Als Geschäftsführer oder Mitglied des Vorstands Ihres Unternehmens sollte das Risikomanagement in Bezug auf Dritte für Sie oberste Priorität haben.
Hier sind fünf Dinge, die Sie wissen müssen:
1. Verträge reichen nicht mehr aus, um das Unternehmen zu schützen.
Verträge sind unglaublich wichtig, bieten jedoch nicht die Transparenz, die Sie benötigen, um die mit Datenverletzungen verbundenen Risiken zu reduzieren. Die Gewährleistung einer angemessenen Transparenz und die Überwachung der Einhaltung von Cybersicherheitsvorschriften und Best Practices durch Ihre Drittanbieter ist mittlerweile eine Anforderung vieler Regulierungs- und Sicherheitsrichtlinien, darunter PCI 3.0, OCC, HIPAA Omnibus und SEC.
Es ist wichtig zu beachten, dass Ihre Verträge mit Drittanbietern, um diese regulatorischen und datenschutzrechtlichen Anforderungen zu erfüllen, Formulierungen enthalten sollten, die Ihnen ausdrücklich das Recht einräumen, eine Bewertung durchzuführen, sowie die Befugnis, Ihre Drittanbieter kontinuierlich zu überwachen.
2. Ein Verstoß gegen die Daten Ihrer Kunden oder Patienten bei einem Dritten liegt in IHRER Verantwortung.
Das Konzept, dass die Auslagerung einer Geschäftsfunktion Ihre Verantwortung für die Sicherheit der Daten Ihrer Kunden effektiv beseitigt, ist keine akzeptable Geschäftspraxis mehr. Die Sorgfaltspflicht gegenüber Drittanbietern, die Zugang zu sensiblen Daten haben, wird oft als die einzige Möglichkeit angesehen, Ihr Risiko zu verringern, Verbesserungsmöglichkeiten zu erkennen und die gebotene Sorgfalt walten zu lassen. Bestimmte Aufsichtsbehörden verbinden die mangelnde Sorgfalt und Sorgfaltspflicht automatisch mit einer erhöhten Haftung (und höheren Kosten).
3. Eine einmalige, punktuelle Bewertung reicht nicht mehr aus.
Die meisten Risikomanagementprogramme von Drittanbietern beginnen als Compliance-Maßnahme, wobei punktuelle Bewertungen während oder unmittelbar nach dem Vertragsabschluss durchgeführt werden. In vielen Fällen war dies das einzige Mal, dass eine Bewertung durchgeführt wurde. Das Tempo der technologischen Innovation ist atemberaubend. Unternehmen jeder Größe verlagern immer mehr Daten in die Cloud und in mobile Anwendungen. Dies mag zwar die Effizienz steigern und Kosten senken, aber würden Sie nicht gerne wissen, dass dies bei einem Dienstleister geschehen ist, bevor Sie eine Benachrichtigung über eine Sicherheitsverletzung erhalten? Um die sich ständig weiterentwickelnden Risiken für Ihre Daten durch Drittanbieter besser zu verstehen, sind nun kontinuierliche Bewertungen und Überwachungsmaßnahmen erforderlich.
4. Risiken durch Dritte sollten Teil Ihres Cybersicherheitsplans sein.
Das Risikomanagement für Dritte ist sowohl eine Sicherheitsfunktion als auch eine Compliance-Anforderung. Wenn Sie einen Cybersicherheitsplan haben, der sich nur auf die interne Sicherheit konzentriert, laufen Sie Gefahr, 50 % des Problems zu übersehen. Zahlreiche Studien haben gezeigt, dass Dritte zwischen 40 % und 80 % der mit Datenverletzungen verbundenen Risiken ausmachen. Um einen umfassenden Cybersicherheitsschutz zu gewährleisten, müssen Sie die Risiken verstehen, die sowohl von Ihren Drittanbietern als auch von deren Anbietern (Viertanbietern) ausgehen.
Es ist auch wichtig zu beachten, dass das Verständnis darüber, wo sich Ihre Daten befinden, sowohl intern als auch extern, Ihnen hilft, Ihre Risiken besser einzugrenzen und zu verstehen, worauf Sie Ihre Bemühungen konzentrieren müssen.
5. Ihr CISO (oder eine gleichwertige Person) sollte diese Risiken direkt dem Vorstand melden.
Sie müssen Maßnahmen ergreifen, um sicherzustellen, dass Sie, Ihr Managementteam und Ihr Vorstand die Informationen erhalten, die Sie benötigen, um zeitnahe Entscheidungen zu treffen, das Risiko einer Datenverletzung zu verringern und Ihre Marke zu schützen. Eine Möglichkeit, dies zu erreichen, besteht darin, die Ausgaben an Sicherheitsprioritäten anzupassen, die gegenüber anderen Technologieinitiativen oft in den Hintergrund treten. Dies trägt auch dazu bei, die Reibungen zwischen Ihren Führungskräften in Bezug auf Ausgabenprioritäten zu verringern.
Die Realität sieht so aus, dass ein erfolgreicher CISO, der die Sicherheitsrisiken eines Unternehmens reduziert hat, auf den ersten Blick vielleicht nicht besonders effizient wirkt. Wenn man jedoch genauer hinschaut, wird deutlich, dass er dem Unternehmen durch die Verhinderung von Datenverstößen durch Dritte dabei hilft, Verluste in Höhe von mehreren zehn bis mehreren hundert Millionen Dollar durch entgangene Einnahmen, Geldstrafen und Imageschäden zu vermeiden. Ein direktes Gespräch mit Ihrem CISO hilft Ihnen, die Risiken besser zu verstehen, um Entscheidungen zu treffen und Ausgaben anzupassen.
Denken Sie daran, dass Krisensituationen oft zu schnellen Entscheidungen führen, die langfristig weitere Probleme verursachen können. Entscheiden Sie sich jetzt und erstellen Sie einen Plan, wie Sie, Ihr Managementteam und Ihr Vorstand vorgehen werden, um Ihr Unternehmen und Ihren Ruf zu schützen, falls Ihr Unternehmen von einer unvorstellbaren Situation betroffen sein sollte.
Anmerkung der Redaktion: Dieser Beitrag wurde ursprünglich veröffentlicht auf Prävalent.net. Im Oktober 2024 übernahm Mitratech das KI-gestützte Risikomanagement für Dritte, Prevalent. Der Inhalt wurde seitdem aktualisiert und enthält nun Informationen, die auf unser Produktangebot, regulatorische Änderungen und Compliance abgestimmt sind.
