📰 Fonte: Supply Chain Mag
Os recentes ataques aos sistemas de frio de supermercados em vários países europeus voltaram a expor as dependências digitais das operações. A Supply Chain Magazine ouviu Fernando Chaves, líder de Risk Consulting da Marsh, sobre os fornecedores que importa acompanhar, os acessos que ficam esquecidos e os planos que precisam de funcionar quando os sistemas falham.
Primeiro, foram centenas de supermercados em França. Depois, surgiram novas ocorrências em vários países europeus, incluindo Portugal. Os ataques aos sistemas de refrigeração deram consequências físicas a um risco muitas vezes associado à perda de dados ou à indisponibilidade de serviços informáticos: alimentos deteriorados, stocks retirados da venda e equipamentos cujo funcionamento deixou de ser fiável.
Depois de acompanhar os acontecimentos em França e os impactos confirmados em Portugal, a SCM aprofundou também o tema das dependências de fornecedores tecnológicos e dos seus efeitos na operação.
Agora, fomos ouvir Fernando Chaves, líder de Risk Consulting da Marsh. Para quem gere logística, compras ou operações, por onde começa a avaliação do risco? Quem deve conhecer e controlar os acessos dos prestadores? E o que precisa de estar decidido antes de um incidente colocar os stocks e as entregas sob pressão?
SCM – Os recentes ataques aos sistemas de refrigeração mostram como um incidente num prestador externo pode chegar à operação de várias empresas. Para um diretor de logística ou de supply chain, por onde deve começar a avaliação destas dependências e que perguntas deve fazer aos fornecedores críticos?
Fernando Chaves – A avaliação deve começar pela operação e não especificamente na tecnologia. O diretor de logística (mas não só) deve perguntar que processos não podem parar, de que sistemas dependem e quanto tempo a empresa consegue trabalhar se esses sistemas deixarem de estar disponíveis.
No caso da cadeia de frio, não basta olhar para os equipamentos de refrigeração. É necessário perceber quem gere os sensores, os controladores, os alarmes, as plataformas de monitorização, as comunicações e a manutenção remota. Também deve estar claro quem pode alterar configurações, quem recebe os alertas e quem intervém quando algo corre mal e tudo isto 24/7.
A mesma análise deve ser feita relativamente ao Sistema de Gestão do Armazém e ao Sistema de Gestão de Transportes (WMS e TMS), aos sistemas de automação, às plataformas de expedição, às ligações EDI, à telemática das frotas, aos sistemas de controlo de acessos e às plataformas cloud.
É importante não esquecer os equipamentos aparentemente menores. Só a título de exemplo, em 2018, foi divulgado o caso de um casino norte-americano onde os atacantes terão utilizado como ponto de entrada um termómetro ligado à internet, instalado num aquário do lobby. O dispositivo não era um sistema central do casino, mas estava ligado à rede e permitiu chegar a informação de maior valor. Embora os detalhes públicos do caso sejam limitados, a lição é clara: um equipamento pode ser pouco importante para a operação e ser, ainda assim, uma porta de entrada relevante.
Na logística, essa porta pode ser um sensor de temperatura, uma câmara, uma impressora industrial, um terminal de expedição, um controlador de climatização ou um equipamento instalado por um prestador.
É aqui que entra o Third-Party Risk Management (TPRM). A empresa deve conhecer não apenas o fornecedor direto, mas também os subcontratados, as plataformas tecnológicas, os serviços cloud, o alojamento e a conectividade que suportam o serviço.
Aos fornecedores devemos perguntar quem tem acesso aos sistemas, se existem contas individuais, se é utilizada autenticação multifator, como são revogados os acessos e que alternativas existem quando a plataforma remota fica indisponível. Também é importante identificar se um incidente no fornecedor pode afetar simultaneamente várias instalações ou clientes.
Mais do que pedir uma certificação ou uma declaração genérica de segurança, é essencial perceber se o fornecedor tem um Plano de Continuidade de Negócio e consegue manter o serviço quando os seus próprios sistemas ou acessos estão comprometidos.
A digitalização permite acompanhar e controlar equipamentos à distância, mas cria novos acessos e “portas de entrada” na operação. Na vossa experiência, o que continua a ficar por tratar entre as equipas de operações, manutenção, compras e informática? Que decisões deveriam tomar em conjunto para reduzir certo tipo de riscos, como este?
A nossa experiência diz-nos que o problema mais frequente é a fragmentação da responsabilidade. Nem todas as organizações são necessariamente assim, mas é muito comum encontrar situações em que o contrato está em compras, a ligação remota é acompanhada pela informática, o equipamento está sob responsabilidade da manutenção, enquanto a operação recebe apenas um alerta quando algo deixa de funcionar. Cada equipa conhece uma parte, mas ninguém tem necessariamente a visão completa.
É assim que podem ficar esquecidos sensores, controladores, câmaras, impressoras industriais, terminais, sistemas de controlo de acessos ou equipamentos instalados temporariamente por um fornecedor. São considerados “menores” porque não parecem essenciais. No entanto, se estiverem ligados à rede, podem permitir o acesso a sistemas mais importantes.
A NIS2 reforça precisamente a necessidade de uma abordagem integrada: gestão de risco, controlo de acessos, resposta a incidentes, continuidade e segurança da cadeia de abastecimento devem ser tratados como partes do mesmo problema.
Para reduzir o risco, as áreas de operações, manutenção, compras, informática, cibersegurança e gestão de risco devem definir em conjunto que dispositivos existem, quem os gere, que acessos têm, que dados transmitem e que impacto teria a sua indisponibilidade. Não sendo um exercício fácil, devem tentar pensar como o ‘atacante’ e procurar todos os pontos de potencial entrada.