Vier wesentliche Komponenten des Risikomanagements von Drittanbietern
Null ist die Anzahl der Managed Service Provider (MSPs), die Datto gefragt haben, ob wir oder einer unserer Hauptanbieter von den Microsoft Exchange ProxyLogon-Schwachstellen betroffen sind. Houston, wir haben ein Problem!
Sicherheitsüberlegungen enden nicht am Rande unserer Netzwerke. Wir müssen auch die Sicherheit von Anbietern berücksichtigen, die unsere Daten verarbeiten, in unsere Systeme integriert sind oder auf die wir uns bei unseren täglichen Abläufen verlassen. Schließlich ist die Sicherheitslage eines Unternehmens nur so stark wie sein schwächstes Glied, und ob wir es glauben wollen oder nicht, Anbieter sind zu einer integralen Lieferkette geworden, die unsere Geschäftsabläufe unterstützt.
Für MSPs ist das Konzept des Outsourcings einer Aufgabe, eines Prozesses oder einer Funktion eine Selbstverständlichkeit. Dies ist die wichtigste Grundlage für die Dienstleistungen, die Sie Ihren Kunden anbieten. Aber wie sicher ist das Portfolio der Anbieter, mit denen Sie eine Partnerschaft eingegangen sind? Schützen sie die Vertraulichkeit, Integrität und Verfügbarkeit von Daten und den Zugriff auf diese Daten auf dieselbe Weise wie Sie selbst? Und vor allem: Kennen Sie die Sicherheitslücken und Risiken, denen Sie durch Ihre Lieferantenbeziehungen im Laufe der Zeit ausgesetzt sind? Wenn Sie nicht auf alle diese Fragen eine schnelle Antwort haben, vernachlässigen Sie wahrscheinlich eine wesentliche Komponente der Cyber-Resilienzstrategie Ihres Unternehmens.
Führen Sie eine Bestandsaufnahme Ihrer Anbieter durch?
Fangen wir mit den Grundlagen an. Jeder IT- oder Sicherheitsexperte würde Ihnen bestätigen, dass der grundlegende Schritt für jede erfolgreiche Initiative darin besteht, sich selbst zu kennen – das heißt, die eigene Sicherheitslage zu verstehen. Bestandsaufnahmen von Hardware- und Software-Ressourcen sind wesentliche Bestandteile des Funktionsbereichs „Identifizierung“ in den meisten von MSPs verwendeten Cybersicherheits-Frameworks. Warum also nicht auch eine Bestandsaufnahme Ihrer Lieferanten vornehmen?
Wie können Sie ein Problem effektiv verwalten, ohne seine Parameter zu erfassen und zu verstehen? Ohne ein allgemeines Verständnis dafür, welche Anbieter in Ihrem Unternehmen eingesetzt werden, sind Sie wahrscheinlich nicht in der Lage, die tatsächlichen Schwachstellen in Ihrem Risikoportfolio für Drittanbieter zu identifizieren. Die Taxonomie Ihrer Beschaffungen spielt hier eine wichtige Rolle. Jeder Lieferant, der ein- oder ausgeht, sollte erfasst und in einem Aufzeichnungssystem auf der Grundlage der Art der Dienstleistung und der Beziehung ordnungsgemäß identifiziert werden. Dieses System kann auch eine Technologie oder eine einfache Tabellenkalkulation sein. Der Schlüssel dazu ist einfach die Entwicklung von Prozessen und deren Beibehaltung.
Die zentrale Verwaltung eines Lieferantenportfolios hat viele Vorteile, von denen nur einige sicherheits- und risikobasiert sind. Mit einem guten Überblick über die vorhandenen Anbieter können Sie nun Redundanzen und unnötige Beziehungen an einer einzigen Stelle bewerten. Ganz zu schweigen davon, dass Sie nach der Zentralisierung der Anbieter an einer einzigen Stelle damit beginnen können, die Prioritäten bei der Prüfung auf der Grundlage der Wichtigkeit des Anbieters für Ihre Unternehmensabläufe zu setzen.
Wer ist wer im Anbieterzoo?
Nicht alle Anbieter sind gleich, und es kann schwierig sein, alle Anbieter in Ihrem Anbieterportfolio in ihrer ganzen Tiefe zu erforschen, insbesondere wenn Sie nur über begrenzte Sicherheitsressourcen verfügen. In einer Welt, in der Risikomanagement ein Luxus ist, sollten wir unsere Bemühungen auf die Anbieter konzentrieren, deren Kompromittierung unserem Unternehmen den größten Schaden zufügen oder unser Arbeitstempo erheblich stören könnte.
Die Priorisierung bzw. die Einstufung von Anbietern kann als Leitfaden für eine Reihe von Prozessen im Anbietermanagementzyklus dienen:
- Festlegen einer Kadenz für die Anbieterprüfung im gesamten Unternehmen
- Definition spezifischer Anforderungen für Anbieter auf jeder Ebene
- Beschleunigen Sie die Beschaffungsprozesse für Anbieter mit geringem Risiko
- Ermöglicht die Priorisierung von Untersuchungen bei hochrangigen Anbietern
Im Folgenden finden Sie einige wichtige Kriterien, die Sie bei der Einstufung Ihrer Anbieter berücksichtigen sollten.
Eine Checkliste zu viel: Richtiges Bewerten von Anbietern
Mit der zunehmenden Komplexität der Beziehungen zu Anbietern sollten auch die Methoden zu deren Bewertung wachsen. Die Ära der standardisierten Checklisten ist vorbei, und doch verlassen sich viele Unternehmen weiterhin ausschließlich auf die Fähigkeit einer Checkliste, komplexe Sicherheitsprozesse zu bewerten. Das ist so, als würde man versuchen, ein dreidimensionales Problem mit einem zweidimensionalen Ansatz zu quantifizieren.
Nachdem Sie nun Kriterien für die Identifizierung Ihrer kritischsten Anbieter entwickelt haben, können Sie einen Schritt zurücktreten und ein geeignetes Verfahren zu deren Bewertung entwickeln - eines, das die Anbieter auf eine Weise bewertet, die Ihre internen Anforderungen widerspiegelt. In den meisten Fällen sollten diese Tier-1-Anbieter wie eine Erweiterung Ihres Unternehmens behandelt werden. Daher sollten Sie sicherstellen, dass sie über ähnliche oder bessere Richtlinien, Verfahren, Prozesse und Fähigkeiten verfügen als diejenigen, die Sie für Ihr Unternehmen festgelegt haben.
Es ist wichtig, sich zu fragen, welche Auswirkungen ein Einbruch bei diesem Anbieter auf unseren Betrieb und den unserer Kunden haben würde. Bewerten Sie den Anbieter anhand dieser Prioritäten. Wenn Ihnen die Verfügbarkeit wichtig ist, sollten Sie feste SLAs in den Vertrag aufnehmen und sicherstellen, dass der Anbieter über einen angemessenen Reaktionsplan für den Fall eines Zwischenfalls verfügt. Vergewissern Sie sich, dass die Pläne zur Aufrechterhaltung des Geschäftsbetriebs so konzipiert und getestet sind, dass sie auch für unvorhergesehene Ereignisse gerüstet sind und nicht nur eine Anforderung erfüllen. Wenn es Ihnen in erster Linie um Daten geht, sollten Sie sich vergewissern, dass die entsprechenden Zugangskontrollen in die Umgebung integriert sind, dass die Verschlüsselungsstandards eingehalten werden, dass die Audit-Protokolle überprüft werden usw.
Die Liste der Szenarien ließe sich endlos fortsetzen, aber das Wichtigste ist, dass Sie keine Lücken in den Prozessen des Anbieters übersehen und Ihre Bewertung auf der Grundlage eines soliden Verständnisses dessen, was er für Sie tut und wie er sich auf Ihre Widerstandsfähigkeit auswirkt, vornehmen. Es ist sehr einfach, sich auf die Existenz eines Prozesses zu berufen, aber es ist viel schwieriger, seine Effektivität und Effizienz durch Dokumentation zu belegen. Stellen Sie also sicher, dass Sie weitere Nachforschungen anstellen, Fragen stellen, sich mit den richtigen Vertretern treffen und deren Pläne zur Lösung von Problemen oder Bedenken dokumentieren. Denken Sie daran, dass Sie eine Handvoll dieser Anbieter als kritisch eingestuft haben, und es ist an der Zeit, sie auch so zu behandeln.
Wenn solche Pläne nicht vorhanden sind, sollten Sie gemeinsam mit ihnen einen Aktionsplan mit Meilensteinen entwickeln. Auf diese Weise können sie die Fortschritte bei der Umsetzung der gewünschten Lösung besser verfolgen. Wenn diese Option nicht in Frage kommt, sollten Sie sicherstellen, dass Sie ein System haben, mit dem Sie das Risiko auf den Anbieter übertragen oder die Einhaltung vertraglich festlegen können. Bewährte Praktiken und Zusicherungen können nicht mehr erwartet werden, sondern sollten bei der Aufnahme einer Geschäftsbeziehung mit einem Anbieter vorausgesetzt werden, und wenn sie nicht eingehalten werden, sollte der Anbieter ganz oder teilweise für den Schaden aufkommen.
Eine vertragliche Sicherheitsklausel schützt Sie nicht nur, indem sie die Anbieter zur Einhaltung der Best Practices verpflichtet, sondern legt auch den Rhythmus für die Geschäftsbeziehung fest. Er verpflichtet beide Parteien zu den Standards, die im Falle eines Vorfalls eingehalten werden müssen. Dinge wie Reaktion auf einen Vorfall, Datenabruf, Dateneigentum, Rechte an einer Bewertung usw. sollten in diesen Beziehungen von vornherein festgelegt werden. Dies mögen grundlegende Anforderungen sein, aber wenn es hart auf hart kommt, werden Sie froh sein, dass sich Ihr Rechtsteam auf diese Klauseln berufen kann, um eine Antwort oder eine Maßnahme des Anbieters zu beschleunigen.
