Vier essentiële onderdelen van risicobeheer voor derden

Nul is het aantal managed service providers (MSP's) dat Datto heeft gevraagd of wij, of een van onze belangrijkste leveranciers, getroffen zijn door de Microsoft Exchange ProxyLogon kwetsbaarheden. Houston, we hebben een probleem!

Beveiligingsoverwegingen stoppen niet bij de perimeter van onze netwerken. We moeten rekening houden met de houding van leveranciers die onze gegevens verwerken, integreren met onze systemen, of van degenen op wie we vertrouwen in onze dagelijkse activiteiten. Per slot van rekening is de beveiliging van een organisatie zo sterk als de zwakste schakel, en of we het nu willen geloven of niet, leveranciers zijn een integrale toeleveringsketen geworden die onze bedrijfsactiviteiten ondersteunt.

Als MSP's is het concept van het uitbesteden van een verantwoordelijkheid, proces of functie een tweede natuur. Dit is de basis van de diensten die u aan uw klanten levert, maar hoe veilig is het portfolio van leveranciers waarmee u samenwerkt? Beschermen ze de vertrouwelijkheid, integriteit en beschikbaarheid van gegevens en toegang op dezelfde manier als jij dat zou doen? En nog belangrijker, hebt u inzicht in de hiaten in de beveiliging en de risico's waaraan uw leveranciersrelaties u na verloop van tijd blootstellen? Als u geen snel antwoord hebt op al deze vragen, dan is de kans groot dat u een essentieel onderdeel van de cyberweerbaarheidsstrategie van uw organisatie verwaarloost.

Inventariseert u uw leveranciers?

Laten we bij het begin beginnen. Elke IT- of beveiligingsprofessional zal je vertellen dat de eerste stap bij elk goed initiatief is: jezelf kennen, oftewel inzicht hebben in je beveiligingsstatus. Inventarisaties van hardware en software vormen essentiële onderdelen van het functionele capaciteitsgebied ‘Identificatie’ in de meeste door MSP’s gehanteerde cyberbeveiligingsraamwerken, dus waarom zou je niet ook je leveranciers inventariseren?

Hoe kunt u een probleem effectief beheren zonder de parameters te verzamelen en te begrijpen? Zonder een algemeen begrip van welke leveranciers in uw organisatie worden gebruikt, is de kans groot dat u niet in staat bent om de werkelijke kwetsbare punten in uw risicoportfolio voor derden te identificeren. De taxonomie van uw aankopen speelt hier een belangrijke rol. Elke leverancier die binnenkomt of vertrekt moet worden verantwoord en op de juiste manier worden geïdentificeerd in een registratiesysteem op basis van het type dienst en relatie. Dat registratiesysteem kan ook een technologie zijn, of een eenvoudige spreadsheet. De sleutel hier is eenvoudigweg het ontwikkelen en onderhouden van processen.

Het centraal beheren van een leveranciersportfolio heeft vele voordelen, waarvan slechts enkele op veiligheid en risico gebaseerd zijn. Met een goed begrip van wat er bestaat, kun je nu redundanties en onnodige relaties op één plek evalueren. Om nog maar te zwijgen over het feit dat, zodra de leveranciers gecentraliseerd zijn op één plek, je kunt beginnen met het prioriteren van je onderzoek op basis van de kriticiteit van de leverancier voor de activiteiten van je organisatie.

Wie is wie in de dierentuin van leveranciers?

Niet alle leveranciers zijn gelijk en het kan moeilijk zijn om de diepgang van elke leverancier in uw leveranciersportfolio te onderzoeken, vooral wanneer u te maken hebt met beperkte beveiligingsmiddelen. Dus, in een wereld waar risicomanagement een luxe is, moeten we onze inspanningen prioriteren op die leveranciers waarvan de compromittering de grootste schade aan onze organisatie zou kunnen toebrengen of een aanzienlijke verstoring van ons operationele tempo zou kunnen veroorzaken.

De prioritering, of de rangschikking van leveranciers, kan worden gebruikt om een reeks processen in de leveranciersbeheercyclus te sturen:

• Stel een cadans in voor leveranciersonderzoek binnen de gehele onderneming
• Specifieke vereisten definiëren voor leveranciers op elk niveau
• Versnel de inkoopprocessen voor leveranciers met een laag risico
• Prioriteit toekennen aan onderzoek naar belangrijke leveranciers

Hier zijn enkele belangrijke criteria die moeten worden overwogen bij het rangschikken van uw leveranciers.

Eén checklist te veel: Uw leveranciers goed beoordelen

Naarmate de complexiteit van leveranciersrelaties toeneemt, moeten ook de methoden waarmee we ze beoordelen veranderen. Het tijdperk van de gestandaardiseerde checklist is voorbij en toch blijven veel organisaties alleen vertrouwen op het vermogen van een checklist om complexe beveiligingsprocessen te meten. Dit is alsof je een driedimensionaal probleem probeert te kwantificeren met een tweedimensionale benadering.

Nu u criteria hebt ontwikkeld voor het identificeren van uw meest kritische leveranciers, kunt u een stap terug doen en een goede manier ontwikkelen om ze te beoordelen - een manier die leveranciers meet op een manier die uw interne vereisten weerspiegelt. In de meeste gevallen moeten deze Tier 1-leveranciers worden behandeld als een verlengstuk van uw organisatie, en dus moet u ervoor zorgen dat ze hetzelfde of een beter beleid, procedures, processen en mogelijkheden hebben dan die u voor uw organisatie hebt ingesteld.

Het wordt noodzakelijk om jezelf af te vragen als deze specifieke leverancier wordt gekraakt, wat zou dan de impact zijn op onze activiteiten en die van onze klanten? Beoordeel de leverancier aan de hand van deze prioriteiten. Als u zich zorgen maakt over de beschikbaarheid, bouw dan stevige SLA's in het contract in en zorg ervoor dat ze een adequaat responsplan hebben in het geval van een incident. Zorg ervoor dat hun bedrijfscontinuïteitsplannen gebouwd en getest zijn om bestand te zijn tegen het onvoorziene, en niet alleen voldoen aan een vereiste. Als u zich vooral zorgen maakt over gegevens, zorg er dan voor dat de juiste toegangscontroles zijn ingebouwd in hun omgeving, schil een laag af, controleer of er versleutelingsstandaarden zijn aangenomen, zorg ervoor dat logboeken van audit-trails worden gecontroleerd, enzovoort.

De scenario's kunnen eindeloos doorgaan, maar het belangrijkste is dat u geen gaten in de processen van de leverancier over het hoofd ziet en dat u uw beoordeling baseert op een goed begrip van wat ze voor u doen en hoe dit uw veerkracht beïnvloedt. Het is heel gemakkelijk om te beweren dat een proces bestaat, maar het is veel moeilijker om de effectiviteit en efficiëntie ervan te bewijzen aan de hand van documentatie. Zorg er dus voor dat je verder onderzoek doet, stel vragen, ontmoet de juiste vertegenwoordigers en documenteer hun plannen om eventuele problemen of zorgen aan te pakken. Onthoud dat je een handvol van deze leveranciers hebt aangemerkt als kritisch, het wordt tijd dat je ze ook zo gaat behandelen.

Als dergelijke plannen niet bestaan, werk dan met hen samen om een actieplan met mijlpalen te ontwikkelen. Dit zal hen helpen de voortgang te volgen om de gewenste oplossing te bereiken. Als deze optie niet op tafel ligt, zorg er dan voor dat je een systeem hebt om het risico terug te leggen bij de leverancier of stel naleving vast via contractuele taal. Best practices en garanties kunnen niet langer worden verwacht, ze moeten worden geleverd als vereisten bij het aangaan van een verkooprelatie en als ze niet worden nageleefd, moet de schade geheel of gedeeltelijk door de verkoper worden gedragen.

Contractuele beveiligingstaal zal u niet alleen beschermen door leveranciers te dwingen zich te houden aan best practices, maar het zal ook de cadans bepalen voor de relatie. Het zal beide partijen binden aan de standaarden waaraan voldaan moet worden in het geval van een incident. Zaken als de reactie op een incident, het opvragen van gegevens, eigenaarschap van gegevens, rechten op een beoordeling, enz. moeten allemaal vooraf worden vastgelegd in deze relaties. Dit lijken misschien basiseisen, maar als puntje bij paaltje komt, zult u blij zijn dat uw juridische team een beroep kan doen op deze clausules om een reactie of actie van de leverancier te bespoedigen.