Best Practices für das Risikomanagement von Cyber-Anbietern (Cyber VRM)

Mithilfe von Best Practices für das Risikomanagement von Cyber-Anbietern (Cyber VRM) können Unternehmen ihre Risiken von Drittanbietern, die speziell mit der Cybersicherheit verbunden sind, identifizieren, bewerten und beheben. Unternehmen können Informationen aus Sicherheitsbewertungen, der Erkennung von Datenlecks und Sicherheitsfragebögen nutzen, um die Sicherheitslage ihrer Drittanbieter mithilfe dedizierter Cyber VRM-Lösungen zu bewerten.

Darüber hinaus können Cyber VRM-Lösungen Unternehmen dabei helfen, Datenschutzverletzungen zu verhindern, die Einhaltung gesetzlicher Vorschriften zu gewährleisten und starke Sicherheits-Frameworks von Drittanbietern aufzubauen. Wenn Unternehmen mit dem Outsourcing an Drittanbieter beginnen, können diese Lieferanten auch ihre eigenen Dienstleister beauftragen, was neue operative Risiken für die vierte Partei schafft. Diese Variable im Lieferkettenmanagement bedeutet, dass das Cybersicherheitsrisiko weiter zunimmt, was die Bedeutung starker Cyber-VRM-Praktiken unterstreicht.

In diesem Artikel werden Cyber VRM und die wichtigsten Praktiken für den Aufbau eines starken Cyber VRM-Programms erläutert.

Was ist Cyber VRM?

Das Cyber Vendor Risk Management (Cyber VRM) konzentriert sich auf die Cybersicherheitsrisiken von Drittanbietern und Lieferanten. Zu den Cyberrisiken gehören Informationssicherheitspraktiken, IT-Dienste und -Tools sowie das allgemeine Management der Angriffsfläche.

Cyber VRM-Lösungen tragen dazu bei, Daten für Drittanbieter zu sichern, indem sie Cyber-Lösungen während des gesamten Lebenszyklus und des Due-Diligence-Prozesses von Anbietern einsetzen, indem sie Cybersicherheitsrisiken, Pläne zur Reaktion auf Cybervorfälle, Risikominderung und Abhilfemaßnahmen bewerten.

Cyber VRM unterscheidet sich von Third-Party-Risikomanagement (TPRM) und Vendor Risk Management (VRM) dadurch, dass es das Cyberrisiko streng bewertet. TPRM- und VRM-Lösungen sind breitere Kategorien, die auch andere Risiken wie Finanz-, Reputations-, Betriebs- oder Umweltrisiken managen können.

Erfahren Sie mehr über die besten VRM-Lösungsoptionen auf dem Markt >

Top 7 Best Practices für Cyber-VRM-Programme

Hier sind die 7 wichtigsten Best Practices, die alle Cyber VRM-Programme implementieren müssen, um potenzielle Risiken zu begrenzen.

1. Verwalten von Lieferantenbeziehungen

Das Management von Beziehungen zu Drittanbietern ist für die Skalierung eines Cyber-VRM-Programms und die Förderung der Cyber-Reife von Anbietern unerlässlich. Unternehmen können mit einigen Dutzend bis Tausenden von Drittanbietern zusammenarbeiten, was bedeutet, dass die Überwachung jedes Anbieters zeitaufwändig und ressourcenintensiv sein kann. Die Implementierung eines Vendor Relationship Management-Programms ist notwendig, um stärkere Kommunikationskanäle aufzubauen.

Vendor Relationship Management sorgt nicht nur für eine stärkere Kommunikation, sondern hilft Unternehmen auch dabei:

Messen Sie das Risikoniveau jedes Anbieters
Durchführung von Cybersicherheitsrisikobewertungen
Überprüfung vertraglicher Vereinbarungen
Bewerten Sie die Geschäftskosten

Da Drittanbieter möglicherweise nicht über die gleichen Sicherheitskontrollen verfügen wie das Unternehmen, ist es wichtig, ihre Sicherheitspraktiken zu überwachen und zu überprüfen, ob sie die Mindestanforderungen erfüllen. Selbst Sicherheitsverletzungen bei kleineren Anbietern können zu erheblichen Cyberangriffen für alle Beteiligten führen.

Darüber hinaus ermöglicht die Überprüfung der Lieferantenbeziehungen Unternehmen, klare Cyberziele für die Zukunft festzulegen und neu zu bewerten, ob der Anbieter die Unternehmensziele weiterhin unterstützt. Dieser Prozess kann mit Sicherheitschecklisten, Compliance-Überprüfungen, rechtlichen Support-Teams und externen Unternehmensprüfern durchgeführt werden, um sicherzustellen, dass der gesamte Cyber VRM-Plan auf beiden Seiten eingehalten wird.

Erfahren Sie, wie Sie eine automatisierte Software zur Behebung von Lieferantenrisiken auswählen >

2. Standardisierung des Lieferantenbewertungsprozesses

Vor dem Onboarding von Anbietern muss das Unternehmen Mindestsicherheitsanforderungen, Risikoakzeptanzstufen und ein Cybersicherheits-Framework eines Drittanbieters festlegen, um Anbieter effizient und schnell bewerten zu können. Ohne einen standardisierten Prozess zur Risikobewertung von Anbietern kann es zeitaufwändig und schwierig sein, einen neuen Anbieter richtig zu bewerten.

Anbieterfragebögen sind eines der ersten Instrumente, die Unternehmen verwenden sollten, um die Cybersicherheitslage eines Anbieters zu bewerten. Für viele Branchen sind sie auch eine regulatorische Anforderung. Das Problem bei herkömmlichen Anbieterfragebögen besteht jedoch darin, dass sie zu einem bestimmten Zeitpunkt, subjektiv und zeitaufwändig auszufüllen sind.

Stattdessen sollten Unternehmen benutzerdefinierte oder vorgefertigte Fragebögen verwenden, die speziell auf die Branche zugeschnitten sind, um ihre Anbieter besser zu bewerten und den Bewertungszeitraum erheblich zu verkürzen. Anbieter, die in den Fragebögen und Sicherheitsbewertungen als risikoreich eingestuft werden, können weitergegeben werden, wenn das Unternehmen der Meinung ist, dass es sich nicht lohnt, ihr Risikoprofil zu übernehmen.

3. Kontinuierliche Überwachung und Bewertung von Anbietern

Nach dem Onboarding von Anbietern besteht ein Teil des Risikomanagementprozesses für Anbieter darin, ihre Sicherheitsleistung kontinuierlich zu überwachen und zu bewerten. Dieser Überwachungsprozess ist notwendig, um sicherzustellen, dass die Anbieter ihre Sicherheitskontrollen aufrechterhalten.

Beispielsweise können Wertpapierratings als quantitatives Maß für die Sicherheitslage verwendet werden, ähnlich wie ein Kreditrating das Vertrauen in die Kreditvergabe misst. Höhere Sicherheitsbewertungen bedeuten eine bessere Sicherheitslage, und so können Unternehmen die Sicherheit von Anbietern messen.

Eine Sicherheitsbewertung kann eine unaufdringliche Echtzeitmessung der aktuellen Sicherheitslage des Anbieters liefern und Bereiche identifizieren, die eine sofortige Behebung erfordern. Ratings bieten einen aggregierten Überblick über die Leistung der Anbieter und die wichtigsten Risiken, die über das gesamte Anbieterportfolio verteilt sind.

Tools zur Erkennung von Datenlecks von Drittanbietern sind ebenfalls wichtig, um automatische Sicherheitswarnungen zu erhalten, wenn Daten von einem Anbieter durchgesickert oder verletzt wurden. Überwachungslösungen von Drittanbietern sind von entscheidender Bedeutung, um die Ursache des Lecks sofort zu beheben und den Anbieter über das Sicherheitsrisiko zu informieren.

4. Definieren von Leistungskennzahlen für Anbieter

Die Definition von Cyber-Performance-Metriken für Anbieter ist eine großartige Möglichkeit für Unternehmen, den Erfolg eines Cyber VRM-Programms für Anbieter und Dienstleister zu bewerten. Anbieter, die die in einem Service Level Agreement (SLA) beschriebenen Metriken oder Key Performance Indicators (KPIs) nicht erfüllen, können als Anbieter entfernt werden.

Metriken sind besonders wichtig für Anbieter mit Zugriff auf sensible Daten wie PHI oder PII. Sie sollten auch verpflichtet werden, ihre eigenen Risikobewertungen für ihre Lieferanten durchzuführen, um das Risiko der vierten Partei zu minimieren.

5. Überwachung von Viertanbietern

Das Cybersicherheitsrisiko hört nicht bei Dritten auf, da die Wahrscheinlichkeit groß ist, dass sie auch ihre eigenen Anbieter haben, was zu einem Risiko der vierten Partei führt. Das Risikomanagement von Fourth-Partys erfordert eine noch größere Berücksichtigung als das Risikomanagement von Drittanbietern, da Unternehmen wahrscheinlich keinen rechtlichen Vertrag mit Third-Partys haben.

Viele Drittanbieter können vierte Parteien aufgrund unterschiedlicher Sicherheitsanforderungen nicht auf die gleiche Weise verwalten wie sie. Ihre Sicherheitskontrollen sind möglicherweise nicht ausreichend, was zu einer großen Lücke im Risikomanagement führt.

Das Risikomanagement der vierten Partei sollte Folgendes umfassen:

Verfahren zur Sanierung
Risikomanagement
Prozesse bei der Anbieterauswahl
Dienstleistungen zur Sicherheitsbewertung

Die Überwachung von Fourth Partys erfordert jedoch eine enge Kommunikation und Zusammenarbeit mit Drittanbietern. Dazu gehören ein dediziertes IT-Sicherheitsteam und ein starkes Reifegradmodell für Anbieter, die möglicherweise nicht über ein so robustes Sicherheitsprogramm verfügen.

6. Erstellung eines Cyber-Resilienzplans

Selbst wenn ein Risikomanagementprogramm eines Drittanbieters vorhanden ist, kann es immer noch zu Cyberangriffen kommen, weshalb es wichtig ist, eine starke Cyber-Resilienz aufzubauen. Cyber Resiliency umfasst Business Continuity, Disaster Recovery und Incident Response Planning, die ein wichtiger Bestandteil jedes Cyber VRM-Programms sind.

Ein Managementplan für Dritte muss Lieferanten berücksichtigen, die ihre Risiken nicht rechtzeitig mindern, was zur Aufhebung oder Beendigung des Vertrags führt. Das Unternehmen und seine Anbieter sollten daran arbeiten, ihre Cyber-Reife zu verbessern, wenn ihre Abläufe als Teil der gesamten Cyber-VRM-Strategie skaliert werden.