Die Ankündigung von Okta in dieser Woche, dass sich ein Angreifer Zugang zu seinen internen Systemen verschafft hat, ist ein erneuter Hinweis darauf, dass Unternehmen einen aktuellen Überblick über die von ihren Drittanbietern und Lieferkettenpartnern verwendeten Technologien behalten müssen. Ohne einen solchen Überblick wären Unternehmen anfällig für Angriffe, wenn einer ihrer Lieferanten zu den 2,5 % der Okta-Kunden gehört, die von der Lapsus$-Sicherheitsverletzung betroffen sind. Schlimmer noch: Wenn dieser Hack umfangreicher ist, als Okta zugibt, könnte er mehr als 15.000 Kunden betreffen und Millionen von Endnutzern einem Risiko aussetzen.
Vier Fragen, die es zu beantworten gilt
Um das Risiko für Ihr Unternehmen zu ermitteln, müssen Sie zunächst herausfinden, welche Drittanbieter und Lieferanten die Okta-Lösung verwenden. Anschließend sind eine Folgenabschätzung und Abhilfemaßnahmen erforderlich. Zur Validierung sollte eine kontinuierliche Überwachung der Drittanbieter erfolgen. Beginnen Sie mit der Beantwortung dieser vier Fragen.
1. Verfügen Sie über eine zentrale Bestandsliste aller Lieferanten?
Alle Drittanbieter stellen ein gewisses Risiko für Ihr Unternehmen dar, aber die unkontrollierte Nutzung von unseriösen Anbietern kann noch riskanter sein, wenn keine ordnungsgemäße Sicherheitsbewertung durchgeführt wurde. Schließlich können Sie nicht verwalten, was Sie nicht sehen können. Die Bestandsaufnahme Ihrer Lieferanten sollte auf einer zentralen Plattform erfolgen – nicht in Tabellenkalkulationen –, damit mehrere interne Teams an der Lieferantenverwaltung teilnehmen können und der Prozess zum Nutzen aller automatisiert werden kann. Führen Sie anschließend eine Bewertung der inhärenten Risiken durch, um zu ermitteln, wie Sie Ihre Lieferanten entsprechend den Risiken, die sie für Ihr Unternehmen darstellen, kontinuierlich bewerten können.
2. Können Sie das Risiko einer Technologiekonzentration bei Ihren Lieferanten erkennen?
Erstellen Sie im Rahmen der Bestandsaufnahme ein umfassendes Profil für jeden Anbieter, das Branchen- und Geschäftseinblicke, demografische Daten, Beziehungen zu Technologien von Drittanbietern und andere wichtige Informationen enthält. Das Sammeln von Informationen zu Technologien von Drittanbietern, die in Ihrem Lieferanten-Ökosystem eingesetzt werden, hilft Ihnen dabei, Beziehungen zwischen Ihrem Unternehmen und Dritten auf der Grundlage der Okta-Nutzung zu identifizieren. So können Sie Angriffspfade in Ihr Unternehmen visualisieren und proaktive Maßnahmen zur Risikominderung ergreifen.
3. Bewerten Sie betroffene Dritte hinsichtlich ihrer Geschäftsresilienz und ihrer Pläne zur Geschäftskontinuität?
Beziehen Sie betroffene Lieferanten proaktiv mit ein, indem Sie einfache, gezielte Bewertungen durchführen, die den bekannten Sicherheitsstandards für Lieferketten in der Branche entsprechen, wie NIST 800-161 und ISO 27036. Die Ergebnisse dieser Bewertungen helfen Ihnen dabei, die erforderlichen Abhilfemaßnahmen zu ergreifen, um potenzielle Sicherheitslücken zu schließen. Gute Lösungen bieten integrierte Empfehlungen, um den Abhilfeprozess zu beschleunigen und diese Lücken schneller zu schließen.
4. Überwachen Sie kontinuierlich betroffene Anbieter und Lieferanten auf Cyberangriffe?
Die zentrale Verwaltung von Lieferanten, das Verständnis des Konzentrationsrisikos und eine proaktivere Bewertung der Business-Resilience-Pläne von Lieferanten sind ein guter Anfang. Sie müssen jedoch ständig wachsam sein, um auf den nächsten Angriff vorbereitet zu sein. Deshalb sollten Sie nach Anzeichen für einen bevorstehenden Sicherheitsvorfall Ausschau halten, indem Sie das Internet und das Dark Web auf Cyber-Bedrohungen und Schwachstellen Ihrer Lieferanten überwachen.
Die Überwachung von kriminellen Foren, Onion-Seiten, speziellen Zugangsforen im Dark Web, Bedrohungs-Feeds, Paste-Seiten für geleakte Zugangsdaten, Sicherheits-Communities, Code-Repositorys und Datenbanken zu Schwachstellen und Hackerangriffen/Sicherheitsverletzungen ist unerlässlich. Sie können diese Quellen einzeln überwachen oder nach Lösungen suchen, die alle Erkenntnisse in einer einzigen Lösung zusammenfassen, sodass alle Risiken zentralisiert und für das Unternehmen sichtbar sind.
Reaktion auf Vorfälle durch Dritte: Vorbeugen ist besser als heilen
Der falsche Zeitpunkt, um Ihren Notfallplan für Vorfälle bei Drittanbietern zu testen, ist dann, wenn ein potenziell schwerwiegender Sicherheitsverstoß auftritt. Verzögerungen zwischen einem Vorfall bei einem Anbieter und Ihrer eigenen Risikoerkennung, -analyse und -minderung setzen Ihr Unternehmen dem Risiko von Betriebsstörungen aus. Prevalent kann Ihnen dabei helfen.
Der weit verbreitete Third-Party Incident Response Service ermöglicht es Ihnen, die Auswirkungen von Cybersicherheitsvorfällen bei Anbietern schnell zu identifizieren und zu mindern, indem Sie Anbieter zentral verwalten, Ereignisbewertungen automatisieren, identifizierte Risiken bewerten und auf Leitlinien zur Behebung von Problemen zugreifen können.
Lassen Sie sich nicht von einem Cyberangriff eines Dritten überraschen, von dem Sie wissen, dass er kommen wird. Vereinbaren Sie eine Demo, um mehr zu erfahren.
Anmerkung der Redaktion: Dieser Beitrag wurde ursprünglich veröffentlicht auf Prävalent.net. Im Oktober 2024 übernahm Mitratech das KI-gestützte Risikomanagement für Dritte, Prevalent. Der Inhalt wurde seitdem aktualisiert und enthält nun Informationen, die auf unser Produktangebot, regulatorische Änderungen und Compliance abgestimmt sind.
