物流供应链管理网络安全如何保障？

（本文将收录在五月底在SSCL供应链创新峰会上首发的《供应链未来：科技和创新趋势》一书中，敬请期待）。

世界上最大的四家航运公司都曾遭受网络攻击

随着法国航运巨头CMA CGM遭到勒索软件攻击，意味着自2017年以来，全球四大海运公司在过去四年中都遭到了网络攻击。

Maersk在2017年被NotPetya勒索软件劫持了数周。地中海航运公司（Mediterranean Shipping Company）在2020年4月，一种未命名的恶意软件毒株袭击了该公司，导致其数据中心瘫痪数天。中远海运2018年7月被勒索软件，网络被击倒数周。CMA CGM，该公司在上海、深圳和广州的中国分公司被Ragnar Locker勒索软件袭击后，关闭了其全球海运集装箱预订系统。

这意味着，物流供应链中非常重要的一环--航运行业中，四大巨头没有一个免于重大网络攻击。

针对CMA的勒索邮件

物流供应链公司网络风险依然很大

物流供应链公司依靠现代技术开展业务和简化运营。然而，管理物流供应链风险是一项艰巨、耗时且昂贵的工作。未能管理其风险的组织更容易受到网络攻击，从而造成严重中断。

福布斯报告称，53% 的大型公司至少经历过一次由第三方引起的网络攻击，包括数据泄露。据 CyberGRX 称，由第三方造成的网络攻击平均每次造成 750 万美元的损失。

除了数据攻击之外，物流供应链公司还可能面临因误解客户需求、不适当的产品流动（包括原材料、零件或成品）以及自然灾害（包括龙卷风、飓风、洪水和地震）引起的风险。

物流供应链中的网络攻击类型

对于物流供应链公司，网络安全风险令人生畏和沮丧，大多数组织都遭受数据中断、财务问题和网络攻击的困扰。这些中断会影响他们的效率、准确性和精细管理。

然而，企业正在迅速采用数字技术，如物联网 (IoT)、机器学习和人工智能算法/软件应用程序，以及尖端的预测建模技术，以简化其物流供应链管理和相关运营。

问题是企业即使采用了现代技术，如果未能关注网络安全威胁，例如勒索软件、恶意软件、病毒、网络钓鱼、黑客攻击和在线攻击，那么，企业仍可能遭遇以下常见风险：

Ø 数据

Ø 恶意软件攻击

Ø 勒索软件攻击

Ø 网络安全

Ø 数据窃取

Ø 窃取供应商的数据

Ø 软件中断

Ø 数据传输延迟

恶意软件攻击

恶意软件攻击近年来变得普遍，黑客窃取机密信息，更改公司的内部数据，或破坏数据库以阻止企业使用历史数据。恶意软件是侵入公司计算机系统、窃取机密数据并破坏硬件和软件应用程序的侵入性软件。病毒、蠕虫、勒索软件和特洛伊木马是常见的恶意软件攻击。

据 Business Insider 称，2020 年的 SolarWinds 恶意软件攻击是最严重的基于恶意软件的攻击之一。黑客和犯罪分子制定了攻击德克萨斯州 SolarWinds 系统的策略，黑客在公司系统中添加了恶意软件并窃取了机密数据。相关的物流供应链企业，33,000 多家公司使用该软件来管理其与 IT 相关的运营。

最严重的是 SolarWinds 向其客户端发送软件更新和补丁，其中包含网络犯罪分子安装的恶意代码。因此，这使网络犯罪分子可以访问其他系统并安装恶意软件来监视企业的数据操作。

勒索软件攻击

勒索软件是另一种犯罪分子加密数据文件和文档的网络攻击，它使罪犯或黑客能够索要金钱以换取解密密钥。在大多数情况下，网络罪犯要求公司通过比特币和其他加密货币向他们付款。因为这可以防止黑客泄露他们的个人信息。

据彭博社报道，对 Colonial Pipeline 的勒索软件攻击使黑客能够威胁该公司。黑客/罪犯对数据操作进行加密并造成严重破坏，导致美国南部多地出现汽油短缺。

研究强调，网络罪犯使用 VPN 技术进入 Colonial 的网络。由于该公司没有在其网络系统中安装多重身份验证功能，网络犯罪分子很容易攻破它并盗用不同的用户名和密码。

结果，黑客窃取了机密数据，包括登录凭据， 遭受攻击的公司 Colonial 为解密密钥和数据恢复支付了超过 440 万美元。然而，解密密钥工作缓慢，给恢复公司运营带来了严重的麻烦。

数据攻击和破坏

数据攻击是物流供应链公司遭受的最严重的网络攻击或威胁之一。因此，公司必须实施复杂的数据安全程序和协议，以防止网络攻击和数据破坏。

据 Data Endure 称，网络攻击会给物流供应链公司带来严重问题，导致声誉受损、财务损失和数据被盗。

VARONIS 报告称，物流供应链公司发现在数据泄露发生后很难识别，即使他们拥有可靠的监管、合规性和安全标准。对于大型物流供应链公司来说，这个问题更加严重。

例如，根据 IBM 的说法，从数据中恢复需要几个月的时间，因为物流供应链公司平均需要 280 天的时间来识别、检测和从第三方支持中恢复。

在一家制造公司中，运营需要您与第三方共享机密数据，您更有可能遇到数据泄露的情况。因此，您必须保护敏感信息并安装最先进的安全和隐私协议来保护您公司的数据。

需要关注未经授权的数据访问，并实施复杂的解决方案来防止此问题，否则，供应商因未经授权访问您公司的电子邮件帐户可能会导致严重问题。

此外，网络犯罪分子还可以入侵您公司的电子邮件帐户、攻击较弱的加密方法并利用不安全的数字平台窃取登录凭据。

同样，第三方可以使用恶意方法将您客户的信息泄露给犯罪分子以获取金钱。想象一下如果您公司的信息/数据落入犯罪分子和黑客手中，他们将有多少种方式破坏您的供应链管理运营并使您的业务崩溃。

基于物联网的攻击

基于物联网的攻击已变得普遍，有时公司使用这些技术但未能实施可靠的安全策略。任何连接到互联网的设备都可能带来物流供应链风险。例如，物联网是消费类设备，如智能恒温器、个人健身追踪器、智能手表、智能安全系统、医疗传感器、冰箱等。据 Statista 称，全球有超过 100 亿个活跃的物联网设备。

物联网设备在包括物流供应链公司在内的组织中很常见，可以大规模地为它们赋能，简化生产，并优化供应商和供应商之间的内部和外部通信。此外，物联网技术帮助企业实现效率提升，例如：

Ø 上市时间更短

Ø 简化物流供应链中的资产跟踪

Ø 降低成本和更安全的工作场所

黑客和犯罪分子明白，安全系统受损的物联网设备使他们更容易发起攻击。根据 Net Scout 的说法，普通的物联网设备在连接到互联网后的五分钟内就可能遭受网络攻击，这背后最常见的原因是设备中缺少网络安全协议。因此，通过物联网设备实现的网络安全可能会导致严重的问题和并发症，包括：

Ø 生产损失

Ø 收入损失

Ø 数据窃取

Ø 设备损坏

Ø 工业间谍

供应链公司使用设备和传感器并将它们连接到互联网，联机的设备越多，它们就会创建更多的数据存储、端口、通道和端点，黑客更容易找到系统中的漏洞并发动的攻击。

物流供应链公司的网络安全策略

我们已经讨论了网络攻击的类型。现在让我们介绍防止网络攻击的最佳做法或策略。

制定完善的政策

专家建议制定有关数据安全、信息共享、访问和授权协议的明确政策。您必须定义您的公司如何监控数据以及需要在企业级安装哪些安全协议。与您的合作伙伴讨论您的要求，确定他们采取什么措施来防范网络安全威胁。聘请具有物流供应链经验的专业网络安全专家来获取经验，并请求他们为您的组织开发量身定制的安全方法。

培训您的员工

教育和培训您的员工是管理在线操作、安全使用用户名和密码以及防止网络安全隐患的完美方式。研究表明，95% 的安全攻击都涉及人为错误，包括：

Ø 链接到网络的钓鱼诈骗

Ø 访问不安全的网站

Ø 点击电子邮件中的可疑链接

Ø 安装包含恶意软件的程序

我们建议讨论网络钓鱼场景和潜在攻击，并概述您的员工和管理团队可以实施的最合适做法，以保护公司的在线运营，包括客户数据和其他敏感信息。

定义数据访问协议

谁有权访问您的物流供应链管理系统？回答这个问题对于定义数据访问协议至关重要。除非您有明确定义的机制告诉您谁有权访问这些，否则您无法保护您的系统、应用程序和数据网络平台。

此外，评估和第三方的关系并确定它们是否可靠。评估和第三方和公司共享的数据和系统。据 CSO Online 称，大约 35% 的公司拥有一份第三方列表，其中包含他们通过在线渠道共享信息的第三方。

更新技术

网络安全需要持续维护，实施复杂的方法并非一蹴而就。原因是恶意软件、勒索软件、威胁和漏洞会不时演变。

因此，更新和修补软件系统对于防范网络安全风险和威胁至关重要。它需要持续监控软件功能和网络安全、识别漏洞并采取相应措施。

建议物流供应链公司对其管理系统进行定期检查，56% 的公司经历过由其供应商造成的数据和网络攻击。

网络安全最佳实践

物流供应链公司采用了多种实践来帮助他们管理网络风险。这些做法包括：

Ø 每个 RFP 和合同中都包含安全要求。

Ø 一旦供应商被正式接受，安全团队就会在现场与他们合作，以解决任何安全漏洞。

Ø 针对作假或不符合规格的供应商产品的“一票出局”政策。

Ø 组件采购受到严格控制；从核准的供应商处购买的组件是经过资格预审的。从其他供应商处购买的零件在被接受之前会进行拆包、检查和 X 光检查。

Ø 为所有工程师建立安全软件生命周期开发计划和培训。

Ø 软件和硬件有安全连接，安全启动过程会查找身份验证代码，如果无法识别代码，系统将不会启动。

Ø 跟踪和追溯程序确定所有零件、组件和系统的来源。

Ø 程序为每个组件捕获组件标识数据，并自动将组件标识数据链接到采购信息。

Ø 负责网络安全的人员与每个团队合作，并确保网络安全是开发人员员工体验、流程和工具的一部分。

Ø 对服务供应商的访问进行严格控制。对软件的访问仅限于极少数供应商，硬件供应商仅限于控制系统的机械系统。

Ø 所有供应商都需要获得授权和监控。

最后的话

供应链管理是一种优化运营、带来稳定性并提高公司整体底线的复杂方法。然而，物流供应链近年来变得容易受到网络攻击，因为越来越多的公司在没有可靠安全协议的情况下对其系统进行了数字化。这给网络罪犯带来了机会，他们实施恶意软件（例如勒索软件和恶意软件）并破坏它以窃取敏感数据和信息。因此，物流供应链行业的企业必须为第三方供应商建立合规标准，包括制造商，物流商，供应商和分销商。

曾志宏Lucas，北科大毕业，新加坡国立大学MBA，上海趋研信息联合创始人，曾服务于GE，Rolls-Royce，JCI，Whirlpool供应链部门，致力于货代行业和国际供应链领域流程自动化，智能化和可视化，AI+软件机器人RPA，以及数字供应链，智慧物流等的推广和传播 (微信: 1638881963)。