Wie man NIST SP 800-53 für ein verbessertes Risikomanagement in der Lieferkette von Drittanbietern nutzt

Unternehmen können spezielle Bewertungen durchführen, einschließlich Verifizierung und Validierung, Systemüberwachung, Bewertung von Insider-Bedrohungen, Tests auf böswillige Benutzer und andere Formen von Tests.

CA-2 (3) Kontrollbeurteilungen | Nutzung der Ergebnisse von externen Organisationen

Organisationen können sich auf Kontrollbewertungen von Organisationssystemen durch andere (externe) Organisationen verlassen.

Bewertungen sollten zentral verwaltet werden und durch Workflow-, Aufgabenmanagement- und automatisierte Beweisüberprüfungsfunktionen unterstützt werden, um sicherzustellen, dass Ihr Team während des gesamten Beziehungslebenszyklus Einblick in die Risiken Dritter hat.

Wichtig ist, dass eine TPRM-Lösung integrierte Empfehlungen für Abhilfemaßnahmen auf der Grundlage von Risikobewertungsergebnissen enthält, um sicherzustellen, dass Ihre Drittparteien die Risiken rechtzeitig und in zufriedenstellender Weise angehen und den Prüfern die entsprechenden Nachweise vorlegen können.

Verfolgen und analysieren Sie als Teil dieses Prozesses kontinuierlich [externe Bedrohungen für Dritte](/products/vendor-risk-monitoring/). Überwachen Sie das Internet und das Dark Web auf Cyber-Bedrohungen und Schwachstellen sowie öffentliche und private Quellen für Informationen zu Reputation, Sanktionen und Finanzen.

Alle Überwachungsdaten sollten mit den Bewertungsergebnissen korreliert und in einem einheitlichen Risikoregister für jeden Anbieter zentralisiert werden, um die Risikoprüfung, Berichterstattung, Abhilfemaßnahmen und Reaktionsinitiativen zu rationalisieren.

Achten Sie darauf, Betriebs-, Reputations- und Finanzdaten Dritter einzubeziehen, um den Cyber-Ergebnissen einen Kontext zu geben und die Auswirkungen von Vorfällen im Laufe der Zeit zu messen.

Ersetzen Sie bei Bedarf die Risikobewertungen eines Anbieters durch Drittprüfer [SOC 2-Berichte](/blog/aicpa-soc-2-third-party-risk-management/). Überprüfen Sie die Liste der im SOC-2-Bericht identifizierten Kontrolllücken, erstellen Sie Risikopositionen für den Drittanbieter und verfolgen Sie die Mängel im Laufe der Zeit und erstatten Sie Bericht darüber.

Koordinierung des Notfallplans mit den Notfallplänen externer Dienstleister, um sicherzustellen, dass die Anforderungen an die Notfallplanung erfüllt werden können.

IR-4 (10) Behandlung von Zwischenfällen | Koordinierung der Lieferkette

Koordinierung von Aktivitäten zur Behandlung von Vorfällen in der Lieferkette mit anderen an der Lieferkette beteiligten Organisationen.

IR-5 Überwachung von Vorfällen

Verfolgen und dokumentieren Sie Vorfälle.

IR-6 (3) Meldung von Zwischenfällen | Koordinierung der Lieferkette

Übermittlung von Informationen über den Vorfall an den Anbieter des Produkts oder der Dienstleistung und an andere Organisationen, die an der Lieferkette oder der Steuerung der Lieferkette für Systeme oder Systemkomponenten, die mit dem Vorfall in Zusammenhang stehen, beteiligt sind.

IR-8(1) Plan zur Reaktion auf Zwischenfälle | Verstöße

Nehmen Sie bei Verstößen, die personenbezogene Daten betreffen, die folgenden Punkte in den Notfallplan auf:

(a) Ein Verfahren zur Feststellung, ob eine Benachrichtigung von Einzelpersonen oder anderen Organisationen, einschließlich Aufsichtsorganisationen, erforderlich ist;

(b) ein Bewertungsverfahren zur Ermittlung des Ausmaßes des Schadens, der Verlegenheit, der Unannehmlichkeiten oder der Ungerechtigkeit für die betroffenen Personen sowie etwaige Mechanismen zur Abmilderung dieses Schadens; und

(c) Identifizierung der geltenden Datenschutzbestimmungen.

Die wichtigsten Funktionen des [Third-Party Incident Response Service](/services/third-party-incident-response-service/) umfassen:
* Ständig aktualisierte und anpassbare Fragebögen zum Ereignis- und Vorfallmanagement
* Verfolgung des Fortschritts beim Ausfüllen der Fragebögen in Echtzeit
* Definierte Risikoverantwortliche mit automatischer Erinnerungsfunktion, damit die Umfragen im Zeitplan bleiben
* Proaktive Lieferantenberichterstattung
* Konsolidierte Ansichten von Risikobewertungen, Zählungen, Punktzahlen und markierten Antworten für jeden Anbieter
* Workflow-Regeln zur Auslösung automatischer Playbooks, um auf Risiken entsprechend ihrer potenziellen Auswirkungen auf das Unternehmen zu reagieren
* Eingebaute Berichtsvorlagen für interne und externe Stakeholder
* Integrierte Empfehlungen für Abhilfemaßnahmen zur Risikominderung
* Daten- und Beziehungszuordnung zur Identifizierung von Beziehungen zwischen Ihrem Unternehmen und dritten, vierten oder n-ten Parteien, um Informationspfade zu visualisieren und risikobehaftete Daten aufzudecken

Ziehen Sie auch die Nutzung von Datenbanken in Betracht, die mehrere Jahre lang Datenverletzungen für Tausende von Unternehmen auf der ganzen Welt enthalten - einschließlich der Art und Menge der gestohlenen Daten, der Einhaltung von Vorschriften und gesetzlichen Bestimmungen sowie der Echtzeit-Benachrichtigungen von Anbietern über Datenverletzungen.

a. Entwickeln Sie eine umfassende Strategie für das Management:

1. Sicherheitsrisiko für den Betrieb und die Vermögenswerte der Organisation, für Einzelpersonen, andere Organisationen und die Nation, das mit dem Betrieb und der Nutzung der Systeme der Organisation verbunden ist; und

2. Risiko für die Privatsphäre von Personen, das sich aus der genehmigten Verarbeitung personenbezogener Daten ergibt;

b. die Risikomanagementstrategie in der gesamten Organisation einheitlich umzusetzen; und

c. Überprüfung und Aktualisierung der Risikomanagementstrategie bei Bedarf, um organisatorischen Veränderungen Rechnung zu tragen.

PM-30 Risikomanagementstrategie für die Lieferkette

a. Entwicklung einer organisationsweiten Strategie für das Management von Lieferkettenrisiken im Zusammenhang mit der Entwicklung, Beschaffung, Wartung und Entsorgung von Systemen, Systemkomponenten und Systemdienstleistungen;

b. die Strategie für das Risikomanagement in der Lieferkette im gesamten Unternehmen einheitlich umzusetzen; und

c. Überprüfung und Aktualisierung der Strategie für das Risikomanagement in der Lieferkette in einem von der Organisation festgelegten Rhythmus oder bei Bedarf, um organisatorische Änderungen zu berücksichtigen.

Suchen Sie nach [Experten](/services/professional-services/), die mit Ihrem Team zusammenarbeiten:
* Definition und Implementierung von TPRM- und C-SCRM-Prozessen und -Lösungen
* Auswahl von Fragebögen und Rahmenwerken zur Risikobewertung
* Optimierung Ihres Programms, um den gesamten Lebenszyklus des Risikos von Drittanbietern - von der Beschaffung und Due-Diligence-Prüfung bis zur Beendigung und Ausgliederung - entsprechend der Risikobereitschaft Ihres Unternehmens abzudecken

Im Rahmen dieses Prozesses sollten Sie festlegen:
* Klare Rollen und Verantwortlichkeiten (z. B. RACI)
* Bestandsaufnahme durch Dritte
* Risikobewertung und Schwellenwerte auf der Grundlage der Risikotoleranz Ihres Unternehmens

Bewerten Sie kontinuierlich die Effektivität Ihres TPRM-Programms entsprechend den sich ändernden Geschäftsanforderungen und -prioritäten und messen Sie die Leistungsindikatoren (KPIs) und Risikoindikatoren (KRIs) des Drittanbieters (/content-library/25-kpis-and-kris-for-third-party-risk-management/) während des gesamten Beziehungslebenszyklus.

Identifizierung, Priorisierung und Bewertung von Lieferanten kritischer oder missionswichtiger Technologien, Produkte und Dienstleistungen.

Entwicklung einer unternehmensweiten Strategie zur kontinuierlichen Überwachung und Umsetzung von Programmen zur kontinuierlichen Überwachung, die Folgendes umfassen

a. Festlegung von unternehmensweit zu überwachenden Metriken;

b. Festlegung bestimmter Häufigkeiten für die Überwachung und Bewertung der Wirksamkeit der Kontrollen;

c. Laufende Überwachung der vom Unternehmen definierten Messgrößen in Übereinstimmung mit der Strategie der kontinuierlichen Überwachung;

d. Korrelation und Analyse der durch Kontrollbewertungen und Überwachung gewonnenen Informationen;

e. Maßnahmen zur Reaktion auf die Ergebnisse der Analyse der Kontrollbewertung und der Überwachungsinformationen; und

f. Berichterstattung über den Sicherheits- und Datenschutzstatus der Organisationssysteme an bestimmte Personen.

Zu den Überwachungsquellen gehören in der Regel:
* Kriminelle Foren, Zwiebelseiten, Dark-Web-Foren für speziellen Zugang, Bedrohungsmeldungen und Paste-Sites für durchgesickerte Zugangsdaten sowie verschiedene Sicherheits-Communities, Code-Repositories und Datenbanken für Sicherheitslücken
* Datenbanken mit einer mehrjährigen Historie von Datenschutzverletzungen für Tausende von Unternehmen auf der ganzen Welt

Alle Überwachungsdaten sollten mit den Bewertungsergebnissen korreliert und in einem einheitlichen Risikoregister für jeden Anbieter zentralisiert werden, um die Risikoprüfung, Berichterstattung, Abhilfemaßnahmen und Reaktionsinitiativen zu rationalisieren.

Sobald alle Bewertungs- und Überwachungsdaten in einem zentralen Risikoregister zusammengeführt sind, sollten Sie die Risiken anhand eines Wahrscheinlichkeits- und Auswirkungsmodells bewerten und nach Prioritäten ordnen. Dieses Modell sollte die Risiken in einer Matrix zusammenfassen, so dass Sie die Risiken mit den größten Auswirkungen leicht erkennen und Abhilfemaßnahmen für diese Risiken priorisieren können.

Zuweisung von Verantwortlichen und Verfolgung von Risiken und Abhilfemaßnahmen auf einem für das Unternehmen akzeptablen Niveau.

Entwickeln, dokumentieren und verbreiten:

1. Eine Politik der Risikobewertung, die:

(a) Zweck, Anwendungsbereich, Rollen, Verantwortlichkeiten, Engagement des Managements, Koordination zwischen den Organisationseinheiten und Einhaltung der Vorschriften; und

(b) mit den geltenden Gesetzen, Durchführungsverordnungen, Direktiven, Verordnungen, Politiken, Standards und Richtlinien übereinstimmt; und

2. Verfahren zur Erleichterung der Umsetzung der Risikobewertungspolitik und der damit verbundenen Risikobewertungskontrollen;

b. Benennung eines Beamten, der für die Entwicklung, Dokumentation und Verbreitung der Risikobewertungspolitik und -verfahren zuständig ist; und

c. Überprüfung und Aktualisierung der aktuellen Risikobewertung:

1. Politik und
2. Verfahren.

Führen Sie eine Priorisierung der organisatorischen Systeme auf der Ebene der Auswirkungen durch, um eine zusätzliche Granularität der Systemauswirkungen zu erhalten.

(a) Bewertung der Risiken in der Lieferkette im Zusammenhang mit Systemen, Komponenten und Dienstleistungen; und

(b) die Risikobewertung der Lieferkette zu aktualisieren, wenn sich wesentliche Änderungen in der betreffenden Lieferkette ergeben oder wenn Änderungen des Systems, des Betriebsumfelds oder anderer Bedingungen eine Änderung in der Lieferkette erforderlich machen könnten.

Bewertungen sollten zentral verwaltet und durch Workflow-, Aufgabenmanagement- und automatisierte Beweisüberprüfungsfunktionen unterstützt werden, um sicherzustellen, dass Ihr Team während des gesamten Beziehungslebenszyklus Einblick in die Risiken Dritter hat.

Wichtig ist, dass eine TPRM-Lösung integrierte Empfehlungen für Abhilfemaßnahmen auf der Grundlage von Risikobewertungsergebnissen enthält, um sicherzustellen, dass Ihre Drittparteien die Risiken rechtzeitig und in zufriedenstellender Weise angehen und den Prüfern die entsprechenden Nachweise vorlegen können.

Nutzung von Informationen aus allen Quellen zur Unterstützung der Risikoanalyse.

RA-3 (3) Risikobewertung | Dynamisches Bewusstsein für Bedrohungen

Laufende Ermittlung der aktuellen Cyber-Bedrohungslage.

RA-3 (4) Risikobewertung | Predictive Cyber Analytics

Nutzen Sie fortschrittliche Automatisierungs- und Analysefunktionen, um Risiken vorherzusagen und zu erkennen.

RA-7 Risikoreaktion

Reaktion auf Ergebnisse von Sicherheits- und Datenschutzbewertungen, Überwachungen und Audits in Übereinstimmung mit der Risikotoleranz des Unternehmens.

Zu den typischen Überwachungsquellen gehören:

* Kriminelle Foren, Onion-Seiten, Dark-Web-Foren für speziellen Zugang, Threat-Feeds und Paste-Sites für durchgesickerte Zugangsdaten sowie verschiedene Sicherheits-Communities, Code-Repositories und Datenbanken für Sicherheitslücken
* Datenbanken mit einer mehrjährigen Historie von Datenschutzverletzungen bei Tausenden von Unternehmen in aller Welt

Alle Überwachungsdaten sollten mit den Bewertungsergebnissen korreliert und in einem einheitlichen Risikoregister für jeden Anbieter zentralisiert werden, um die Risikoprüfung, Berichterstattung, Abhilfemaßnahmen und Reaktionsinitiativen zu rationalisieren.

Sobald alle Bewertungs- und Überwachungsdaten in einem zentralen Risikoregister korreliert sind, sollten Sie die Risiken anhand eines Wahrscheinlichkeits- und Auswirkungsmodells bewerten und priorisieren. Dieses Modell sollte die Risiken in einer Matrix zusammenfassen, so dass Sie die Risiken mit den größten Auswirkungen leicht erkennen und die Abhilfemaßnahmen nach Prioritäten ordnen können.

Zuweisung von Verantwortlichen und Verfolgung von Risiken und Abhilfemaßnahmen auf einem für das Unternehmen akzeptablen Niveau.

Identifizierung kritischer Systemkomponenten und -funktionen durch Durchführung einer Kritikalitätsanalyse an bestimmten Entscheidungspunkten im Lebenszyklus der Systementwicklung.

Entwickeln, dokumentieren und verbreiten:

1. Eine Politik des Risikomanagements in der Lieferkette, die:

(a) Zweck, Anwendungsbereich, Rollen, Verantwortlichkeiten, Engagement des Managements, Koordination zwischen den Organisationseinheiten und Einhaltung der Vorschriften; und

(b) mit den geltenden Gesetzen, Durchführungsverordnungen, Direktiven, Verordnungen, Politiken, Standards und Richtlinien übereinstimmt; und

2. Verfahren zur Erleichterung der Umsetzung der Risikomanagementpolitik für die Lieferkette und der damit verbundenen Kontrollen des Risikomanagements für die Lieferkette;

b. Benennung eines Beamten, der für die Entwicklung, Dokumentation und Verbreitung der Grundsätze und Verfahren für das Risikomanagement in der Lieferkette zuständig ist; und

c. Überprüfung und Aktualisierung des derzeitigen Risikomanagements der Lieferkette:

1. Politik und
2. Verfahren

a. Entwicklung eines Plans für das Management von Risiken in der Lieferkette, die mit der Forschung und Entwicklung, dem Entwurf, der Herstellung, der Beschaffung, der Lieferung, der Integration, dem Betrieb und der Wartung sowie der Entsorgung von Systemen, Systemkomponenten oder Systemdienstleistungen verbunden sind

b. Überprüfung und Aktualisierung des Risikomanagementplans für die Lieferkette bei Bedarf, um Bedrohungen, organisatorischen oder umweltbedingten Veränderungen Rechnung zu tragen; und

c. Schutz des Risikomanagementplans für die Lieferkette vor unbefugter Offenlegung und Änderung.

a. Einführung eines Verfahrens oder von Verfahren zur Ermittlung und Behebung von Schwachstellen oder Mängeln in den Elementen und Prozessen der Lieferkette in Abstimmung mit dem Personal der Lieferkette;

b. Anwendung der folgenden Kontrollen zum Schutz vor Risiken in der Lieferkette für das System, die Systemkomponente oder die Systemdienstleistung und zur Begrenzung des Schadens oder der Folgen von Ereignissen im Zusammenhang mit der Lieferkette; und

c. Dokumentieren Sie die ausgewählten und implementierten Lieferkettenprozesse und -kontrollen im Risikomanagementplan für die Lieferkette.

Einsatz von Kontrollen und Analysen zur Gewährleistung der Integrität des Systems und der Systemkomponenten durch Validierung der internen Zusammensetzung und der Herkunft kritischer oder missionswichtiger Technologien, Produkte und Dienstleistungen.

Anwendung von Beschaffungsstrategien, Vertragsinstrumenten und Beschaffungsmethoden zum Schutz vor, zur Ermittlung und zur Minderung von Risiken in der Lieferkette.

Da alle Dienstleister zentralisiert und überprüft werden, sollten die Teams [umfassende Anbieterprofile](/content-library/risk-profiling-snapshot/) erstellen, die einen Einblick in die demografischen Informationen eines Anbieters, die Technologien von Drittanbietern, ESG-Bewertungen, die jüngsten Geschäfts- und Reputationseinblicke, die Geschichte von Datenschutzverletzungen und die jüngste finanzielle Leistung enthalten.

Dieses Maß an Sorgfaltspflicht schafft einen größeren Kontext für Entscheidungen bei der [Anbieterauswahl](/products/rfp-rfi-management/)

Bewertung und Überprüfung der Risiken im Zusammenhang mit der Lieferkette, die mit den Zulieferern oder Auftragnehmern und den von ihnen bereitgestellten Systemen, Systemkomponenten oder Systemdienstleistungen verbunden sind.

Festlegung von Vereinbarungen und Verfahren mit den an der Lieferkette für das System, die Systemkomponente oder den Systemdienst beteiligten Stellen für die Meldung von Kompromittierungen der Lieferkette und von Ergebnissen von Bewertungen oder Audits.

a. Entwickeln, dokumentieren und pflegen Sie ein Verzeichnis der Lieferanten, die:

1. Genaue und minimale Darstellung der Tier-1-Zulieferer der Organisation, die ein Cybersicherheitsrisiko in der Lieferkette darstellen können;

2. Entspricht sie der Granularität, die für die Bewertung der Kritikalität und des Risikos in der Lieferkette, die Nachverfolgung und die Berichterstattung für notwendig erachtet wird?

3. Dokumentiert die folgenden Informationen für jeden Lieferanten der ersten Ebene (z. B. Hauptauftragnehmer): Überprüfung und Aktualisierung des Lieferantenbestands.

i. Eindeutige Kennung des Beschaffungsinstruments (d.h. Vertrag, Aufgabe oder Lieferauftrag);

ii. Beschreibung der gelieferten Produkte und/oder Dienstleistungen;

iii. Programm, Projekt und/oder System, das die Produkte und/oder Dienstleistungen des Lieferanten nutzt; und

iv. Zugewiesene Kritikalitätsstufe, die der Kritikalität des Programms, des Projekts und/oder des Systems (oder der Komponente des Systems) entspricht.

b. Überprüfung und Aktualisierung des Lieferanteninventars.

Importieren Sie Lieferanten über eine Tabellenkalkulationsvorlage oder über eine API-Verbindung zu einer vorhandenen Beschaffungslösung, wodurch fehleranfällige, manuelle Prozesse vermieden werden.

Erfassen Sie wichtige Lieferantendetails mit einem zentralisierten und anpassbaren Aufnahmeformular und dem dazugehörigen Workflow. Dieses sollte für jeden per E-Mail-Einladung verfügbar sein, ohne dass eine Schulung oder Lösungskenntnisse erforderlich sind.

Erstellen Sie [umfassende Lieferantenprofile](/assets/documents/resources/Prevalent-Risk-Profiling-Snapshot-Data-Sheet.pdf), die die demografischen Daten der Lieferanten, den geografischen Standort, Technologien von Drittanbietern und aktuelle betriebliche Erkenntnisse vergleichen und überwachen. Mit diesen gesammelten Daten können Sie vor allem über geografische und technologische Konzentrationsrisiken berichten und entsprechende Maßnahmen ergreifen.

Wie Prevalent dabei hilft, die Richtlinien des NIST SP 800-53 zum Risikomanagement in der Lieferkette zu erfüllen