Die Invasion Russlands in der Ukraine hat eine einheitliche Reaktion der NATO und ihrer Verbündeten hervorgerufen, wobei die Mitgliedsstaaten als Strafe strenge Sanktionen gegen Russland verhängt haben. Angesichts der Tatsache, dass einige der schwerwiegendsten Cyberangriffe durch Dritte – wie SolarWinds, Colonial Pipeline und JBS Foods – nach Russland zurückverfolgt werden konnten, haben das US-amerikanische Federal Bureau of Investigation (FBI) und die Cybersecurity and Infrastructure Security Agency (CISA) Unternehmen und Regierungen gewarnt, wachsam gegenüber potenziellen Ransomware-Angriffen aus Russland zu sein, die als Vergeltungsmaßnahme für die Verhängung dieser Sanktionen durchgeführt werden könnten.
Wie sollten Fachleute für das Risikomanagement von Drittanbietern reagieren?
Fünf Maßnahmen zur Vorbereitung auf Angriffe auf die Lieferkette
1. Bestandsaufnahme aller Lieferanten
Stellen Sie zunächst sicher, dass Sie einen zentralen Überblick über alle Lieferanten haben, da nicht verwaltete, unseriöse Anbieter versteckte Risiken für das Unternehmen darstellen können. Risikomanagement-Plattformen von Drittanbietern bieten Funktionen zur Automatisierung der Lieferanten-Onboarding-Prozesse, wodurch sich der Zeit- und Arbeitsaufwand für die Verwaltung von Lieferanten reduziert. Während des Onboarding-Prozesses kann Ihnen dann eine integrierte Risikobewertung dabei helfen, zu bestimmen, wie Sie Ihre Lieferanten entsprechend den Risiken, die sie für Ihr Unternehmen darstellen, kontinuierlich bewerten können.
2. Erstellen Sie ein umfassendes Profil für jeden Lieferanten.
Erstellen Sie im Rahmen der Bestandsaufnahme ein umfassendes Profil für jeden Lieferanten, das Branchen- und Geschäftseinblicke, demografische Daten, Beziehungen zu Technologienvon Drittanbietern, Werte des Korruptionswahrnehmungsindex (CPI) und andere wichtige Informationen enthält. Dies hilft Ihnen dabei, potenziell geopolitisch exponierte Lieferanten zu identifizieren. Anstatt sich auf mehrere nicht integrierte Tools zu verlassen, um diese Informationen zu sammeln, sollten Sie nach zentralisierten Überwachungslösungen suchen, die diese Datenbank automatisch für Sie erstellen können.
3. Identifizieren Sie das Risiko einer Technologiekonzentration
Eine der bleibenden Lehren aus dem SolarWinds-Hack war, dass Unternehmen wissen sollten, welche ihrer Lieferanten oder Anbieter diese Technologie einsetzen, um ihre eigenen Angriffsflächen durch Dritte besser zu verstehen. Nutzen Sie im Rahmen des Profiling-Prozesses in Schritt 2 oben die Sammlung von Technologienvon Drittanbietern, die in Ihrem Lieferanten-Ökosystem eingesetzt werden, um festzustellen, welche davon potenziell einem gezielten Angriff ausgesetzt sein könnten. Die Identifizierung von Beziehungen zwischen Ihrem Unternehmen und Dritten auf der Grundlage der Technologienutzung hilft Ihnen, Abhängigkeiten aufzudecken und Angriffspfade in Ihr Unternehmen zu visualisieren.
4. Lieferanten proaktiv hinsichtlich ihrer Geschäftskontinuität und Notfallpläne bewerten
Warten Sie nicht auf einen Cyberangriff, um die Business-Resilience-Pläne Ihrer Lieferanten zu überprüfen. Beziehen Sie Ihre Lieferanten stattdessen schon jetzt proaktiv mit ein, indem Sie einfache, gezielte Bewertungen durchführen, die sich an bekannten Sicherheitsstandards für Lieferketten in der Branche orientieren, wie NIST 800-161
und ISO 27036. Die Ergebnisse dieser Bewertungen helfen Ihnen dabei, gezielte Abhilfemaßnahmen zu ergreifen, um potenzielle Sicherheitslücken zu schließen, beispielsweise im Bereich des Softwareentwicklungslebenszyklusmanagements – eine häufig genannte Schwachstelle bei Verstößen in der Software-Lieferkette. Gute Lösungen bieten integrierte Empfehlungen, um den Abhilfeprozess zu beschleunigen und diese Lücken schneller zu schließen.
Zu den Fragen, die Sie Ihren Drittanbietern jetzt stellen sollten, gehören:
- Befindet sich die Organisation in der Ukraine oder in Ländern, die an die Ukraine grenzen?
-
Arbeitet die Organisation mit Lieferanten zusammen, die in der Ukraine oder in angrenzenden Gebieten ansässig sind?
- Hat die Organisation eine Risikobewertung durchgeführt, um das Ausmaß der Auswirkungen auf ihre Mitarbeiter, Stakeholder, Dienstleistungen und Systeme zu ermitteln?
-
Wie stark sind die Auswirkungen auf das Unternehmen und seine Mitarbeiter, Stakeholder, Systeme und Dienstleistungen?
-
Verfügt die Organisation über einen dokumentierten Kontinuitäts- oder Wiederherstellungsplan?
-
Musste die Organisation ihre Kontinuitäts- oder Wiederherstellungspläne aktivieren?
-
Hat die Organisation ihre Kontinuitäts- oder Wiederherstellungspläne aktualisiert, um geopolitische Risiken und Ereignisse zu identifizieren und zu bewältigen?
- Wurde eine Bewertung der Auswirkungen auf das Geschäft durchgeführt, um Wiederherstellungsmaßnahmen zu ermitteln?
Prevalent hat diese Fragen in einer Multiple-Choice-Umfrage zur Bewertung der geopolitischen Auswirkungen des Ukraine-Konflikts auf Dritte zusammengestellt, mit deren Hilfe Sie die Auswirkungen auf die Geschäftskontinuität von Lieferanten in der Ukraine ermitteln können. Wenn Sie Lieferanten haben, die möglicherweise von diesem Ereignis betroffen sind, ist diese Bewertung ein guter Ausgangspunkt, um Ihr Risiko zu ermitteln. Sie steht unseren Kunden auch als Teil der Fragebogenbibliothek der Prevalent-Plattform zur Verfügung.
5. Kontinuierliche Überwachung auf potenzielle Cyberangriffe
Die zentrale Verwaltung von Lieferanten, das Verständnis des Konzentrationsrisikos und eine proaktivere Bewertung der Business-Resilience-Pläne von Lieferanten sind ein guter Anfang. Allerdings müssen Sie ständig wachsam sein, um auf den nächsten Angriff vorbereitet zu sein. Deshalb sollten Sie nach Anzeichen für einen bevorstehenden Sicherheitsvorfall Ausschau halten, indem Sie das Internet und das Dark Web auf Cyber-Bedrohungen und Schwachstellen sowie öffentliche und private Quellen für Informationen zu Reputation, Sanktionen und Finanzen überwachen.
Typische Quellen für Informationen von Dritten sind:
- Cyber: Kriminelle Foren, Onion-Seiten, spezielle Zugangsforen im Dark Web, Threat Feeds, Paste-Seiten für geleakte Zugangsdaten, Sicherheits-Communities, Code-Repositorys und Datenbanken zu Schwachstellen und Hackerangriffen/Sicherheitsverletzungen.
- Unternehmen: Fusions- und Übernahmetätigkeiten, Geschäftsnachrichten, negative Nachrichten, regulatorische und rechtliche Informationen, operative Updates.
- Finanzen: Umsatz, Gewinn und Verlust, Aktionärsvermögen.
- Globale Sanktionslisten: OFAC, EU, UN, BOE, FBI, BIS, FDA, US HHS, UK FSA, SEC usw.
- Screening von Staatsbetrieben
- Listen politisch exponierter Personen
Wie in Schritt 2 können Sie diese Quellen separat überwachen oder nach Lösungen suchen, die alle Erkenntnisse in einer einzigen Lösung zusammenfassen, sodass alle Risiken zentralisiert und für das Unternehmen sichtbar sind.
Testen Sie Ihren Notfallplan für Cyberangriffe, bevor der nächste Cyberangriff durch Dritte erfolgt.
Viele Unternehmen haben Schwierigkeiten, zeitnah Informationen über Sicherheitsvorfälle zu erhalten, die sich auf ihre Lieferketten auswirken. Verzögerungen zwischen einem Vorfall bei einem Lieferanten und Ihrer eigenen Risikoerkennung, -analyse und -minderung setzen Ihr Unternehmen dem Risiko von Betriebsstörungen aus. Prevalent kann Ihnen dabei helfen.
Mit dem Prevalent Third-Party Incident Response Service können Sie die Auswirkungen von Vorfällen in der Lieferkette schnell identifizieren und mindern, indem Sie Lieferanten zentral verwalten, proaktive Ereignisbewertungen durchführen, identifizierte Risiken bewerten und auf Leitfäden zur Behebung von Problemen zugreifen. Lassen Sie sich nicht von einem Cyberangriff eines Drittanbieters überraschen, von dem Sie wissen, dass er kommen wird. Kontaktieren Sie uns noch heute, um mehr zu erfahren oder eine Demo zu vereinbaren.
Anmerkung der Redaktion: Dieser Beitrag wurde ursprünglich veröffentlicht auf Prävalent.net. Im Oktober 2024 übernahm Mitratech das KI-gestützte Risikomanagement für Dritte, Prevalent. Der Inhalt wurde seitdem aktualisiert und enthält nun Informationen, die auf unser Produktangebot, regulatorische Änderungen und Compliance abgestimmt sind.
