Coop-attacken i juli 2021 visar hur en störning hos en IT-leverantör kan stoppa kundnära verksamhet. Angreppet mot Kaseya påverkade Coops kassasystem via leverantörskedjan. Enligt Coop Mitts årsrapport 2021 tvingades drygt 700 butiker hålla stängt när kassor och andra system inte kunde användas.
Här går vi igenom tre praktiska lärdomar: kartlägg kritiska beroenden, begränsa leverantörers systemåtkomst och testa hur ni fortsätter leverera under ett avbrott.
Kartlägg beroenden bakom era kritiska leverantörer
Kaseya drabbades av en ransomware-attack där REvil utnyttjade en sårbarhet i Kaseyas fjärradministrationsverktyg VSA. Coop använde inte Kaseya direkt, men deras kassaleverantör Visma Esscom gjorde det. När Kaseya föll, föll Coop. Det är definitionen av en supply chain-attack.
Börja med de tjänster som kan stoppa er försäljning eller leverans. Fråga er leverantör vilka företag i nästa led som driver tjänsten. Vilka verktyg ger dem åtkomst till era system? Rita upp kedjan från er egen process till den köpta tjänsten och de företag den är beroende av.
| Fråga till leverantören | Underlag att följa upp |
|---|---|
| Vilka företag i nästa led behövs för att tjänsten ska fungera? | Lista över kritiska beroenden och hur ni får veta att de ändras |
| Vilka av våra system kan ni styra på distans? | Konton, behörigheter och rutiner för att stänga åtkomst |
| Hur får vi veta att en incident påverkar tjänsten? | Kontaktväg, reservkontakt och vad ni ska få veta vid ett avbrott |
| Hur får ni igång tjänsten om ert verktyg för fjärråtkomst slås ut? | Reservrutin och resultat från tester |
Ett enkätsvar visar inte att reservrutinen fungerar. Be om underlag och testa viktiga antaganden ihop. Lägg mest tid på tjänster som ni är starkt beroende av. Alla leverantörer behöver inte lika djup granskning. Läs mer om hur ni hanterar risker hos era leverantörer.
För verksamheter som omfattas av NIS2 ingår säkerhet i leveranskedjan i de riskbaserade åtgärderna enligt 2 kap. 3 § cybersäkerhetslagen. Kartläggningen ger underlag för krav och uppföljning, men garanterar inte att leverantören undviker incidenter.
Vikten av en snabb väg tillbaka
Coop meddelade den 8 juli 2021 att alla butiker var öppna igen. Under avbrottet hade bolaget också utökat sin mobila betallösning Scan & Pay för att göra det möjligt att handla.
Att verksamheten kan öppna är inte samma sak som att alla ordinarie system är återställda. Bestäm vilka tjänster som måste fungera först, vilka reservrutiner som kan användas och vem som får fatta beslut om återgång.
En kontinuitetsplan bör omfatta både teknisk återställning och praktiskt arbete utan ordinarie system. Testa reservrutinen med personal och leverantörer, och dokumentera hur lång tid den tar.
Övning för er verksamhet: Anta att den viktigaste köpta IT-tjänsten ligger nere hela dagen. Låt personalen hantera en vanlig kundorder med reservrutinen. Kan ni ta emot ordern, bekräfta den och hantera betalning eller leverans? Går det att hitta rätt telefonnummer och instruktioner när era system ligger nere?
Mät tiden till första genomförda order och vilka moment som fastnar. Bestäm vem som får starta reservrutinen. Hur för ni in manuella order när systemen fungerar igen? Stäm av att inga order saknas eller blir dubbla. Övningen är ett exempel för er planering, inte en beskrivning av Coops interna arbete.
Begränsa åtkomst och följ upp leverantörernas skydd
Säkerhet är inte ett projekt med ett slutdatum. Det är ett ständigt pågående arbete.
Hotbilden förändras varje dag. Därför måste ert skydd också göra det. Ni behöver regelbunden sårbarhetsskanning och ständiga uppdateringar av era system.
Coop-incidenten visade att ni måste förstå er egen plats i kedjan. Använd ramverk som ISO 27001 eller NIST för att skapa ordning och reda i säkerhetsarbetet.
Prioritera de beroenden som kan stoppa er leverans: fjärradministration, betalning, identitetstjänster och kritisk drift. Begränsa administrativa åtkomster och kom överens om hur leverantören larmar vid en incident.
Utse en ägare för varje kritiskt beroende. Vid större ändringar och omvärdering behöver ni följa upp vilka företag som driver tjänsten, vem som har åtkomst och hur snabbt den kan återställas. Ge varje brist en ansvarig och ett datum för åtgärd. Då leder granskningen till beslut som ni kan följa upp, till exempel i ett GRC-system där leverantörsrisker och åtgärder hänger ihop. Läs mer om leverantörsbedömning för att hålla ordning på leverantörerna.
Vanliga frågor
Hur lång tid tog det innan Coop var igång igen?
Coop meddelade den 8 juli 2021 att alla butiker var öppna igen efter störningen som började den 2 juli. Återöppning av butikerna ska skiljas från full återställning av alla ordinarie system.
Varför drabbades Coop av Kaseya-attacken?
Det var en indirekt attack. Coops kassaleverantör Visma Esscom använde Kaseyas fjärradministrationsverktyg VSA. När ransomware-gruppen REvil komprometterade Kaseya spreds krypteringen vidare ned i kedjan till Coops kassasystem som en dominoeffekt.
Hur många butiker påverkades?
Coop Mitts årsrapport 2021 anger att drygt 700 butiker tvingades hålla stängt eftersom kassor och andra system inte kunde användas. Uppgiften ska inte blandas ihop med kedjans totala antal butiker.
Vad kan företag göra för att skydda sig?
Ta reda på vilka leverantörer era kritiska tjänster är beroende av, även i nästa led. Begränsa åtkomst och avtala om hur ni får larm. Testa hur ni arbetar vid ett avbrott och följ upp brister med en ansvarig och ett datum för åtgärd.
Vilka regler gäller för leverantörssäkerhet?
Om NIS2 gäller er ingår säkerhet i leveranskedjan i de åtgärder ni ska vidta utifrån era risker. ISO 27001 ger stöd för att hantera risker hos leverantörer inom ert ledningssystem. GDPR gäller när personuppgifter behandlas; era skyldigheter beror på vilken roll ni och leverantören har. Se IMY:s vägledning om personuppgiftsansvariga och biträden.
