Bảo vệ chuỗi cung ứng bằng bảo mật hiện đại

Các cuộc tấn công mạng và môi trường quy định đang thay đổi

Các tổ chức hiện đang đối mặt với mức độ gián đoạn chuỗi cung ứng chưa từng có, từ đại dịch toàn cầu và suy thoái kinh tế cho đến tình trạng gián đoạn cảng biển và chi phí vận tải tăng cao kỷ lục. Ngày nay, hacker chủ động nhắm mục tiêu vào hệ thống bên thứ ba, phần mềm, mã nguồn hoặc tài sản sở hữu trí tuệ (IP). Trên thực tế, có tới 97% tổ chức từng gặp sự cố vi phạm an ninh mạng do điểm yếu trong chuỗi cung ứng. Các gián đoạn trong chuỗi cung ứng có thể làm ảnh hưởng đến tính toàn vẹn của sản phẩm hoặc dịch vụ được cung cấp, cũng như tính bảo mật và quyền riêng tư của dữ liệu hoặc mã nguồn đang được trao đổi, từ đó dẫn đến chậm trễ trong vận hành doanh nghiệp và làm suy giảm lợi nhuận ở mọi lĩnh vực ngành nghề.

Để ứng phó với các mối đe dọa ngày càng gia tăng đối với chuỗi cung ứng và các lĩnh vực hạ tầng trọng yếu, Sắc lệnh Hành pháp (EO) 14028 của Nhà Trắng cùng Bản ghi nhớ M-22-09 của Văn phòng Quản lý và Ngân sách (OMB) đã đưa ra những kỳ vọng và hướng dẫn mới về Zero Trust cũng như xác thực đa yếu tố (MFA) chống phishing dành cho các cơ quan liên bang và doanh nghiệp, cũng như các nhà cung cấp và đối tác của họ. Các tổ chức có thể bắt đầu hành trình giảm thiểu rủi ro trên toàn bộ chuỗi cung ứng bằng cách xác định và xử lý rủi ro trong ba lĩnh vực trọng yếu:

Bảo mật truy cập chuỗi cung ứng bằng MFA hiện đại, chống phishing

Các tổ chức cần xác định và xác thực mọi người dùng có quyền truy cập vào đầu vào sản xuất, tài sản IP hoặc các hệ thống tham gia vào chuỗi cung ứng. Một trong những khuyến nghị hàng đầu trong tiêu chuẩn NIST 800-161 cập nhật, “Cyber Supply Chain Risk Management Practices for Systems and Organizations” là triển khai xác thực đa yếu tố nhằm bảo vệ truy cập từ xa và truy cập của bên thứ ba vào mạng lưới hệ thống. Tuy nhiên, không phải mọi giải pháp MFA đều giống nhau, và cũng không phải tất cả đều được xem là chống phishing. OMB M-22-09 định nghĩa MFA chống phishing là quy trình xác thực có khả năng miễn nhiễm trước các cuộc tấn công đánh cắp hoặc lừa người dùng tiết lộ thông tin truy cập.

YubiKey cung cấp xác thực đa yếu tố và xác thực không mật khẩu chống phishing ở quy mô lớn trên toàn chuỗi cung ứng, giúp các tổ chức và nhà cung cấp của họ triển khai cơ chế xác thực mạnh mẽ nhưng dễ sử dụng cho bất kỳ người dùng nào có quyền truy cập upstream vào mạng hoặc tham gia vào các giai đoạn bàn giao IP quan trọng.

YubiKey là giải pháp duy nhất được chứng minh có thể ngăn chặn 100% các vụ chiếm đoạt tài khoản trong các nghiên cứu độc lập. Đồng thời, YubiKey còn mang lại trải nghiệm người dùng vượt trội với khả năng xác thực không mật khẩu chỉ bằng thao tác chạm nhanh, tốc độ nhanh gấp 4 lần SMS và giúp giảm tới 92% số lượng cuộc gọi hỗ trợ kỹ thuật. Ngoài ra, YubiKey còn có các phiên bản đạt chứng nhận FIPS 140-2.

 

Đảm bảo tính toàn vẹn của chuỗi cung ứng

Một trong những rủi ro cố hữu trong bảo mật chuỗi cung ứng là khả năng tính toàn vẹn, chất lượng hoặc độ tin cậy của sản phẩm, phần mềm hoặc dịch vụ bị xâm phạm. Điều tối quan trọng là phải đảm bảo tất cả các thành phần tham gia vào quy trình end-to-end đều là chính hãng, nhằm tránh việc sao chép trái phép và đánh cắp tài sản, đồng thời phục vụ mục tiêu kiểm soát chất lượng, bởi dây chuyền lắp ráp chỉ nên sử dụng các sản phẩm có nguồn gốc xác thực. Bên cạnh đó, việc đảm bảo tính toàn vẹn của chuỗi cung ứng phần mềm cũng vô cùng cần thiết, nhằm bảo đảm mọi mã nguồn, phần mềm, framework hoặc thư viện từ nguồn bên ngoài đều được ký mã an toàn và được bảo vệ trước truy cập trái phép cũng như hành vi giả mạo.

Phương pháp truyền thống để đảm bảo tính toàn vẹn của tài sản IP, chống hàng giả và bảo vệ quá trình ký mã thường dựa trên việc sử dụng khóa ký mật mã và cơ chế mã hóa, được lưu trữ hoặc trong phần mềm, vốn rất dễ bị tấn công hoặc trong mô-đun bảo mật phần cứng (HSM).

YubiKey 5 Series

Bảo vệ tính toàn vẹn sản phẩm, tài sản IP và quản lý mã nguồn với YubiHSM 2

Yubico đã phát triển YubiHSM 2 – HSM nhỏ nhất thế giới với thiết kế nano siêu di động và chi phí thấp. YubiHSM 2 cho phép lưu trữ khóa và thực hiện các thao tác bảo mật theo cách chống giả mạo, bằng cách ngăn chặn việc sao chép và phát tán khóa mật mã, đồng thời ngăn chặn hành vi đánh cắp từ xa các khóa được lưu trong phần mềm. YubiHSM 2 có thể được ứng dụng trong mọi quy trình cần quản lý bí mật và xác thực thành phần, nơi cần ngăn chặn giả mạo hoặc bảo vệ hạ tầng PKI cùng hệ thống khóa mật mã liên quan.

YubiHSM 2 đặc biệt phù hợp để bảo vệ khóa ký và chứng chỉ dùng cho ký mã nguồn cũng như tạo chữ ký số, từ đó hỗ trợ bảo mật các bí mật được chia sẻ trong chuỗi cung ứng. Đối với các tổ chức cần đáp ứng yêu cầu FIPS 140-2, Yubico còn cung cấp tùy chọn YubiHSM 2 FIPS đạt chứng nhận FIPS 140-2 Level 3 nhằm đảm bảo mức độ bảo vệ dữ liệu cao nhất cũng như tuân thủ nghiêm ngặt các tiêu chuẩn bảo mật.

YubiHSM 2 và YubiHSM 2 FIPS

Mua khóa YubiKey ở đại lý chính hãng

Việc mua phải khóa YubiKey từ các nhà phân phối không rõ nguồn gốc có thể khiến bạn gặp phải hàng nhái và thiết bị không tương thích hoặc không được bảo hành chính hãng. Vì vậy, hãy lựa chọn khóa YubiKey tại DigiBit – Đại lý ủy quyền chính thức của Yubico tại Việt Nam.