü (NIST), tedarik zincirini siber saldırılara karşı güvence altına alma konusunda güncellenmiş rehberlik yayınladı.
2020'den beri NIST, işletmenin kendisini tedarik zinciri saldırılarından nasıl daha iyi savunabileceğine dair iki taslak belge yayınladı.
Bugün, Yürütme Emri 14028: Ülkenin siber güvenliğini iyileştiren NIST, tedarik zinciri siber güvenlik risklerini belirleme ve yanıtlama konusunda rehberlik sağlamak için 'Siber Güvenlik Tedarik Zinciri Risk Yönetimi Uygulamaları' yayınladı.
Yayın yazarlarından Nist'den Jon Boyens, "Tedarik zincirinin siber güvenliğini yönetmek burada kalacak bir ihtiyaçtır." Dedi. "Ajansınız veya kuruluşunuz başlamadıysa, bu sizi koşmak için taramadan yürümeye götürebilecek kapsamlı bir araçtır ve bunu hemen yapmanıza yardımcı olabilir."
Belge, 326 sayfada ağırlık veren uzun bir okunmuştur, ancak bir yazılım/ürünün gelişimi üzerindeki dış kontrolü değerlendirmekten harici BT hizmet sağlayıcılarının kullanılmasıyla ilişkili risklere kadar tedarik zinciri riskleri hakkında değerli bilgiler içerir.
Bilgi güvenliği uzmanı ve yayın yazarlarından biri olan Nist’in Angela Smith, “Güven ve güvenle ilgili” dedi. “Kuruluşların satın aldıkları ve kullandıklarının güvenilir olduğuna daha fazla güvenmesi gerekiyor. Bu yeni rehber, hangi riskleri arayacağınızı ve yanıt olarak hangi eylemleri dikkate alacağınızı anlamanıza yardımcı olabilir. ”
Belgenin uzunluğu ve karmaşıklığı nedeniyle NIST, C-SCRM (Siber Güvenlik Tedarik Zinciri Risk Yönetimi) çabalarına yeni başlayan kuruluşlara yardımcı olmak için hızlı bir başlangıç rehberi yayınlamayı planlıyor.
Tedarik zinciri saldırıları, tek bir ürünü tehlikeye atmalarına ve onu kullanan çok sayıda aşağı akış şirketini etkilemelerine izin verdiği için tehdit aktörleri için giderek daha popüler hedefler haline geliyor.
Tedarik zinciri saldırılarının şiddeti, tehdit aktörleri aşağı akış müşterileri enfekte etmek için Solarwinds'i tehlikeye attığında gerçek dünya senaryolarında gösterildi, Kaseya'nın MSP yazılımı, binden fazla şirketi şifrelemek için kullanıldı ve NPM modüllerinin uzaktan komutları yürütmek için nasıl kullanıldığı.
Bu saldırıların, birçok kuruluş için sadece tek bir kaynaktan ödün vererek yaygın sonuçları vardı ve işletmenin tedarik zinciri saldırılarına karşı önlemler ekleme ihtiyacını gösterdi.
Bağlantılı cihazların her zamankinden daha savunmasız olduğu 3 neden
Heroku, kullanıcı şifresi sıfırlanır ancak nedenini açıklayamaz
GitHub, 2023 sonuna kadar aktif geliştiricilerden 2FA gerektirecek
Bir siber saldırı nedeniyle araba kiralama devi altıt ile karşılaşan kesintilerle karşı karşıya
Açık Kaynak 'Paket Analizi' Aracı Kötü niyetli NPM, PYPI Paketleri Bulur
Kaynak: Bleeping Computer