Am 28. Februar 2022 gab Toyota bekannt
,
dass das Unternehmen den Betrieb aller 28 Produktionslinien in 14 Fertigungswerken in Japan für einen Tag aufgrund eines Systemausfalls bei einem Zulieferer, Kojima Industries, einstellen werde. Auch andere Partner von Toyota, darunter Hino Motors und Daihatsu Motor, waren von der Schließung betroffen. Die Ursache für den Systemausfall bei Kojima war offenbar
ein Cyberangriff, der die Kommunikation mit Toyota und den Produktionsüberwachungssystemen unterbrach. Am 1. März gab Toyota bekannt, dass der Betrieb erst ab dem 2. März für die erste Produktionsschicht wieder aufgenommen werde.
Dieser Vorfall ist ein deutliches Beispiel für das Risiko, das entsteht, wenn ein wichtiger Lieferant nicht liefern kann, und zeigt den Dominoeffekt negativer Folgen entlang der gesamten Lieferkette. Die Einstellung der Produktion für einen Tag (und die Reduzierung der Schichten für weitere Tage) könnte für Toyota zu verfehlten Produktionszielen, Umsatzverlusten und verfehlten Gewinnerwartungen führen – ganz zu schweigen vom Verlust des Kundenvertrauens.
Sechs Schritte für eine stärkere Sicherheit in der Lieferkette
Die Realität der Lieferkettensicherheit sieht so aus, dass Ihr Unternehmen zwar nicht für die Sicherheit Ihrer Lieferanten verantwortlich ist, aber dennoch einen Teil des Risikos trägt. Wie können Hersteller und andere Unternehmen also die Risiken von cyberbezogenen Ausfällen in der Lieferkette mindern? Berücksichtigen Sie diese sechs Schritte.
1. Verbesserung der Cybersicherheitsbewertungen während der Beschaffung und der vorvertraglichen Due Diligence
Die Durchführung einer vorvertraglichen Due Diligence trägt dazu bei, sicherzustellen, dass ein neuer Lieferant keine inakzeptablen Risiken in Ihre Umgebung einführt. Der Prozess umfasst die Bewertung der Praktiken des Lieferanten in Bezug auf Informationssicherheit, Betriebssicherheit und Geschäftsresilienz. Und obwohl dieser spezielle Vorfall mit Cyber-Sicherheit zu tun hat, sollten Unternehmen ihre vorvertraglichen Due-Diligence-Bemühungen ausweiten und auch die Finanzlage und Reputation eines Lieferanten bewerten. Wenn ein Lieferant beispielsweise negative Schlagzeilen in Bezug auf seine Produkte gemacht hat oder eine ungleichmäßige finanzielle Performance aufweist, ist er möglicherweise nicht in der Lage, sich schnell an veränderte Produktionsanforderungen anzupassen, oder investiert zu wenig in die Sicherheit. Diese Erkenntnisse fließen in die Berechnung der inhärenten Risiken ein, anhand derer ermittelt werden kann, welche Bereiche einer weiteren Bewertung bedürfen.
Um eine bessere Due Diligence vor Vertragsabschluss zu erreichen, entscheiden sich viele Unternehmen dafür, auf Bibliotheken mit bereits durchgeführten Cyber-Risikobewertungen von Lieferanten zurückzugreifen. Das einfache Herunterladen einer fertigen Bewertung verschafft Ihnen schneller den dringend benötigten Überblick über die Risiken eines potenziellen Lieferanten, als wenn Sie die Bewertung selbst von Grund auf neu durchführen würden.
2. Festlegung durchsetzbarer Servicelevels in Verträgen
Um das Lieferantenrisiko effektiv zu reduzieren, muss man wissen, wie sie im Vergleich zu den Erwartungen abschneiden. Das beginnt mit der Festlegung durchsetzbarer Servicelevels in der Vertragsphase. Zu den messbaren Servicelevels können die Verfügbarkeit, die durchschnittliche Zeit bis zur Erkennung (MTTD) der Ursache eines Ausfalls und die durchschnittliche Zeit bis zur Wiederaufnahme (MTTR) des Betriebs nach einem Ausfall gehören. Die Vertragsphase ist auch der richtige Zeitpunkt, um wichtige Klauseln zur Gewährleistung von System-Failover und -Backup aufzunehmen, insbesondere weil es nicht einfach ist, einen Lieferanten einfach „auszuschalten” und durch einen anderen zu ersetzen. Schließlich sorgt die zentrale Verwaltung von Key Performance Indicators (KPIs) und Key Risk Indicators (KRIs) für Transparenz auf Unternehmensebene hinsichtlich der Lieferantenleistung.
Da viele interne und externe Parteien an Vertragsverhandlungen beteiligt sind, kann der Prozess schnell außer Kontrolle geraten. Um dem entgegenzuwirken, standardisieren viele Unternehmen Vertragslebenszyklus-Management-Produkte, die rollenspezifische Ansichten zur Verfolgung wichtiger Leistungsmerkmale, Versionskontrolle und integrierte Diskussionen sowie Workflows bieten, um Verträge effizienter durch die Prüfungs- und Genehmigungsphase zu bringen.
3. Bewertung von Lieferanten anhand branchenüblicher Cybersicherheitskontrollen für die Lieferkette
Eine Due-Diligence-Prüfung vor Vertragsabschluss verschafft Ihnen den nötigen Überblick über die Risiken, die ein neuer Lieferant für Ihre Umgebung mit sich bringt. Die Risikobewertung endet jedoch nicht mit der Onboarding-Phase. Glücklicherweise gibt es mehrere Branchen-Frameworks, die den Prozess der detaillierten Kontrollbewertung wesentlich standardisierter gestalten als die Verwendung von Tabellenkalkulationen. So enthalten beispielsweise NIST 800-61 und ISO 27036 spezifische Fragensätze zur Bewertung der Sicherheitskontrollen von Lieferanten.
Risikomanagement-Plattformen von Drittanbietern automatisieren die Erfassung der Antworten auf Lieferantenfragebögen sowie die Zuordnung und Verfolgung von Risiken. Sie enthalten außerdem integrierte Empfehlungen zur Risikominderung, um diese Risiken auf ein akzeptables Maß zu reduzieren. Wenn Lieferanten „zu groß sind, um zu scheitern“, können Sie sich an erfahrene Managed Services-Anbieter wenden, die die Bewertung, Due Diligence-Erfassung und Analyse für Sie durchführen, sodass sich Ihr Team stattdessen auf die Risikominderung konzentrieren kann.
4. Lieferanten kontinuierlich auf Frühwarnsignale überwachen
Risikobewertungen bieten einen momentanen Überblick über die Sicherheitskontrollen eines Lieferanten. Diese sind zwar für das Verständnis der Sicherheitslage unerlässlich, dennoch müssen Sie auch kontinuierlich die Risiken im Blick behalten – ob cyberbezogen oder anderweitig –, die sich auf die Lieferfähigkeit Ihres Lieferanten auswirken können.
Überwachung von
Das Internet und das Dark Web auf Cyberbedrohungen und Schwachstellen sowie öffentliche und private Quellen für Informationen zu Reputation, Sanktionen und Finanzen können Hinweise auf einen bevorstehenden Sicherheitsvorfall liefern. Erwägen Sie die Überwachung von:
- Cyber: Kriminelle Foren, Onion-Seiten, spezielle Zugangsforen im Dark Web, Threat Feeds, Paste-Seiten für geleakte Zugangsdaten, Sicherheits-Communities, Code-Repositorys und Datenbanken zu Schwachstellen und Hackerangriffen/Sicherheitsverletzungen können historische und aktuelle Indikatoren für Kompromittierungen liefern.
- Wirtschaft: M&A-Aktivitäten, Wirtschaftsnachrichten, negative Nachrichten, regulatorische und rechtliche Informationen sowie operative Updates können einen Verlust des Fokus auf Cybersicherheit signalisieren.
- Finanziell: Eine schlechte finanzielle Performance könnte Budgetkürzungen zur Folge haben, die sich auf die Sicherheitsmaßnahmen auswirken.
Die Einbeziehung dieser Erkenntnisse in Ihren ganzheitlichen Lieferantenbewertungsprozess verleiht den Ereignissen einen Kontext und hilft bei der Validierung der in Schritt 3 oben bewerteten Kontrollen.
5. Kennen Sie Ihre erweiterte Lieferkette
Manchmal kann ein Cybersicherheitsvorfall in Ihrem erweiterten Lieferanten-Ökosystem (z. B. bei den Lieferanten Ihrer Lieferanten) die Lieferfähigkeit Ihrer Lieferanten und damit auch Ihre eigene Lieferfähigkeit beeinträchtigen. Sammeln Sie im Rahmen der vorvertraglichen Due-Diligence-Prüfung Informationen von Ihren Lieferanten über deren Lieferanten, um eine Beziehungskarte zu erstellen. Dies hilft Ihnen, Abhängigkeiten aufzudecken und Schwachstellen in Ihrer Lieferkette zu visualisieren. Es kann so einfach sein, wie die in Ihrem Lieferantenökosystem eingesetzten Technologien von Drittanbietern zu kennen, damit Sie feststellen können, welche potenziell einem gezielten Angriff ausgesetzt sein könnten. Anstatt sich auf mehrere nicht integrierte Tools zu verlassen, um diese Informationen zu sammeln, sollten Sie nach einzelnen Überwachungslösungen suchen, die diese Datenbank automatisch für Sie aufbauen.
6. Aktivieren Sie Ihren Notfallplan für Vorfälle durch Dritte.
Wenn in Ihrer Lieferkette ein Cybersicherheitsvorfall auftreten würde, wäre Ihr Unternehmen dann in der Lage, dessen Auswirkungen auf Ihr Geschäft schnell zu erfassen und seinen eigenen Notfallplan zu aktivieren? Bei der Reaktion auf Vorfälle ist Zeit ein entscheidender Faktor. Ein proaktiver Ansatz mit einem festgelegten Notfallplan verkürzt daher die Zeit, die benötigt wird, um potenzielle Probleme in der Lieferkette zu erkennen und zu beheben. Ein programmatischer Notfallplan für Dritte könnte Folgendes umfassen:
- Eine zentral verwaltete Datenbank mit Anbietern und den von ihnen genutzten Technologien
- Vorkonfigurierte Bewertungen der Geschäftskontinuität, Ausfallsicherheit und Sicherheit zur Einschätzung der Wahrscheinlichkeit und der Auswirkungen eines Vorfalls
- Scoring und Gewichtung zur Konzentration auf die wichtigsten Risiken
- Eingebaute Empfehlungen zur Behebung potenzieller Schwachstellen
- Stakeholder-spezifischer Bericht zur Beantwortung der unvermeidlichen Anfrage des Vorstands
Nächste Schritte für das Risikomanagement in der Lieferkette
Die Unterbrechung der Lieferkette von Toyota macht deutlich, dass alle Unternehmen – unabhängig von der Ausgereiftheit und Vielfalt ihrer Systeme – von einem Ausfall eines Lieferanten oder einem Cybervorfall betroffen sein können. Bewerten Sie die Sicherheit Ihrer eigenen Lieferkette anhand der hier aufgeführten sechs Schritte oder wenden Sie sich an Prevalent, um eine Strategiesitzung oder eine Reifegradbewertung Ihrer bestehenden Prozesse zum Risikomanagement in der Lieferkette zu vereinbaren.
Anmerkung der Redaktion: Dieser Beitrag wurde ursprünglich veröffentlicht auf Prävalent.net. Im Oktober 2024 übernahm Mitratech das KI-gestützte Risikomanagement für Dritte, Prevalent. Der Inhalt wurde seitdem aktualisiert und enthält nun Informationen, die auf unser Produktangebot, regulatorische Änderungen und Compliance abgestimmt sind.
