16.07.2024
Исследование
Технологии делают пищевую промышленность более уязвимой к угрозам кибербезопасности
Растущее использование технологий в цепочках поставок продуктов питания означает, что сектор больше подвержен риску кибервзломов.
В прошлом месяце фруктово-овощной гигант Dole сообщил, что стал жертвой атаки программ-вымогателей. Компания утверждала, что влияние на ее деятельность было «ограниченным», но сообщалось, что нарушение кибербезопасности привело к дефициту некоторых продуктов.
«Это было разрушительным для отдела свежих фруктов и овощей и нашего чилийского бизнеса в частности», — сказал генеральный директор Рори Бирн аналитикам и инвесторам во время объявления финансовых результатов компании за 2022 год на прошлой неделе. «Что положительно, мы быстро сдержали угрозу и привлекли ведущих сторонних экспертов по кибербезопасности, и мы будем работать в партнерстве с их внутренними командами, чтобы устранить проблему и защитить системы».
К сожалению для пищевой промышленности, нападение не было единичным случаем. В 2022 году канадская мясоперерабатывающая группа Maple Leaf Foods пострадала от, по словам компании, «всеобъемлющего» нарушения.
Майкл Маккейн, исполнительный председатель группы и генеральный директор, заявил на прошлой неделе, что инцидент был «коварным и повлиял на наш бизнес различными способами».
Он добавил: «В режиме реального времени нам пришлось перевести бизнес из высокоэффективной сети операций, высокоавтоматизированной от заказов до планирования производства, квитанций о подборе запасов и платежей, в бизнес, который должен был работать полностью вручную».
В том же году через Атлантику в Германии Apetito, немецкий поставщик замороженных продуктов, обнаружил кибератаку на свою деятельность , а британская KP Snacks заявила, что на нее также повлияло программное обеспечение-вымогатель .
В 2021 году мясной гигант JBS стал жертвой атаки программ-вымогателей, которая нарушила работу компании в Северной Америке и Австралии. Позже выяснилось, что JBS заплатила банде выкуп в размере 11 миллионов долларов США за обнародование своих файлов.
И это только те нападения, о которых мы знаем. По данным Malwarebytes, в 2020 году количество кибератак на пищевой и сельскохозяйственный сектор выросло на 607%. В 2021 году ФБР опубликовало сообщение частной индустрии, предупреждая пищевой сектор об опасности атак программ-вымогателей, а в последнем квартале прошлого года американская компания по кибербезопасности Dragos сообщила, что сектор пищевых продуктов и напитков стал жертвой большего количества атак, чем любой другой сектор.
Угроза кибербезопасности пищевой промышленности растет
Оценить уровень угрозы пищевым компаниям со стороны киберпреступников нелегко. Из-за деликатного характера темы и потенциального ущерба (как финансового, так и репутационного), который кибератаки могут нанести, руководители не любят обсуждать эту тему.
Как объясняет Джон Хоффман, старший научный сотрудник Института защиты пищевых продуктов и обороны при Университете Миннесоты: «Немного таких атак обнародуются из-за проблем защиты бренда. Атаки, подобные той, что направлена на JBS, являются исключением. В этом случае отключения были настолько значительными, что событие невозможно было отрицать».
По словам Сью Ньютон, руководителя отдела пищевых продуктов и напитков в Великобритании в страховой компании WTW, угроза кибератаки для пищевой промышленности не является новой, но она растет, развивается и становится все более серьезной.
«Мы понесли значительные убытки компаний в секторе от атак программ-вымогателей, в частности нескольких мировых производителей пищевых продуктов, в результате чего одному бренду пришлось заплатить многомиллионный выкуп, чтобы восстановить работу», — говорит Ньютон.
Угроза возросла из-за пандемии, в результате которой многие компании мгновенно перешли на удаленную и гибридную работу, не успев ввести соответствующие протоколы и системы безопасности.
До Covid-19 пищевая промышленность уже двигалась к большему использованию автоматизации, робототехники, искусственного интеллекта и Интернета вещей (IoT) в форме датчиков на заводах. Пандемия только ускорила этот толчок и, в свою очередь, повысила уровень риска, поскольку внедрение этих технологий создало много уязвимостей, которые ранее не были на радаре безопасности пищевых компаний.
«Проблема пищевой промышленности и индустрии напитков заключается в том, что они считаются более уязвимыми, потому что операционные технологии, лежащие в основе производства, выросли, но меры кибербезопасности для предприятий в этом секторе не были учтены должным образом, поэтому многим компаниям сейчас приходится догонять, — объясняет Ньютон.
«В то время как другие сектора активизировали свою деятельность в сфере кибербезопасности в течение последних нескольких лет, главным образом благодаря регулированию, производители пищевых продуктов и напитков не руководствовались теми же требованиями, что привело к сравнительно более низким капиталовложениям в кибербезопасность в некоторых предприятиях, делая их легкой добычей для киберпреступников».
Хоффман говорит, что частично проблема заключается в том, что правительство не сосредоточилось на снижении киберрисков, угрожающих продовольственному и сельскохозяйственному секторам, по сравнению с вниманием, которое уделяется кибербезопасности в финансовом, химическом, энергетическом и транспортном секторах. Поэтому пищевые компании считаются более мягкими целями, добавляет он.
«Кроме того, кибермошенники поняли, что многим небольшим и средним пищевым и сельскохозяйственным компаниям не хватает внутреннего опыта в области ИТ, они используют более старые системы и подключены через Интернет к более крупным, более состоятельным фирмам в цепочках поставок. Следовательно, они предоставляют путь к системам других фирм».
Такую точку зрения разделяет Джейсон Ванденберг, руководитель отдела продаж услуг кибербезопасности американского поставщика услуг автоматизации Rockwell Automation. Ванденберг говорит, что угроза кибербезопасности была на радаре на уровне правления крупных пищевых компаний в течение некоторого времени, но меньшие пищевые группы и поставщики крупных групп пытаются смириться с проблемой.
«Они осознают, что только потому, что они небольшая региональная компания по производству продуктов питания и напитков с четырьмя-пятью заводами против крупного многонационального конгломерата со 100 заводами, они являются не меньшей мишенью», — говорит Ванденберг. «На самом деле мы бы утверждали, что то, что мы видели, — это больше [кибератак], нацеленных на эти малые и средние компании, поскольку они не имеют такого же уровня бюджетов, как большие ребята, и их устаревшие системы такие же.
Цифровизация создает уязвимость
А увеличение использования автоматизации в таких сферах, как пищевая промышленность и точное сельское хозяйство, только усугубило проблему.
«Следствием [толчка к автоматизации] является то, что многие киберконтролируемые/управляемые компоненты на самом деле являются устаревшими системами, которые все еще полагаются на устаревшую ОС, но все еще функционируют достаточно надежно, даже если они уязвимы к эксплуатации и атакам», — говорит Хоффман.
«Изменение/модернизация их всех в секторе будет серьезной проблемой. И эта автоматизация действительно растет, поскольку растет стоимость рабочей силы и возникает большое количество кадровых проблем. Больше функций также автоматизируется, поскольку робототехника совершенствуется, а усилия по сокращению отходов, снижению затрат и даже преодолению климатических воздействий, таких как сокращение использования воды и выбросов, становятся более приоритетными».
Цели злоумышленников, нацеленных на пищевой сектор, варьируются от сбоев в цепи поставок и развертывания программ-вымогателей до кражи IP.
«Мы знаем, что в Китае есть киберпреступники, которые сосредотачиваются на ИС, чтобы узнать, кто кому что продает, за сколько и откуда», — говорит Хоффман. «Это дает им цели для эксплуатации или даже самую прибыльную для закупки продовольственную и сельскохозяйственную инфраструктуру США».
По словам Ньютона, большинство пищевых компаний четко осознают опасность кибератак, но не обязательно имеют доступ к нужным ресурсам или прибыли, чтобы предотвратить инциденты кибербезопасности.
«Раньше производственная линия была бы в значительной степени независимой от ИТ-среды, поэтому, если была какая-то вредная деятельность, производство могло продолжаться. И поскольку регуляторный надзор за кибербезопасностью в отрасли был меньше, стало меньше необходимости улучшать безопасность и уменьшать риски.
«Кроме того, поскольку технологии становятся более интегрированными в производственную среду, в некоторых случаях эти новые технологии и операционные среды внедряются, эксплуатируются и управляются не обязательно экспертами по кибербезопасности, а специалистами по производству или ИТ-службой, которая не обладает конкретно кибербезопасность внутри бизнеса, что означает, что они не принимают надлежащих мер, что делает их более уязвимыми к атакам. Это также вызов привлечения и удержания специалистов по кибербезопасности на нынешнем высококонкурентном рынке».
Это вызов, с которым пытаются справиться многие пищевые компании. Опрос американской торговой организации Food Industry Association, проведенный в прошлом году, показал, что 85% пищевых компаний увеличили свои бюджеты на кибербезопасность в ответ на растущую угрозу.
«Однако есть возможности для совершенствования, и многие компании, возможно, не делают достаточно, чтобы защитить себя от киберугроз», — говорит Кристин Деморанвиль, генеральный директор и основатель AnzenSage, недавно открытой консалтинговой фирмы по кибербезопасности в США.
По словам Деморанвиля, производители пищевых продуктов должны учитывать несколько факторов при реализации стратегии смягчения риска кибератак. «Прежде всего, они должны убедиться, что они имеют традиционные надежные средства кибербезопасности, брандмауэры, антивирусное программное обеспечение и системы обнаружения вторжений», — говорит она.
«Они также должны регулярно обновлять и исправлять свое программное обеспечение, чтобы безопасно устранить известные уязвимости в своих производственных средах. Кроме того, производители пищевых продуктов должны убедиться, что их работники прошли обучение лучшим практикам кибербезопасности и были осведомлены о рисках, связанных с фишинговыми электронными письмами и другими тактиками социальной инженерии. Наконец, производителям пищевых продуктов нужна комплексная реакция на инциденты и планы обеспечения непрерывности бизнеса, чтобы быстро и эффективно реагировать на кибератаки».
Постоянный мониторинг угрозы атак на кибербезопасность также является жизненно важным. По словам Колина Танкарда, управляющего директора британской компании Digital Pathways, взлом занимает несколько минут, но для обнаружения взлома могут потребоваться месяцы.
«Там, где мы работали с розничной торговлей, мы видим некоторые компании, которые не имеют некоторых средств контроля и проверок для отслеживания необычного поведения», — говорит Танкард. Это почти как второстепенная вещь. Но организациям действительно нужно следить за тем, что происходит.
«Это сводится к просмотру ваших журналов. Это могут быть журналы с серверов, с вашего веб-сайта, с вашей CRM-системы, с ваших брандмауэров, просто чтобы увидеть, не происходит ли что-то необычное. И поскольку в бизнес поступает много информации, вам нужно действительно поместить эту информацию в определенную систему SEIM [управление корпоративной информацией о безопасности], которая распределит все по правильным категориям, чтобы вы могли увидеть закономерность».
Не капитулируйте
Если компания все же становится жертвой атаки, эксперты по кибербезопасности говорят, что пищевые компании не должны капитулировать перед требованиями хакеров и платить выкуп.
Я еще не видел, чтобы компания уплатила выкуп и успешно вышла вперед -ДжейсонВанденберг, руководитель отдела продаж услуг по кибербезопасности американского поставщика услуг автоматизации Rockwell Automation.
Как говорит Танкард: «Если они знают, что вы заплатили один раз, они знают, что заплатите снова, поэтому они просто вернутся и постучатся в вашу дверь. Даже если вы платите, вы никогда не будете уверены, что все плохие вещи забрали».
Ванденберг из Роквелла соглашается. «Я еще не видел, чтобы компания заплатила выкуп и успешно вышла вперед. Мы видим компании, которые все еще требуют судебных издержек через три-пять лет после атаки, потому что теперь на них подает в суд кто-то, чьи данные могли быть раскрыты».
По его словам, Роквелл обнаружил растущую неприязнь компаний к выплате выкупа хакерам, и некоторые правительства во всем мире, как сообщается, рассматривают возможность ввести прямой запрет на осуществление платежей за программы-вымогатели.
Это угроза, которая не исчезнет в ближайшее время, и, как следствие, те компании в пищевой промышленности, которые еще не наращивали свои протоколы кибербезопасности, должны начать воспринимать проблему серьезно, иначе они рискуют стать жертвами нападения, которое может быть разрушительным, предупреждает Деморанвиль.
«Угроза кибератак для производителей пищевых продуктов является актуальной проблемой, которая требует серьезного отношения», — говорит она. «Пищевая промышленность сталкивается с критическими ситуациями из-за усиления цифровизации сектора, что расширило поверхность атаки для киберпреступников и создало для них больше возможностей для использования уязвимостей. Хотя многие производители продуктов питания принимают меры, чтобы защитить себя, есть возможности для совершенствования».
По крайней мере для компаний, работающих в Северной Америке, привлекательная линия в отношении расходов выплыла из объявления результатов Dole на прошлой неделе, причем Бирн признал, что компания не ожидает возмещения потерянных продаж, в том числе через страхование. «Я считаю, что простой ответ на этот вопрос — нет», — сказал он аналитику. «Страхование является непомерным — сейчас вы не можете получить страховку в Северной Америке в отношении кибербезопасности».