Die North American Electric Reliability Corporation (NERC) hat erkannt, dass viele Cybersicherheitsrisiken für kritische Infrastrukturen von Drittanbietern ausgehen, und hat daher eine Sicherheitsrichtlinie für den Lebenszyklus des Risikomanagements von Anbietern veröffentlicht. Der Leitfaden enthält Beispiele für Lieferantenrisiken und Vorschläge zur Risikominderung, die Organisationen bei der Entwicklung ihrer allgemeinen Pläne für das Risikomanagement der Cybersicherheit in der Lieferkette berücksichtigen sollten - nicht nur für das Stromversorgungssystem (Bulk Electric System, BES), sondern auch für andere kritische Infrastrukturbereiche wie Gaspipelines, Stromerzeugung, -übertragung und -verteilung sowie andere Bereiche.
In diesem Beitrag werden die in den NERC-Sicherheitsrichtlinien genannten Phasen des Lebenszyklus von Anbieterrisiken untersucht und bewährte Verfahren zur Minderung von Cybersicherheitsrisiken für kritische Infrastrukturen in jeder Phase geprüft.
Stadien des Lebenszyklus von Lieferantenrisiken
In der NERC-Sicherheitsrichtlinie werden die folgenden Phasen des Lebenszyklus für das Risikomanagement von Lieferanten genannt.
- Identifizierung des Anbieters durch eine Angebotsanfrage (RFP) oder auf andere Weise
- Beschaffung(en) beim Lieferanten
- Installation und Nutzung des Produkts oder der Dienstleistung (einschließlich Herstellerunterstützung und Patching)
- Beendigung der Lieferantenbeziehung
Der Leitfaden schlägt dann vor, dass die Prozesse im Plan des Unternehmens für das Risikomanagement der Cybersicherheit in der Lieferkette sowohl für IT- als auch für OT-Umgebungen in jeder Phase des Lebenszyklus dokumentiert werden sollten. Wir untersuchen diese Phasen als nächstes.
Risikominimierung vor der Beschaffung
In Kapitel 1 des Leitfadens heißt es: "Bei der Entscheidung, welche Anbieter zur Teilnahme an der Ausschreibung eingeladen werden sollen, könnte die Organisation die Faktoren der Listen zugelassener Unternehmen, nachrichtendienstlicher Quellen und öffentlich zugänglicher Informationen (z. B. Vorgeschichte des Umgangs mit Sicherheitslücken, Website-Hygiene) berücksichtigen."
Um dieser Richtlinie gerecht zu werden, sollten Sie firmenbezogene Details, Technologien von Drittanbietern, ESG-Bewertungen, jüngste Geschäfts- und Reputationseinblicke, Datenverletzungen und die finanzielle Leistung potenzieller Anbieter in einer einzigen Tabelle vergleichen. Durch die Zentralisierung dieser Erkenntnisse in Verbindung mit den Antworten auf Ausschreibungen erhalten Sie einen ganzheitlichen Überblick über die Anbieter - sowohl über ihre Eignung für den jeweiligen Zweck als auch über ihre Eignung für die Risikobereitschaft Ihres Unternehmens.
In der nachstehenden Tabelle finden Sie weitere vorgeschlagene Abhilfemaßnahmen aus Kapitel 1.
| Vorgeschlagene Abhilfemaßnahmen | Bewährte Praktiken |
|---|---|
| Sammeln Sie Informationen über die Pläne des Anbieters zur Abschwächung spezifischer Cybersicherheitsrisiken in der Lieferkette, indem Sie eine gezielte Bewertung durchführen, die nur relevante Fragen enthält. | Verwenden Sie eine anpassbare Bewertung Erfassung und Korrelation von Anbieterkontrollen zur Ermittlung von Bedrohungen für Systeme und Daten auf der Grundlage der Kritikalität des Anbieters.
Sammeln Sie Daten in einem einzigen Risikoregister mit Heatmap-Berichten, die Risiken auf der Grundlage von Wahrscheinlichkeit und Auswirkungen messen und kategorisieren. Auf diese Weise können die Teams die Folgen eines Risikos leicht erkennen. |
| Aufnahme von Bedingungen für die Cybersicherheit in den Anbietervertrag oder Festlegung spezifischer zu messender Leistungen. | Nutzen Sie eine Lösung zur Verwaltung des Vertragslebenszyklus, die die Verteilung, Diskussion, Aufbewahrung und Überprüfung von Lieferantenverträgen zentralisiert. Dadurch wird sichergestellt, dass wichtige Vertragsbestimmungen wie wichtige Leistungsindikatoren (Key Performance Indicators, KPIs), wichtige Risikoindikatoren (Key Risk Indicators, KRIs) und Service Level Agreements (SLAs) in den Lieferantenverträgen enthalten sind und während der gesamten Geschäftsbeziehung durchgesetzt werden. |
| Legen Sie Nachweise wie Zertifizierungen oder Prüfberichte von qualifizierten Dritten vor.
Fordern Sie den Anbieter auf, eine Software-Stückliste (SBOM) vorzulegen, in der alle Komponenten seiner Software und/oder Firmware aufgeführt sind, die von Dritten entwickelt wurden. Durchführung einer Bewertung der Beschaffungsrisiken (PRA). Abmilderung aller in der PRA ermittelten hohen Risiken. |
Zentralisierung von Dokumenten, Nachweisen und Lieferantenzertifizierungen in einem einzigen Lieferantenprofil in Verbindung mit abgeschlossenen Risikobewertungen und einem zentralen Risikoregister.
Übermittlung empfohlener Abhilfemaßnahmen an die Anbieter auf der Grundlage der Ergebnisse der Risikobewertung, um sicherzustellen, dass die Anbieter die Risiken rechtzeitig und in zufriedenstellender Weise angehen. Verfolgen Sie Abhilfemaßnahmen bis zum Abschluss mit definierten Verantwortlichen - in Ihrem Unternehmen und im Unternehmen Ihres Anbieters. Bewertung der Risiken |
In Kapitel 2 des Sicherheitsleitfadens heißt es: "Sobald eine Lieferantenbeziehung besteht und die Organisation Produkte oder Dienstleistungen von dem Lieferanten bezogen hat, benötigt die Organisation ein Verfahren zur kontinuierlichen Identifizierung, Bewertung und Minderung sowohl der verbleibenden als auch der neuen Risiken, die von dem Lieferanten ausgehen." Um dies zu erreichen, schlägt der Leitfaden einige der in der folgenden Tabelle aufgeführten Schritte vor.
| Vorgeschlagene Abhilfemaßnahmen | Bewährte Praktiken |
|---|---|
| Konzentrieren Sie sich auf Fragen zum Schutz des Fernzugriffs durch Multi-Faktor-Authentifizierung.
Verwenden Sie einen Fragebogen, in dem nur relevante Fragen gestellt werden. Separate Fragebögen für IT- und OT-Anbieter. Erwägen Sie Zertifizierungen wie ISO 27001 oder SOC2. |
Automatisieren Sie Risikobewertungen um die Transparenz, Effizienz und Skalierbarkeit Ihres Risikomanagementprogramms für Lieferanten in jeder Phase des Lebenszyklus von Lieferanten zu verbessern.
Nutzen Sie eine Bibliothek mit Hunderten von standardisierten Bewertungsvorlagen - einschließlich Fragebögen für IT- und OT-Bereiche - mit Anpassungsfunktionen und integrierten Arbeitsabläufen und Abhilfemaßnahmen, um alles zu automatisieren, von der Umfrageerfassung und -analyse bis hin zur Risikobewertung und Berichterstattung. Wenn der Anbieter nicht in der Lage oder nicht willens ist, eine standardisierte Bewertung durchzuführen, sollten Sie ISO-Zertifizierungen oder SOC-2-Berichte in das zentrale Risikoregister aufnehmen, um die Risiken dieses Anbieters zusammen mit den Risiken zu verwalten, die aus den Bewertungen anderer Anbieter stammen. Validierung der Bewertungsergebnisse durch kontinuierliche Einblicke in Cyber-Bedrohungen. Durch die Konsolidierung aller Informationen in einem einzigen Fenster können Sie Ihre Risikoanalyse optimieren. |
Risikominderung bei der Nutzung von Produkten/Dienstleistungen
In Kapitel 3 des Leitfadens wird empfohlen, daß die Organisation den Anbieter auffordert, die bei der Bewertung festgestellten Risiken zu mindern. Das Ziel der Risikominderung sollte darin bestehen, den Wert des Risikos auf ein akzeptables Niveau zu senken, um die Wahrscheinlichkeit und/oder die Auswirkungen des Risikos zu verringern.
In der Leitlinie heißt es, dass dies durch Ausschreibungen oder vertragliche Durchsetzung erreicht werden kann, aber die geforderten Abhilfemaßnahmen sind auch eine wichtige nachvertragliche Durchsetzung. In der nachstehenden Tabelle finden Sie einige ausgewählte Abhilfemaßnahmen aus dem Leitfaden.
| Vorgeschlagene Abhilfemaßnahmen | Bewährte Praktiken |
|---|---|
| Nehmen Sie in die RFP eine Formulierung auf, in der die Sicherheitsrisiken und die vom Anbieter zu ergreifenden Maßnahmen zur Behebung dieser Risiken aufgeführt sind. | Zentralisieren und automatisieren Sie die Verteilung, den Vergleich und die Verwaltung von Angebotsanfragen (RFPs) und Informationsanfragen (RFIs) als Teil der Anbieterauswahlentscheidungen. Auf diese Weise wird sichergestellt, dass die Auswahl der Anbieter auf der Grundlage wichtiger Cybersicherheitsmaßnahmen erfolgt. |
| Nehmen Sie eine Vertragsklausel auf, die die Verpflichtung des Anbieters dokumentiert, bestimmte Sicherheitskontrollen zu implementieren, und die vorsieht, dass die Organisation die Fortschritte des Anbieters überprüft und Methoden für die künftige Kommunikation über diese Angelegenheiten festlegt. | Zentralisieren Sie die Verteilung, Diskussion, Aufbewahrung und Überprüfung von Lieferantenverträgen. Durch diese Art der Verwaltung von Lieferverträgen wird sichergestellt, dass die richtigen Sicherheitsklauseln und Durchsetzungsmaßnahmen in den Vertrag aufgenommen werden. |
| Definieren Sie spezifische Abhilfemaßnahmen. | Übermittlung der empfohlenen Abhilfemaßnahmen an die Lieferanten auf der Grundlage der Ergebnisse der Risikobewertung, um sicherzustellen, dass die Lieferanten die Risiken rechtzeitig und in zufriedenstellender Weise angehen. Verfolgen Sie die Abhilfemaßnahmen bis zum Abschluss mit definierten Verantwortlichen - in Ihrem Unternehmen und im Unternehmen Ihres Lieferanten.Überprüfung der Risikominderung |
Überprüfung der Risikominderung
Kapitel 4 des Leitfadens verlangt die Überprüfung, ob der Verkäufer die Richtlinien und Maßnahmen zur Risikominderung einhält. Zu den möglichen Maßnahmen gehören die in der folgenden Tabelle aufgeführten.
| Vorgeschlagene Abhilfemaßnahmen | Bewährte Praktiken |
|---|---|
| Dokumentieren Sie die Leistungslücke, die erwartete Leistung und die geltenden Vertragsbedingungen oder dokumentierten Verpflichtungen und teilen Sie sie dem Anbieter mit. | Passen Sie Umfragen an, um die Erfassung und Analyse der erforderlichen Leistungs- und Vertragsdaten in einem einzigen Risikoregister zu erleichtern. Identifizieren Sie wichtige Vertragsattribute in Bezug auf SLAs oder Leistung, füllen Sie diese Anforderungen in einer zentralen Plattform aus und weisen Sie Ihnen und Ihrem Anbieter Aufgaben zur Nachverfolgung zu. |
| Teilen Sie dem Anbieter mit, dass die Leistungskennzahlen bei der künftigen Bewertung neuer Produkte oder Dienstleistungen berücksichtigt werden. | Zentral messen KPIs und KRIs der Anbieter gegen Ihre Anforderungen, indem Sie diese automatisch aus dem Lieferantenvertrag extrahieren.
Empfehlungen für Abhilfemaßnahmen vorschlagen, um sicherzustellen, dass die Anbieter die Risiken rechtzeitig und in zufriedenstellender Weise angehen. |
| Erwägen Sie die Beendigung der Geschäftsbeziehung mit dem Anbieter. | Wenn eine Beendigung oder ein Ausstieg aus kritischen Diensten erforderlich ist, nutzen Sie anpassbare Umfragen und Workflows, um Berichte über den Systemzugriff, die Datenvernichtung, die Zugriffsverwaltung, die Einhaltung einschlägiger Gesetze, Abschlusszahlungen und vieles mehr zu erstellen. |
Einkauf, Beendigung und Überleitung
In Kapitel 5 des Leitfadens werden die für die Beendigung einer Lieferantenbeziehung erforderlichen Verfahren, einschließlich der in der nachstehenden Tabelle aufgeführten, erläutert.
| Vorgeschlagene Abhilfemaßnahmen | Bewährte Praktiken |
|---|---|
| Identifizierung und Abschwächung der mit der Beendigung oder dem Übergang verbundenen Risiken (z. B. Besitz sensibler Informationen).
Machen Sie eine Bestandsaufnahme der sensiblen Informationen, die der Anbieter über die Systeme und Netzwerke des Unternehmens besitzt, und verlangen Sie vom Anbieter eine Bescheinigung, dass alle Informationen gelöscht wurden. |
Automatisieren Sie Vertragsbewertungen und Offboarding Verfahren zur Verringerung des Risikos für Ihr Unternehmen nach Vertragsabschluss.
* Planen Sie Aufgaben zur Überprüfung von Verträgen, um sicherzustellen, dass alle Verpflichtungen erfüllt wurden. Erstellen Sie anpassbare Vertragsbewertungen, um den Status zu bewerten. * Nutzen Sie anpassbare Umfragen und Arbeitsabläufe, um Berichte über Systemzugriff, Datenvernichtung, Zugriffsmanagement, Einhaltung aller relevanten Gesetze, Abschlusszahlungen und vieles mehr zu erstellen. * Zentrale Speicherung und Verwaltung von Dokumenten und Zertifizierungen, z. B. NDAs, SLAs, SOWs und Verträge. Nutzen Sie die integrierte automatische Dokumentenanalyse, die auf AWS Natural Language Processing und maschinellen Lernanalysen basiert, um zu bestätigen, dass wichtige Kriterien erfüllt sind. * Ergreifen Sie umsetzbare Maßnahmen zur Verringerung des Anbieterrisikos mit integrierten Empfehlungen und Anleitungen zur Abhilfe. * Visualisierung und Berücksichtigung von Compliance-Anforderungen durch automatische Zuordnung von Bewertungsergebnissen zu beliebigen Vorschriften oder Rahmenbedingungen. |
Nächste Schritte: Erfüllung der NERC-Sicherheitsrichtlinien für den Lebenszyklus des Risikomanagements von Anbietern
Die NERC-Sicherheitsrichtlinien für den Lebenszyklus des Lieferantenrisikomanagements bieten grundlegende Empfehlungen zur Minderung der Cybersicherheitsrisiken, die für Ihre kritische Infrastrukturorganisation bestehen. Wenn Sie Hilfe bei der Implementierung dieser Best Practices benötigen, vereinbaren Sie noch heute einen Termin für eine Demonstration.
Anmerkung der Redaktion: Dieser Beitrag wurde ursprünglich auf Prevalent.net veröffentlicht. Im Oktober 2024 übernahm Mitratech das KI-gestützte Risikomanagement für Dritte, Prevalent. Der Inhalt wurde seitdem aktualisiert und enthält nun Informationen, die auf unser Produktangebot, regulatorische Änderungen und Compliance abgestimmt sind.
