In den letzten Jahren gab es eine Flut von Ransomware-Angriffen auf namhafte Unternehmen, groß angelegte Hackerangriffe auf Regierungsbehörden und Hackerangriffe auf kritische Infrastrukturen. Die Globalisierung hat zwar zu beispiellosen wirtschaftlichen Gewinnen geführt, aber auch die Widerstandsfähigkeit und das Risikomanagement der meisten Unternehmen erschwert.
Laut unserer aktuellen TPRM-Studie gaben 61 % der Unternehmen an, dass sie im letzten Jahr von einer Datenpanne oder einem Cybervorfall bei Dritten betroffen waren. Heutzutage kann ein einziger Cyberangriff kritische Dienste lahmlegen. So wurde beispielsweise die UnitedHealth Group, der größte Krankenversicherer der Vereinigten Staaten, durch einen Ransomware-Angriff auf ihre Health-Tech-Tochtergesellschaft Change Healthcare angegriffen, wodurch Krankenhäuser und Apotheken im ganzen Land weiterhin beeinträchtigt waren. Der Cyberangriff legte den Apothekenbetrieb lahm und verursachte weitreichende Ausfälle und Probleme bei der Bearbeitung von Versicherungen und Patientenabrechnungen.
Ein praktisches Programm zur Überwachung von Cyberrisiken kann dabei helfen, Sicherheitslücken in Ihrer Lieferkette und Ihren Geschäftsabläufen zu identifizieren, die Einhaltung gesetzlicher Vorschriften sicherzustellen und das Risiko schwerwiegender Störungen durch Drittanbieter zu verringern.
Was ist Cyber-Risikoüberwachung?
Cyber-Risikoüberwachung ist die Praxis der regelmäßigen Bewertung von Drittanbietern, um sicherzustellen, dass deren Cybersicherheitsrichtlinien mit den Best Practices übereinstimmen und kein inakzeptables Risiko für Ihr Unternehmen darstellen. Sie ist Teil eines umfassenderen Programms zur Überwachung von Drittanbietern.
Unternehmen überwachen ihre Lieferanten anhand verschiedener Kriterien, darunter die finanzielle Gesundheit, ESG-Risiken und die Vertragserfüllung. Die Überwachung von Lieferanten hinsichtlich Cybersicherheitsrisiken umfasst in der Regel mehrere Komponenten, darunter:
-
Überwachung von Datenschutzverletzungen
-
Überwachung offengelegter Anmeldedaten
-
Compliance-Überwachung
-
Fragebögen zur routinemäßigen Risikobewertung von Lieferanten
Was sind die Vorteile einer Überwachung von Cybersicherheitsrisiken durch Dritte?
Viele Unternehmen gehen davon aus, dass sie Cyberrisiken durch die Einrichtung eines robusten internen Informationssicherheitsprogramms wirksam mindern können. In den letzten Jahren haben böswillige Akteure jedoch zunehmend Drittanbieter und Lieferanten ins Visier genommen, die Zugang zu kritischen Systemen und sensiblen Daten anderer, größerer Unternehmen haben. Angreifer können ansonsten komplexe und gut finanzierte Sicherheitsprogramme umgehen, indem sie sich den Zugang eines Lieferanten zu dessen Kunden und Geschäftspartnern verschaffen.
Risiken durch Datenverstöße durch Dritte reduzieren
Datenverstöße durch Dritte werden für Unternehmen jeder Größe zu einem immer größeren Problem. Ein Cybersicherheitsvorfall bei einem Dritt- oder Viertanbieter kann proprietäre Informationen, Kundendaten, Mitarbeiterdaten und vieles mehr gefährden. Durch kontinuierliche Überwachung können Sie auf offengelegte Anmeldedaten von Anbietern oder Cybersicherheitslücken aufmerksam gemacht werden, die zu einem Datenverstoß führen könnten.
Compliance-Risiken reduzieren
Unternehmen unterliegen einer zunehmenden Anzahl von Anforderungen hinsichtlich Cybersicherheit und Datenschutz. Diese Compliance-Anforderungen enthalten oft strenge Bestimmungen zum Datenaustausch mit Dritten und zur Informationssicherheit. Der Austausch sensibler, regulierter Informationen mit einem unsicheren Anbieter kann zu Geldstrafen, Strafen und möglicherweise rechtlichen Konsequenzen sowohl für Ihr Unternehmen als auch für den Anbieter führen.
Beispielsweise werden Anbieter, die mit PHI umgehen, gemäß HIPAA als Geschäftspartner eingestuft. Dies verpflichtet sie dazu, dieselben Verfahren und Cybersicherheitsmaßnahmen wie die Hauptorganisation anzuwenden. Wenn ein HIPAA-Geschäftspartner die Compliance-Anforderungen nicht erfüllt, können die Gesundheitsorganisation und der Drittanbieter mit hohen Geldstrafen belegt werden.
Hier sind einige zusätzliche Vorschriften und Standards, die spezifische Anforderungen an die Überwachung von Cyberrisiken durch Dritte stellen:
Verstehen Sie die Sicherheitslage während des gesamten Lebenszyklus eines Anbieters
Nicht alle Anbieter benötigen Zugriff auf sensible oder regulierte Informationen. Dennoch kann es hilfreich sein, ihre Sicherheitsvorkehrungen zu kennen, wenn sie Zugriff auf Informationssysteme haben oder vor Ort arbeiten. Die Cybersicherheitsprofile von Anbietern ändern sich häufig, wenn ihre Unternehmen neue Standards einführen, Software umstellen, andere Unternehmen erwerben und expandieren. Eine kontinuierliche Überwachung während der gesamten Dauer der Geschäftsbeziehung kann dazu beitragen, Überraschungen zu vermeiden, die der anfängliche Fragebogen zum Anbietersrisiko nicht erfassen würde.
Beispielsweise wurde Target 2013 Opfer eines Datenlecks, bei dem personenbezogene Daten von Millionen seiner Kunden offengelegt wurden. Der Ursprung des Lecks lag bei einem Anbieter von Heizungs-, Lüftungs- und Klimaanlagen, also einem Unternehmen, das normalerweise keiner detaillierten Überprüfung unterzogen wird. Wenn Sie die Cybersicherheitsmaßnahmen eines Anbieters kennen und kontinuierlich auf Sicherheitslücken überwachen, kann Ihr Unternehmen besser entscheiden, auf welche Systeme und Informationen es Zugriff gewähren sollte, und Kontrollen entwickeln, um das Risiko eines Lecks zu verringern.
Aufbau Ihres Programms zur Überwachung von Cybersicherheitsrisiken
Wir haben festgestellt, wie wichtig es ist, Ihre Dritt-, Viert- und N-Partei-Anbieter hinsichtlich Cyberrisiken zu überwachen. Aber wie lässt sich eine effektive Überwachung von Anbietern hinsichtlich Cyberrisiken in unserer zunehmend vernetzten und komplexen Welt konzipieren? Hier sind die Schritte, die Sie unternehmen müssen, um ein robustes Cyberrisiko-Überwachungssystem aufzubauen, das Sie auf Probleme aufmerksam macht, bevor Sie eine Compliance-Prüfung nicht bestehen oder eine Datenverletzung erleben.
1. Definieren Sie Ihr akzeptables Risikoniveau
Jeder Anbieter, mit dem Sie zusammenarbeiten, stellt ein gewisses Risiko für Ihr Unternehmen dar. Sie müssen die Risiken definieren, mit denen Sie leben können, und sicherstellen, dass Anbieter Sicherheitsbewertungen erhalten, die das Risiko, das sie für Ihren Betrieb und Ihre sensiblen Daten darstellen, genau widerspiegeln. In vielen Fällen müssen Sie möglicherweise von Anbietern verlangen, ihr Risikoniveau zu senken, bis ihr Restrisiko akzeptabel ist.
2. Fragebögen zum Lieferantenrisiko nutzen
Fragebögen zum Lieferantenrisiko sind für die Einbindung von Drittanbietern von entscheidender Bedeutung. Dies gilt insbesondere dann, wenn Lieferanten Zugriff auf sensible Daten haben oder Ihr Unternehmen zahlreichen Compliance-Anforderungen unterliegt. Fragebögen zum Lieferantenrisiko können die finanzielle Gesundheit, die operative Stabilität, ESG-Kriterien und andere Aspekte abdecken, aber Cybersicherheit ist einer der wichtigsten Bestandteile. Einige Fragen, die Sie berücksichtigen sollten, sind:
-
Verfügt Ihr Unternehmen über Zertifizierungen von Drittanbietern für Informationssicherheit wie SOC2, ISO27001 oder CMMC?
-
Hält sich Ihre Organisation an ein bestimmtes Cybersicherheits-Framework oder -Modell?
-
Verfügt Ihr Unternehmen über ein internes Cybersicherheitsteam oder arbeitet es mit einem externen IT-Dienstleister oder Managed Security Services Provider zusammen?
Mit einer Risikomanagement-Software von Drittanbietern können Sie schnell und einfach Fragebögen auf der Grundlage einer Bibliothek mit Dutzenden von anpassbaren Vorlagen erstellen. Sie können erwägen, routinemäßige Lieferantenbewertungsfragebögen für Lieferanten mit besonders hohem Risikoprofil oder solche, die mit großen Mengen sensibler Daten Ihres Unternehmens umgehen, durchzuführen.
3. Überwachung auf Datenverstöße und offengelegte Anmeldedaten
Bevor Sie einen neuen Anbieter einbinden, sollten Sie Informationen über Datenverstöße sammeln, die bei diesem Anbieter aufgetreten sind, einschließlich Details zu betroffenen Systemen und Datensätzen sowie zu Abhilfemaßnahmen und Schadensbegrenzung. Überwachen Sie anschließend kontinuierlich Nachrichten und Hinweise auf neue Datenverstöße. So wird beispielsweise das Scannen des Dark Webs schnell zu einem entscheidenden Faktor für das Risikomanagement bei Drittanbietern. In vielen Fällen werden E-Mails und Passwörter von Unternehmen im Dark Web zum Verkauf angeboten, ohne dass diese davon wissen, was leicht zu einem Datenverstoß oder Sicherheitsvorfall führen kann. Glücklicherweise ist das gezielte Scannen nach offengelegten Anmeldedaten einfach und kann wertvolle Erkenntnisse darüber liefern, ob das Unternehmen bereits eine Datenverletzung erlebt hat oder über unzureichende Praktiken im Bereich der Benutzerverwaltung verfügt. Suchen Sie nach Lösungen, die Dark-Web-Scans und die Meldung von Datenverletzungen als Teil ihrer Lösung zur Überwachung von Lieferantenrisiken anbieten.
4. Überwachen Sie den Anbieter, wenn er vor Ort ist oder auf Ihre IT-Umgebung zugreift.
Anbieter benötigen häufig Zugriff auf IT-Ressourcen vor Ort, um vertraglich vereinbarte Arbeiten auszuführen. Das Risiko für die Cybersicherheit besteht jedoch auch nach dem Verlassen des Gebäudes durch den Anbieter weiter. Sie sollten daher sicherstellen, dass Ihr Unternehmen über klare Richtlinien verfügt, die den Zugriff des Anbieters auf Ihre Informationstechnologie regeln. Es ist wichtig zu bedenken, dass Fehler oder Datenverstöße seitens des Anbieters letztendlich in Ihre Verantwortung fallen können, insbesondere bei bestimmten Compliance-Anforderungen.
Bewährte Verfahren für die Cyberüberwachung
Sie können das Risiko von Cybersicherheitsbedrohungen durch Dritte verringern, indem Sie diese bewährten Verfahren in Ihr Programm integrieren:
Durchführung einer kontinuierlichen Überwachung durch Dritte
Fragebogenbasierte Cybersicherheitsbewertungen werden in der Regel ein- bis zweimal pro Jahr durchgeführt. Durch die Ergänzung regelmäßiger Bewertungen durch eine kontinuierliche Überwachung der Cyberrisiken können Sie sich über Veränderungen in der Cyberrisikolage von Anbietern auf dem Laufenden halten, wenn neue Bedrohungen auftreten. Durch die Überwachung der Cybersicherheitsleistung eines Anbieters können Sie außerdem dessen Bewertungsantworten anhand extern beobachtbarer Hinweise auf Datenverstöße und andere Vorfälle validieren. Durch die Implementierung einer robusten Lösung zur Überwachung von Risiken durch Dritte können Sie den Lebenszyklus des Anbietersicherheitsmanagements zuverlässig verwalten und auf Sicherheitslücken, Compliance-Probleme und potenzielle Datenverstöße reagieren, bevor diese sich auf Ihr Unternehmen auswirken.
Überprüfen Sie die bisherige Cybersicherheitsleistung
Die Vergangenheit sagt nicht unbedingt die Zukunft voraus, kann jedoch Aufschluss darüber geben, wie ernst eine Organisation die Cybersicherheit nimmt. Wenn eine Organisation in der jüngeren Vergangenheit zahlreiche Datenverstöße erlebt hat, kann dies ein guter Indikator dafür sein, dass die Daten Ihrer Organisation gefährdet sein könnten.
Wenden Sie das Prinzip der geringsten Privilegien an
Sie sollten für jeden Anbieter, mit dem Sie zusammenarbeiten, das Prinzip der geringsten Privilegien anwenden. Stellen Sie sicher, dass diese nur Zugriff auf kritische Systeme und Daten erhalten, die für die Ausführung ihrer Arbeit erforderlich sind. Vergewissern Sie sich während der Ausführung der Arbeiten durch den Anbieter, dass Sie über eine angemessene Überwachung verfügen, um sicherzustellen, dass dieser nicht auf unnötige Systeme oder Daten zugreift. Stellen Sie schließlich sicher, dass Sie über ein wirksames Offboarding-Programm für Anbieter verfügen, um den Zugriff nach Abschluss der Arbeiten zu widerrufen.
Passen Sie Ihr Programm an Ihr Risikoprofil an
Anbieter mit robusten Cybersicherheitsprogrammen, die nicht mit sensiblen Informationen umgehen, erfordern möglicherweise weniger Überwachung als Anbieter, die mit Kundeninformationen oder Geschäftsgeheimnissen arbeiten. Achten Sie während des Onboarding-Prozesses für Anbieter darauf, Dritte entsprechend ihrem inhärenten Risiko zu profilieren, zu kategorisieren und einzustufen. Auf diese Weise können Sie leicht die Häufigkeit und den Umfang der Risikobewertungen sowie den Grad der Überwachung bestimmen, den Sie für jeden Anbieter durchführen müssen. Auf diese Weise können Sie Ihre Ressourcen sinnvoll einsetzen und Ihre Cyber-Überwachungsaktivitäten an das vom Anbieter ausgehende Risiko anpassen.
Nächste Schritte zur Gewährleistung der Cybersicherheit bei Drittanbietern
Der Aufbau eines effektiven Programms zur Überwachung von Cyberrisiken war noch nie so wichtig wie heute. Prevalent macht die Steuerung von Risiken durch Dritte und Vierte in Ihrer gesamten Lieferkette überschaubar. Unsere Plattform für das Risikomanagement von Lieferanten kombiniert die kontinuierliche Überwachung von Cyberrisiken mit der Überwachung von Geschäfts-, Finanz- und Reputationsrisiken – gekoppelt mit automatisierten Funktionen zur Risikobewertung von Lieferanten für einen 360-Grad-Überblick über Lieferantenrisiken. Fordern Sie noch heute eine Demo an, um zu sehen, ob Prevalent für Sie geeignet ist.
Anmerkung der Redaktion: Dieser Beitrag wurde ursprünglich veröffentlicht auf Prävalent.net. Im Oktober 2024 übernahm Mitratech das KI-gestützte Risikomanagement für Dritte, Prevalent. Der Inhalt wurde seitdem aktualisiert und enthält nun Informationen, die auf unser Produktangebot, regulatorische Änderungen und Compliance abgestimmt sind.
