How to Apply NIST SP 800-53 Supply Chain Controls to Your Third-Party Risk Program

Unternehmen können spezielle Bewertungen durchführen, einschließlich Verifizierung und Validierung, Systemüberwachung, Bewertung von Insider-Bedrohungen, Tests auf böswillige Benutzer und andere Formen von Tests.

CA-2 (3) Kontrollbeurteilungen | Nutzung der Ergebnisse von externen Organisationen

Organisationen können sich auf Kontrollbewertungen von Organisationssystemen durch andere (externe) Organisationen verlassen.

Bewertungen sollten zentral verwaltet werden und durch Workflow-, Aufgabenmanagement- und automatisierte Beweisüberprüfungsfunktionen unterstützt werden, um sicherzustellen, dass Ihr Team während des gesamten Beziehungslebenszyklus Einblick in die Risiken Dritter hat.

Wichtig ist, dass eine TPRM-Lösung integrierte Empfehlungen für Abhilfemaßnahmen auf der Grundlage von Risikobewertungsergebnissen enthält, um sicherzustellen, dass Ihre Drittparteien die Risiken rechtzeitig und in zufriedenstellender Weise angehen und den Prüfern die entsprechenden Nachweise vorlegen können.

As part of this process, continuously track and analyze external threats to third parties. Monitor the Internet and dark web for cyber threats and vulnerabilities, as well as public and private sources of reputational, sanction, and financial information.

Alle Überwachungsdaten sollten mit den Bewertungsergebnissen korreliert und in einem einheitlichen Risikoregister für jeden Anbieter zentralisiert werden, um die Risikoprüfung, Berichterstattung, Abhilfemaßnahmen und Reaktionsinitiativen zu rationalisieren.

Achten Sie darauf, Betriebs-, Reputations- und Finanzdaten Dritter einzubeziehen, um den Cyber-Ergebnissen einen Kontext zu geben und die Auswirkungen von Vorfällen im Laufe der Zeit zu messen.

If required, substitute third-party auditors SOC 2 reports for a vendor’s risk assessments. Review the list of control gaps identified within the SOC 2 report, create risk items against the third party, and track and report against deficiencies over time.

Koordinierung des Notfallplans mit den Notfallplänen externer Dienstleister, um sicherzustellen, dass die Anforderungen an die Notfallplanung erfüllt werden können.

IR-4 (10) Behandlung von Zwischenfällen | Koordinierung der Lieferkette

Koordinierung von Aktivitäten zur Behandlung von Vorfällen in der Lieferkette mit anderen an der Lieferkette beteiligten Organisationen.

IR-5 Überwachung von Vorfällen

Verfolgen und dokumentieren Sie Vorfälle.

IR-6 (3) Meldung von Zwischenfällen | Koordinierung der Lieferkette

Übermittlung von Informationen über den Vorfall an den Anbieter des Produkts oder der Dienstleistung und an andere Organisationen, die an der Lieferkette oder der Steuerung der Lieferkette für Systeme oder Systemkomponenten, die mit dem Vorfall in Zusammenhang stehen, beteiligt sind.

IR-8(1) Plan zur Reaktion auf Zwischenfälle | Verstöße

Nehmen Sie bei Verstößen, die personenbezogene Daten betreffen, die folgenden Punkte in den Notfallplan auf:

(a) Ein Verfahren zur Feststellung, ob eine Benachrichtigung von Einzelpersonen oder anderen Organisationen, einschließlich Aufsichtsorganisationen, erforderlich ist;

(b) ein Bewertungsverfahren zur Ermittlung des Ausmaßes des Schadens, der Verlegenheit, der Unannehmlichkeiten oder der Ungerechtigkeit für die betroffenen Personen sowie etwaige Mechanismen zur Abmilderung dieses Schadens; und

(c) Identifizierung der geltenden Datenschutzbestimmungen.

Zu den wichtigsten Fähigkeiten gehören:

• Ständig aktualisierte und anpassbare Fragebögen zum Ereignis- und Störungsmanagement
• Verfolgung des Fortschritts beim Ausfüllen des Fragebogens in Echtzeit
• Festgelegte Risikoverantwortliche mit automatischer Erinnerungsfunktion, um die Erhebungen im Zeitplan zu halten
• Proaktive Lieferantenberichterstattung
• Konsolidierte Ansichten von Risikobewertungen, Anzahl, Punktzahl und markierten Antworten für jeden Anbieter
• Workflow-Regeln zur Auslösung automatisierter Playbooks, um auf Risiken entsprechend ihrer potenziellen Auswirkungen auf das Unternehmen zu reagieren
• Integrierte Berichtsvorlagen für interne und externe Beteiligte
• Anleitung von eingebauten Sanierungsempfehlungen zur Risikominderung
• Daten- und Beziehungsmapping zur Identifizierung von Beziehungen zwischen Ihrem Unternehmen und Dritten, Vierten oder N-ten Parteien, um Informationspfade zu visualisieren und gefährdete Daten aufzudecken

Ziehen Sie auch die Nutzung von Datenbanken in Betracht, die mehrere Jahre lang Datenverletzungen für Tausende von Unternehmen auf der ganzen Welt enthalten - einschließlich der Art und Menge der gestohlenen Daten, der Einhaltung von Vorschriften und gesetzlichen Bestimmungen sowie der Echtzeit-Benachrichtigungen von Anbietern über Datenverletzungen.

a. Entwickeln Sie eine umfassende Strategie für das Management:

1. Sicherheitsrisiko für den Betrieb und die Vermögenswerte der Organisation, für Einzelpersonen, andere Organisationen und die Nation, das mit dem Betrieb und der Nutzung der Systeme der Organisation verbunden ist; und

2. Risiko für die Privatsphäre von Personen, das sich aus der genehmigten Verarbeitung personenbezogener Daten ergibt;

b. die Risikomanagementstrategie in der gesamten Organisation einheitlich umzusetzen; und

c. Überprüfung und Aktualisierung der Risikomanagementstrategie bei Bedarf, um organisatorischen Veränderungen Rechnung zu tragen.

PM-30 Supply Chain Risk Management Strategy

a. Entwicklung einer organisationsweiten Strategie für das Management von Lieferkettenrisiken im Zusammenhang mit der Entwicklung, Beschaffung, Wartung und Entsorgung von Systemen, Systemkomponenten und Systemdienstleistungen;

b. die Strategie für das Risikomanagement in der Lieferkette im gesamten Unternehmen einheitlich umzusetzen; und

c. Überprüfung und Aktualisierung der Strategie für das Risikomanagement in der Lieferkette in einem von der Organisation festgelegten Rhythmus oder bei Bedarf, um organisatorische Änderungen zu berücksichtigen.

Seek out experts to collaborate with your team on:

• Definition und Umsetzung von TPRM- und C-SCRM-Prozessen und -Lösungen
• Auswahl von Fragebögen und Rahmen für die Risikobewertung
• Optimierung Ihres Programms, um den gesamten Lebenszyklus des Risikos von Drittanbietern abzudecken - von der Beschaffung und Due-Diligence-Prüfung bis hin zur Kündigung und Ausgliederung - entsprechend der Risikobereitschaft Ihres Unternehmens

Als Teil dieses Prozesses sollten Sie definieren:

• Klare Rollen und Verantwortlichkeiten (z. B. RACI)
• Vorräte von Dritten
• Risikoeinstufung und Schwellenwerte auf der Grundlage der Risikotoleranz Ihres Unternehmens

Continually evaluate the effectiveness of your TPRM program according to changing business needs and priorities, measuring third-party vendor key performance indicators (KPIs) and key risk indicators (KRIs) through the relationship lifecycle.

Identifizierung, Priorisierung und Bewertung von Lieferanten kritischer oder missionswichtiger Technologien, Produkte und Dienstleistungen.

• Art des für die Validierung der Kontrollen erforderlichen Inhalts
• Kritische Bedeutung für die Unternehmensleistung und den Betrieb
• Standort(e) und damit verbundene rechtliche oder regulatorische Erwägungen
• Grad der Abhängigkeit von vierten Parteien
• Erfahrung mit operativen oder kundenorientierten Prozessen
• Interaktion mit geschützten Daten
• Finanzieller Status und Gesundheit
• Reputation

From this inherent risk assessment, your team can automatically tier suppliers, set appropriate levels of further diligence; and determine the scope of ongoing assessments.

Eine regelbasierte Tiering-Logik sollte eine Kategorisierung der Anbieter anhand einer Reihe von Faktoren ermöglichen, darunter Dateninteraktion, Finanzdaten, regulatorische Aspekte und Reputation.

Entwicklung einer unternehmensweiten Strategie zur kontinuierlichen Überwachung und Umsetzung von Programmen zur kontinuierlichen Überwachung, die Folgendes umfassen

a. Festlegung von unternehmensweit zu überwachenden Metriken;

b. Festlegung bestimmter Häufigkeiten für die Überwachung und Bewertung der Wirksamkeit der Kontrollen;

c. Laufende Überwachung der vom Unternehmen definierten Messgrößen in Übereinstimmung mit der Strategie der kontinuierlichen Überwachung;

d. Korrelation und Analyse der durch Kontrollbewertungen und Überwachung gewonnenen Informationen;

e. Maßnahmen zur Reaktion auf die Ergebnisse der Analyse der Kontrollbewertung und der Überwachungsinformationen; und

f. Berichterstattung über den Sicherheits- und Datenschutzstatus der Organisationssysteme an bestimmte Personen.

Zu den typischen Überwachungsquellen gehören:

• Kriminelle Foren, Onion-Seiten, Dark-Web-Foren für speziellen Zugang, Threat-Feeds und Paste-Sites für durchgesickerte Zugangsdaten - sowie verschiedene Sicherheits-Communities, Code-Repositories und Datenbanken für Sicherheitslücken
• Datenbanken mit einer mehrjährigen Historie von Datenschutzverletzungen bei Tausenden von Unternehmen in aller Welt

Alle Überwachungsdaten sollten mit den Bewertungsergebnissen korreliert und in einem einheitlichen Risikoregister für jeden Anbieter zentralisiert werden, um die Risikoprüfung, Berichterstattung, Abhilfemaßnahmen und Reaktionsinitiativen zu rationalisieren.

Sobald alle Bewertungs- und Überwachungsdaten in einem zentralen Risikoregister zusammengeführt sind, sollten Sie die Risiken anhand eines Wahrscheinlichkeits- und Auswirkungsmodells bewerten und nach Prioritäten ordnen. Dieses Modell sollte die Risiken in einer Matrix zusammenfassen, so dass Sie die Risiken mit den größten Auswirkungen leicht erkennen und Abhilfemaßnahmen für diese Risiken priorisieren können.

Zuweisung von Verantwortlichen und Verfolgung von Risiken und Abhilfemaßnahmen auf einem für das Unternehmen akzeptablen Niveau.

Entwickeln, dokumentieren und verbreiten:

1. Eine Politik der Risikobewertung, die:

(a) Zweck, Anwendungsbereich, Rollen, Verantwortlichkeiten, Engagement des Managements, Koordination zwischen den Organisationseinheiten und Einhaltung der Vorschriften; und

(b) mit den geltenden Gesetzen, Durchführungsverordnungen, Direktiven, Verordnungen, Politiken, Standards und Richtlinien übereinstimmt; und

2. Verfahren zur Erleichterung der Umsetzung der Risikobewertungspolitik und der damit verbundenen Risikobewertungskontrollen;

b. Benennung eines Beamten, der für die Entwicklung, Dokumentation und Verbreitung der Risikobewertungspolitik und -verfahren zuständig ist; und

c. Überprüfung und Aktualisierung der aktuellen Risikobewertung:

1. Policy and

2. Procedures.

Führen Sie eine Priorisierung der organisatorischen Systeme auf der Ebene der Auswirkungen durch, um eine zusätzliche Granularität der Systemauswirkungen zu erhalten.

(a) Bewertung der Risiken in der Lieferkette im Zusammenhang mit Systemen, Komponenten und Dienstleistungen; und

(b) die Risikobewertung der Lieferkette zu aktualisieren, wenn sich wesentliche Änderungen in der betreffenden Lieferkette ergeben oder wenn Änderungen des Systems, des Betriebsumfelds oder anderer Bedingungen eine Änderung in der Lieferkette erforderlich machen könnten.

Bewertungen sollten zentral verwaltet und durch Workflow-, Aufgabenmanagement- und automatisierte Beweisüberprüfungsfunktionen unterstützt werden, um sicherzustellen, dass Ihr Team während des gesamten Beziehungslebenszyklus Einblick in die Risiken Dritter hat.

Wichtig ist, dass eine TPRM-Lösung integrierte Empfehlungen für Abhilfemaßnahmen auf der Grundlage von Risikobewertungsergebnissen enthält, um sicherzustellen, dass Ihre Drittparteien die Risiken rechtzeitig und in zufriedenstellender Weise angehen und den Prüfern die entsprechenden Nachweise vorlegen können.

Nutzung von Informationen aus allen Quellen zur Unterstützung der Risikoanalyse.

RA-3 (3) Risikobewertung | Dynamisches Bewusstsein für Bedrohungen

Laufende Ermittlung der aktuellen Cyber-Bedrohungslage.

RA-3 (4) Risikobewertung | Predictive Cyber Analytics

Nutzen Sie fortschrittliche Automatisierungs- und Analysefunktionen, um Risiken vorherzusagen und zu erkennen.

RA-7 Risikoreaktion

Reaktion auf Ergebnisse von Sicherheits- und Datenschutzbewertungen, Überwachungen und Audits in Übereinstimmung mit der Risikotoleranz des Unternehmens.

Zu den typischen Überwachungsquellen gehören:

• Kriminelle Foren, Onion-Seiten, Dark-Web-Foren für speziellen Zugang, Threat-Feeds und Paste-Sites für durchgesickerte Zugangsdaten - sowie verschiedene Sicherheits-Communities, Code-Repositories und Datenbanken für Sicherheitslücken
• Datenbanken mit einer mehrjährigen Historie von Datenschutzverletzungen bei Tausenden von Unternehmen in aller Welt

Alle Überwachungsdaten sollten mit den Bewertungsergebnissen korreliert und in einem einheitlichen Risikoregister für jeden Anbieter zentralisiert werden, um die Risikoprüfung, Berichterstattung, Abhilfemaßnahmen und Reaktionsinitiativen zu rationalisieren.

Sobald alle Bewertungs- und Überwachungsdaten in einem zentralen Risikoregister korreliert sind, sollten Sie die Risiken anhand eines Wahrscheinlichkeits- und Auswirkungsmodells bewerten und priorisieren. Dieses Modell sollte die Risiken in einer Matrix zusammenfassen, so dass Sie die Risiken mit den größten Auswirkungen leicht erkennen und die Abhilfemaßnahmen nach Prioritäten ordnen können.

Zuweisung von Verantwortlichen und Verfolgung von Risiken und Abhilfemaßnahmen auf einem für das Unternehmen akzeptablen Niveau.

Identifizierung kritischer Systemkomponenten und -funktionen durch Durchführung einer Kritikalitätsanalyse an bestimmten Entscheidungspunkten im Lebenszyklus der Systementwicklung.

Entwickeln, dokumentieren und verbreiten:

1. Eine Politik des Risikomanagements in der Lieferkette, die:

(a) Zweck, Anwendungsbereich, Rollen, Verantwortlichkeiten, Engagement des Managements, Koordination zwischen den Organisationseinheiten und Einhaltung der Vorschriften; und

(b) mit den geltenden Gesetzen, Durchführungsverordnungen, Direktiven, Verordnungen, Politiken, Standards und Richtlinien übereinstimmt; und

2. Verfahren zur Erleichterung der Umsetzung der Risikomanagementpolitik für die Lieferkette und der damit verbundenen Kontrollen des Risikomanagements für die Lieferkette;

b. Benennung eines Beamten, der für die Entwicklung, Dokumentation und Verbreitung der Grundsätze und Verfahren für das Risikomanagement in der Lieferkette zuständig ist; und

c. Überprüfung und Aktualisierung des derzeitigen Risikomanagements der Lieferkette:

1. Policy and

2. Procedures

a. Entwicklung eines Plans für das Management von Risiken in der Lieferkette, die mit der Forschung und Entwicklung, dem Entwurf, der Herstellung, der Beschaffung, der Lieferung, der Integration, dem Betrieb und der Wartung sowie der Entsorgung von Systemen, Systemkomponenten oder Systemdienstleistungen verbunden sind

b. Überprüfung und Aktualisierung des Risikomanagementplans für die Lieferkette bei Bedarf, um Bedrohungen, organisatorischen oder umweltbedingten Veränderungen Rechnung zu tragen; und

c. Schutz des Risikomanagementplans für die Lieferkette vor unbefugter Offenlegung und Änderung.

a. Einführung eines Verfahrens oder von Verfahren zur Ermittlung und Behebung von Schwachstellen oder Mängeln in den Elementen und Prozessen der Lieferkette in Abstimmung mit dem Personal der Lieferkette;

b. Anwendung der folgenden Kontrollen zum Schutz vor Risiken in der Lieferkette für das System, die Systemkomponente oder die Systemdienstleistung und zur Begrenzung des Schadens oder der Folgen von Ereignissen im Zusammenhang mit der Lieferkette; und

c. Dokumentieren Sie die ausgewählten und implementierten Lieferkettenprozesse und -kontrollen im Risikomanagementplan für die Lieferkette.

Einsatz von Kontrollen und Analysen zur Gewährleistung der Integrität des Systems und der Systemkomponenten durch Validierung der internen Zusammensetzung und der Herkunft kritischer oder missionswichtiger Technologien, Produkte und Dienstleistungen.

Anwendung von Beschaffungsstrategien, Vertragsinstrumenten und Beschaffungsmethoden zum Schutz vor, zur Ermittlung und zur Minderung von Risiken in der Lieferkette.

As all service providers are being centralized and reviewed, teams should create comprehensive vendor profiles that contain insight into a vendor’s demographic information, 4th-party technologies, ESG scores, recent business and reputational insights, data breach history, and recent financial performance.

Dieses Maß an Sorgfaltspflicht schafft einen größeren Kontext für Entscheidungen bei der Anbieterauswahl.

Bewertung und Überprüfung der Risiken im Zusammenhang mit der Lieferkette, die mit den Zulieferern oder Auftragnehmern und den von ihnen bereitgestellten Systemen, Systemkomponenten oder Systemdienstleistungen verbunden sind.

Festlegung von Vereinbarungen und Verfahren mit den an der Lieferkette für das System, die Systemkomponente oder den Systemdienst beteiligten Stellen für die Meldung von Kompromittierungen der Lieferkette und von Ergebnissen von Bewertungen oder Audits.

• Zentrale Nachverfolgung aller Verträge und Vertragsattribute wie Typ, Stichtage, Wert, Mahnungen und Status - mit individuellen, rollenbasierten Ansichten
• Workflow-Funktionen (basierend auf Benutzer oder Vertragsart) zur Automatisierung des Lebenszyklus der Vertragsverwaltung
• Automatische Mahnungen und Überfälligkeitsmitteilungen zur Rationalisierung von Vertragsprüfungen
• Zentralisierte Vertragsdiskussion und Verfolgung von Kommentaren
• Vertrags- und Dokumentenspeicherung mit rollenbasierten Berechtigungen und Prüfprotokollen für alle Zugriffe
• Versionskontrolle, die die Offline-Bearbeitung von Verträgen und Dokumenten unterstützt
• Role-based permissions that enable allocation of duties, access to contracts, and read/write/modify access. With this capability, you can ensure that clear responsibilities and right-to-audit clauses are articulated in the vendor contract, and SLAs tracked and managed accordingly.

a. Entwickeln, dokumentieren und pflegen Sie ein Verzeichnis der Lieferanten, die:

1. Genaue und minimale Darstellung der Tier-1-Zulieferer der Organisation, die ein Cybersicherheitsrisiko in der Lieferkette darstellen können;

2. Entspricht sie der Granularität, die für die Bewertung der Kritikalität und des Risikos in der Lieferkette, die Nachverfolgung und die Berichterstattung für notwendig erachtet wird?

3. Dokumentiert die folgenden Informationen für jeden Lieferanten der ersten Ebene (z. B. Hauptauftragnehmer): Überprüfung und Aktualisierung des Lieferantenbestands.

i. Eindeutige Kennung des Beschaffungsinstruments (d.h. Vertrag, Aufgabe oder Lieferauftrag);

ii. Beschreibung der gelieferten Produkte und/oder Dienstleistungen;

iii. Programm, Projekt und/oder System, das die Produkte und/oder Dienstleistungen des Lieferanten nutzt; und

iv. Zugewiesene Kritikalitätsstufe, die der Kritikalität des Programms, des Projekts und/oder des Systems (oder der Komponente des Systems) entspricht.

b. Überprüfung und Aktualisierung des Lieferanteninventars.

Importieren Sie Lieferanten über eine Tabellenkalkulationsvorlage oder über eine API-Verbindung zu einer vorhandenen Beschaffungslösung, wodurch fehleranfällige, manuelle Prozesse vermieden werden.

Erfassen Sie wichtige Lieferantendetails mit einem zentralisierten und anpassbaren Aufnahmeformular und dem dazugehörigen Workflow. Dieses sollte für jeden per E-Mail-Einladung verfügbar sein, ohne dass eine Schulung oder Lösungskenntnisse erforderlich sind.

Build comprehensive supplier profiles that compare and monitor supplier demographics, geographic location, fourth-party technologies, and recent operational insights. Having this accumulated data will enable you to report on and take action against geographic and technology concentration risks especially.