Zielgruppe: CEOs, CIOs, CTOs, CISOs, Supply Chain Manager Schwerpunkt: organisatorisch Sprache: Deutsch Abstract ********** Können Sie diese Frage mit „gut“ beantworten? Digitale und Cyber-Risiken werden mittlerweile als Top-Risiken für Unternehmen betrachtet. Aktuelle Entwicklungen wie Industrie 4.0, Digitalisierung, Internet of Things oder Smart Home werden diesen Trend weiter verstärken. Aber verstehen wir diese Risiken auch entlang unserer Wertschöpfungskette? Weltweit gibt es vermehrt Angriffe auf Unternehmen und deren Supply-Chain-Partner, bei denen entweder heikle (Kunden-) Daten gestohlen oder die Produktionsabläufe beeinträchtigt werden – in manchen Fällen bis hin zum Produktionsstopp. About the Speaker: *********************** Stefan Jakoubi ist Geschäftsleiter für den Bereich „Professional Services“ bei SBA Research. Er ist seit über 13 Jahren im Großraum der Informationssicherheit tätig und "Sicherheits-Architekt" für Kunden und Forschungspartner. Hierbei liegt sein spezieller Fokus auf dem balancierten Zusammenspiel geschäftlicher Anforderungen und erforderlicher Sicherheitsmaßnahmen, um Entscheidungsträger in der Erfüllung ihrer Sorgfaltspflichten entsprechend zu unterstützen. Am liebsten hält er allerdings Security Awareness Vorträge, um komplexe Themengebiete zielgruppengerecht "zu übersetzen".

1. 2
Willkommen
zur SBA Live Academy
#bleibdaheim # remotelearning
Heute: Wie geht es Ihrer Supply Chain heute so?
by Stefan Jakoubi
This talk will be recorded as soon as the presentation starts!
Recording will end BEFORE the Q&A Session starts.
Please be sure to turn off your video in your control panel.

2. 3
WWie geht es Ihrer Supply Chain heute so?
Supply Chain & Cyber Security in einem Atemzug
SBA Research gGmbH, 2020

3. 4
JJedes Unternehmen hat und ist Supplier
Somit sind wir alle “Betroffene”
SBA Research, © 2020

4. 55
2017
©http://i.imgur.com/bzMzH8B.jpg(Reddit)

5. 6
22017
MMaersk Not-Petya Security Incident 2017
Chairman at World Economic Forum
Business Impact
- Ships with 10-20k containers each
entering a port every 15 minutes
- 800 ships = 12 Mio. containers
- 20% world’s shipping capacity
- 80.000 employees “blacked-out”
- 250-300 Mio USD loss
Technical Impact
- 2 hours until “disconnection”
- Reinstall entire infrastructure
- Reinstall 4.000 servers
- Reinstall 50.000 endpoints
- Reinstall 2.500 applications
- 600 sites in 130 countries
- 10 days offline (“by luck”)
Learning #1
We were basically average when it
comes to Cyber Security – like many
other companies…
Final Conclusion
But the next level of dependency on
digital will be <<everyhthing is
digital>> […] the boats will be
autonomous.
[…] you cannot overcome with human
resilience anymore.
https://www.youtube.com/watch?v=VaqIYlYmDbA
SBA Research, © 2020
https://www.wired.com/story/notpetya-cyberattack-ukraine-russia-code-crashed-the-world/

6. 7
BBCI Supply Chain Resilience Report 2019
SBA Research, © 2020
https://www.thebci.org/resource/bci-supply-chain-resilience-report-2019.html

7. 8
MMein Risiko?
Ist “Supply-Chain-Cyber-Risiko” Teil meiner Risikoanalyse?
SBA Research, © 2020
??? %

8. 9
HHerausforderung
SBA Research, © 2020
??? % = Nicht
bewertetes Risiko
Unklarer
Investitionsbedarf
Materialisiertes
Risiko
„Warten“ auf
Vorfall

9. 10
HHerausforderung
SBA Research, © 2020
Zulieferer-Zugriff
nicht bewertet
Keine
Verantwortlichkeit
Verschlüsselung der
zugreifbaren Infra
Zulieferer „bringt
Malware mit“

10. 11
VVERTRAUEN
„Vertrauen ist ein Phänomen,
das in unsicheren Situationen
oder bei risikohaftem Ausgang
einer Handlung auftritt.“
11
https://de.wikipedia.org/wiki/Vertrauen

11. 12
VVertrauen gut, Steuerung definitiv besser!
SBA Research, © 2020

12. 13
SSchritt 1: Übersicht gewinnen
Für eine bessere Risikostrategie & Entscheidungsgrundlage
SBA Research, © 2020
unkritisch heikelst
Macht
sichtbar/steuerbar
Ohnmacht
unsichtbar/unsteuerbar
Kompensierende Maßnahmen
Risikotransfer (Verträge & Versicherung)
Akzeptanz des Restrisikos
----------------------------------------------------
Managemententscheidung
Sichtbarkeit

13. 14
SSchritt 2: Mögliche Handlungsfelder
Was kann ich morgen Früh als Erstes angehen?
SBA Research, © 2020
• Verantwortlichkeit(en) herausfinden und an einen Tisch bringen
• Kritische Lieferanten identifizieren und hinsichtlich Cyber Security Bedrohungen hinterfragen
• Datenfluss „heikelster“ Unternehmensinformationen verfolgen
• Self-Assessment FFragebogen entwerfen, in EEinkaufsprozess sowie AAkquisitionsvorhaben integrieren
• Sichtbarkeit über TThird Party Risk Management Tooling erhöhen
• Review der VVersicherungslandschaft, ob Cyber Risiken entsprechend berücksichtigt sind
• Outsourcing von Audits
• Incident Response Fähigkeiten verbessern (Notfallplanung)
• „Supply-Chain-Cyber-Risiken“ in UUnternehmensrisikomanagement einbetten
• 3 Verteidigungslinien sicherstellen
1. Management(!)-Verantwortlichkeiten definieren
2. Third Party Risk Management etablieren (Schlagwort: Integriertes Risikomanagement)
3. Internal Audit aufbauen
• Security Incident Monitoring essentieller Lieferanten

14. 15
PPriorisierung durch Sichtbarkeit
Reifegrad vs. Risiko
SBA Research, © 2020
RT 2
Prio1 Fokus

15. 16
IInfoflyer: Supply Chain (Cyber) Risk Mgmt.
Was kann ich morgen Früh als Erstes angehen?
SBA Research, © 2020
RT 2
https://www.sba-research.org/sba-live-academy/

16. 17
MMeine 3 Key Take-Aways
1. Ökosystem des Unternehmens verstehen
2. Business Impact verstehen zur Priorisierung
3. Datenfluss „heikler“ Informationen folgen
SBA Research, © 2020

17. 18
Stefan Jakoubi
SBA Research gGmbH
Floragasse 7, 1040 Wien
+43 660 5 10 20 40
sjakoubi@sba-research.org
SBA Research gGmbH, 2020

18. 19
PProfessional Services
Penetration Testing
Architecture Reviews
Security Audit
Security Trainings
Incident Response Readiness
ISMS & ISO 27001 Consulting
Forschung & Beratung unter einem Dach
Applied Research
Industrial Security | IIoT Security |
Mathematics for Security Research |
Machine Learning | Blockchain | Network
Security | Sustainable Software Systems |
Usable Security
SBA Research
Wissenstransfer
SBA Live Academy | sec4dev | Trainings |
Events | Lehre | sbaPRIME
Kontaktieren Sie uns: anfragen@sba-research.org

19. 20
#bleibdaheim #remotelearning
Coming up @ SBA Live Academy
02.04.2020, 13.00 Uhr, live:
CRLite – Revocation for X.509
certificates in the browser –
this time for real?
by Mathias Tausig
Treten Sie unserer MeetUp Gruppe bei!
https://www.meetup.com/Security-Meetup-by-SBA-Research/