Kostenlose VRM-Checkliste für CISOs (Ausgabe 2023)

Die jüngste Flut von Angriffen auf die Lieferkette hat eine Spur des Gemetzels hinterlassen, die sich über den ganzen Globus erstreckt.

Da Supply-Chain-Angriffe eine höhere Anzahl von Opfern mit weniger Aufwand kompromittieren, ist es unwahrscheinlich, dass Cyberkriminelle kampflos auf diese effiziente Angriffsmethode verzichten werden.

Eine aktuelle Studie von Sonatype bestätigt, dass Angriffe auf die Lieferkette zunehmen, und laut IBM belaufen sich die weltweiten Durchschnittskosten einer Datenschutzverletzung derzeit auf 3,86 Millionen US-Dollar

Die Wahrscheinlichkeit, Opfer eines Angriffs auf die Lieferkette zu werden, ist also höher und die Auswirkungen sind kostspieliger als je zuvor.

Um die Ernsthaftigkeit des aktuellen Bedrohungsklimas noch deutlicher zu machen, ergab eine Studie des Opus & Ponemon Institute aus dem Jahr 2018, dass 59 % der analysierten Unternehmen von einer Sicherheitsverletzung durch Dritte betroffen waren und nur 16 % angaben, dass sie über ein wirksames Risikoprogramm für Dritte verfügen.

Denken Sie daran, dass diese Studie im Jahr 2018 durchgeführt wurde und laut den Daten in Abbildung 1 die Vorfälle von Angriffen in der Lieferkette seit 2018-2019 um fast 500 % zugenommen haben.

Diese Statistiken sollten CISOs dazu veranlassen, die Ausfallsicherheit ihres Sicherheitsprogramms für Anbieter dringend zu erhöhen, bevor es zu spät ist.

Wir haben eine kostenlose Checkliste zusammengestellt, die CISOs dabei hilft, die kritischen Bereiche zu identifizieren, die ein erfolgreiches Vendor Risk Management (VRM)-Programm ausmachen.

Grundlegende Kenntnisse im Bereich Vendor Risk Management

Um sicherzustellen, dass Sie den größtmöglichen Nutzen aus dieser Checkliste ziehen, bereiten wir die Voraussetzungen vor, indem wir einige der häufigsten Fragen zur Anbietersicherheit beantworten. Wenn Sie lieber zur Checkliste springen möchten, klicken Sie hier.

Was ist eine Lieferantenrisikobewertung (Vendor Risk Assessment, VRA)?

Eine Lieferantenrisikobewertung ist ein Prozess zur Bewertung der potenziellen Sicherheitsrisiken, die mit den Abläufen und Produkten eines Anbieters verbunden sind. Die Kritikalität dieser Sicherheitsrisiken wird durch die potenziellen Auswirkungen auf Ihr Unternehmen und seine sensiblen Daten bestimmt.

Risikobewertungen von Anbietern, auch bekannt als Risikobewertungen von Drittanbietern, helfen Sicherheitsteams, die Wahrscheinlichkeit einer Datenschutzverletzung bei einem bestimmten Anbieter zu ermitteln und die notwendigen Schritte aufzuzeigen, um diese Wahrscheinlichkeit zu verringern.

Der Zweck von Risikobewertungen von Anbietern besteht darin, Unternehmen dabei zu helfen, die mit den einzelnen Anbietern verbundenen Sicherheitsrisiken zu verstehen. Dies hilft ihnen bei der Entscheidung, ob ein potenzieller Anbieter sicher an Bord genommen werden kann und was getan werden muss, um bestehende Lieferantenbeziehungen zu sichern.

Erfahren Sie mehr über Risikobewertungen von Anbietern.

Was ist Vendor Risk Management (VRM)?

Vendor Risk Management ist die übergreifende Aufgabe der Identifizierung, Behebung und Überwachung von Risiken durch Dritte. Es umfasst die Governance der Risikobewertung von Anbietern, die Erstellung und die Behebung von Schwachstellen.

Was sollte in einer Richtlinie zum Risikomanagement von Anbietern enthalten sein?

Der Zweck einer Richtlinie für das Lieferantenrisikomanagement besteht darin, alle Beteiligten über die Details eines Programms für das Lieferantenrisikomanagement auf dem Laufenden zu halten.

Diese Richtlinie sollte die folgenden Details enthalten:

Identifizieren Sie die Personen, die am Lieferantenmanagementprogramm beteiligt sein werden, sowie ihre Rollen und Verantwortlichkeiten.
Identifizieren Sie alle Sicherheitskontrollen, die im Lieferantenverwaltungsprogramm verwendet werden.
Skizzieren Sie die Protokolle für die Vendor Due Diligence.
Identifizieren Sie die spezifische Risikobewertung des Anbieters, die verwendet wird
Diskutieren Sie den vorgeschlagenen Incident Response Plan (IRP)
Erläutern Sie, wie die Stakeholder über die Bemühungen des Third-Party Risk Management-Programms informiert bleiben.

Was sind die Risiken des Vendor Risk Managements?

Ironischerweise ist das Risikomanagement von Anbietern nicht ohne Risiken. Dies liegt daran, dass VRM auf Cloud-Lösungen basiert, die die digitale Landschaft eines Unternehmens erweitern und das digitale Risiko erhöhen.

Dieses Risiko ist nicht nur im Risikomanagement von Anbietern zu beobachten, sondern ein unaufhaltsames Nebenprodukt der digitalen Transformation - je mehr digitale Lösungen Sie an Ihre Ressourcen anhängen, desto größer ist die potenzielle Angriffsfläche.

Die Lösung zur Minderung dieses Risikos besteht in der Implementierung einer Lösung für das Management der Angriffsfläche, die durch die digitale Transformation verursachte Schwachstellen erkennen und beheben kann, sodass kritische Programme wie VRM ohne Bedenken angenommen werden können.

Erfahren Sie, warum VRM für Unternehmen in Indien besonders wichtig ist.

Welche verschiedenen Arten von Lieferantenrisiken gibt es?

Bevor das Lieferantenrisiko bewertet werden kann, müssen alle Anbieter identifiziert werden. Dieser Prozess ist nicht so einfach, wenn Ihr Unternehmen mit Auftragnehmern zusammenarbeitet.

Der IRS hat eine Checkliste entwickelt, die solchen Organisationen helfen soll, klare Trennlinien zwischen Auftragnehmern, Arbeitgebern und Drittanbietern festzulegen

Obwohl die spezifischen Details der Anbieterrisiken in jeder Branche unterschiedlich sind, kann jede Branche auf hoher Ebene von einem einzigen VRM-Framework profitieren. Dazu gehört das gleiche Klassifizierungsmodell für Lieferantenrisiken.

Es gibt 5 Stufen von Lieferantenrisiken. Der Schweregrad der einzelnen Risiken hängt von der Sensitivitätsstufe der Daten ab. auf die zugegriffen wird.

Die obige Grafik kann verwendet werden, um eine vorläufige Risikoanalyse durchzuführen, um den Zugriff jedes Anbieters auf private Ressourcen zu bewerten. Eine tiefergehende Risikoanalyse wird dann abgeschlossen, wenn die Sicherheitslage jedes Anbieters berechnet wird.

Wie bewerten Sie die Sicherheitslage eines Anbieters?

Die Sicherheitslage ist eine komplizierte Berechnung, die am besten einem speziellen Rechner anvertraut wird, um die Genauigkeit zu gewährleisten. Es kann jedoch eher als Grad der Akzeptanz als als numerischer Wert geschätzt werden, indem man den folgenden Prozess befolgt.

Ein Risikoprofil des Anbieters bestimmt die Art der Risiken, mit denen sich Sicherheitsteams über eine festgelegte Risikoschwelle hinaus befassen

Die Risikoschwelle (oder Risikobereitschaft) ist eine Funktion sowohl der inhärenten Risiken als auch der Restrisiken innerhalb des Ökosystems.

Erfahren Sie mehr über den Unterschied zwischen inhärenten und Restrisiken.

Erfahren Sie, wie Sie die Risikoschwelle berechnen.

Sobald Ihr Risikoschwellenwert definiert ist, sollte er verwendet werden, um eine Bedrohungsmatrix oder ein Bedrohungsmodell zu erstellen. Eine Bedrohungsmatrix bestimmt den Schweregrad jedes bewerteten Risikos (x-Achse) und die Wahrscheinlichkeit einer Ausnutzung (y-Achse) im Verhältnis zum festgelegten Risikoschwellenwert.

Diese Risikomatrix wird dann verwendet, um die Resilienz bestimmter Sicherheitsrichtlinien im Sicherheitsprogramm eines Anbieters zu bewerten. Diese Informationen werden am effizientesten durch Risikobewertungen von Anbietern gewonnen.

Erfahren Sie, wie Sie Risikobewertungen von Anbietern erstellen.

Jede Antwort auf den Fragebogen des Anbieters wird mit der Bedrohungsmatrix überprüft und mit einer Risikobewertung versehen.

Die durchschnittliche Anzahl der Antworten für jeden Risikotyp liefert eine sehr grobe Schätzung der Sicherheitslage eines Anbieters

Dieser mühsame manuelle Prozess kann durch eine Lösung zur Überwachung des Lieferantenrisikos ersetzt werden, die in der Lage ist, sofort die Sicherheitsbewertungen von Anbietern zu berechnen. Dies ist besonders nützlich für Unternehmen mit einem umfassenden Lieferantennetzwerk.

Müssen Ihre Anbieter gesetzliche Standards einhalten?

Die Einhaltung gesetzlicher Vorschriften stellt sicher, dass Unternehmen in der Lage sind, sich gegen die für ihre Branche spezifischen Cyberrisiken zu verteidigen. Daher unterscheiden sich die gesetzlichen Compliance-Standards in jeder Branche.

Hier finden Sie eine Liste der gängigen Compliance-Standards für die Informationssicherheit. Die Einhaltung bestimmter Standards ist für stark regulierte Branchen wie Gesundheitswesen und Finanzen obligatorisch.

NIST (Nationales Institut für Standards und Technologie)
CIS Controls (Zentrum für Internet Security Controls)
ISO (Internationale Organisation für Normung)
HIPAA (Health Insurance Portability and Accountability Act)/HITECH Omnibus-Regel
PCI-DSS (Der Datensicherheitsstandard der Zahlungskartenindustrie)
DSGVO (Datenschutz-Grundverordnung)
CCPA (Kalifornisches Gesetz zum Schutz der Privatsphäre von Verbrauchern)
AICPA (Amerikanisches Institut der Wirtschaftsprüfer)
SOX (Sarbanes-Oxley-Gesetz)
COBIT (Kontrollziele für Informations- und verwandte Technologien)
GLBA (Gramm-Leach-Bliley-Gesetz)
FISMA (Federal Information Security Modernization Act von 2014)
FedRAMP (Das Federal Risk and Authorization Management Program)
FERPA (Gesetz über Familienbildungsrechte und Privatsphäre von 1974)
ITAR (Internationale Vorschriften für den Waffenverkehr)
COPPA (Regel zum Schutz der Privatsphäre von Kindern im Internet)
NERC CIP-Standards (NERC Critical Infrastructure Protection Standards)

CyberRisk Questionnaire: Bietet eine umfassende Bewertung der Sicherheitslage eines Unternehmens.
ISO 27001-Fragebogen: Bewertet die Sicherheitslage eines Unternehmens anhand der ISO 27001-Norm, wobei die Risiken den ISO 27001-Domänen zugeordnet werden.
Kurzform-Fragebogen: eine komprimierte Version des CyberRisk-Fragebogens.
NIST Cybersecurity Framework Questionnaire: Bewertet die Sicherheitslage eines Unternehmens anhand des NIST Cybersecurity Framework.
PCI DSS-Fragebogen: Bewerten Sie die Einhaltung der zwölf Anforderungen von PCI DSS durch ein Unternehmen.
Fragebogen zum California Consumer Privacy Act (CCPA): Bewertet, ob ein Anbieter die im CCPA beschriebenen Anforderungen an die Offenlegung personenbezogener Daten erfüllt.
Fragebogen zur modernen Sklaverei: Entwickelt, um die Risiken der modernen Sklaverei zu identifizieren, identifizierte Risiken anzugehen und Bereiche hervorzuheben, die einer weiteren Sorgfaltspflicht bedürfen.
Pandemie-Fragebogen: Bewertet die Auswirkungen aktueller oder künftiger Pandemien.
Fragebogen zum Sicherheits- und Datenschutzprogramm: Konzentriert sich ausschließlich auf das Sicherheits- und Datenschutzprogramm eines Unternehmens.
Fragebogen zur Sicherheit von Webanwendungen: Konzentriert sich ausschließlich auf die Sicherheitskontrollen für Webanwendungen eines Unternehmens.
Fragebogen zur Infrastruktursicherheit: Konzentriert sich ausschließlich auf die Infrastruktursicherheitskontrollen eines Unternehmens.
Fragebogen zur Sicherheit von physischen und Rechenzentren: Konzentriert sich ausschließlich auf die Sicherheitskontrollen eines Unternehmens für physische und Rechenzentren.
COBIT 5 Security Standard Questionnaire: Bewertet die Einhaltung des von ISACA erstellten Control Objectives for Information and Related Technologies Framework.
ISA 62443-2-1:2009 Security Standard Questionnaire: Bewertet die Konformität mit dem ISA 62443-2-1:2009-Standard für industrielle Automatisierungs- und Steuerungssysteme.
ISA 62443-3-3:2013 Security Standard Questionnaire: Bewertet die Einhaltung der Anforderungen an technische Kontrollsysteme im Zusammenhang mit den sieben grundlegenden Anforderungen (FRs), die in IEC 62443-1-1 beschrieben sind.
GDPR Security Standard Questionnaire: Bewertet die Einhaltung der Anforderungen an die Offenlegung personenbezogener Daten, die in der Datenschutz-Grundverordnung (DSGVO) der Europäischen Union festgelegt sind.
CIS Controls 7.1 Security Standard Questionnaire: Bewertet die Einhaltung der Best-Practice-Richtlinien für Cybersicherheit, die in 20 CIS Controls beschrieben sind.
NIST SP 800-53 Rev. 4 Security Standard Questionnaire: Bewertet die Einhaltung der Sicherheits- und Datenschutzkontrollen, die für alle Informationssysteme des US-Bundes erforderlich sind, mit Ausnahme derjenigen, die sich auf die nationale Sicherheit beziehen.
SolarWinds-Fragebogen: Entwickelt, um Ihnen bei der Bewertung Ihrer Anbieter zu helfen, die SolarWinds möglicherweise verwenden.
Kaseya-Fragebogen: Ermittelt, ob Sie oder Ihre Lieferanten dem ausgeklügelten Ransomware-Angriff auf die Lieferkette ausgesetzt waren.

Die Details bestimmter Sicherheitsbemühungen von Anbietern können mit benutzerdefinierten Fragebögen überprüft werden.

Kostenlose Checkliste für das Risikomanagement von Anbietern

Nachdem nun die wesentlichen Hintergrundinformationen behandelt wurden, hilft Ihnen die folgende Checkliste, alle wichtigen Aspekte des Vendor Risk Managements (VRM) zu berücksichtigen.

wichtig:

Vendor Risk Management ist ein umfassendes Sicherheitsprogramm, das die gemeinsamen Anstrengungen von externen Risikoanalysten und Software zur Erkennung von Schwachstellen erfordert.

Dieser komplexe und sich ständig weiterentwickelnde Bereich der Cybersicherheit lässt sich nicht mit einer einzigen Checkliste regeln. Die folgende Checkliste sollte daher nur dazu verwendet werden, Defizite in Ihrem aktuellen VRM zu identifizieren, die dann mit einer branchenführenden Lösung für das Vendor Risk Management gestärkt werden können.

Einen umfassenderen Leitfaden zum Third-Party Risk Management (TPRM) finden Sie in diesem Beitrag.

Diese Checkliste kann auch als PDF heruntergeladen werden, indem Sie hier klicken.

1. Bewertung der Sicherheitslage potenzieller Anbieter

Berücksichtigen Sie jeden der folgenden Punkte, wenn Sie potenzielle Anbieter in Betracht ziehen.

🔲 Der Anbieter hat den Nachweis für erfolgreiche historische Partnerschaften in einer ähnlichen Branche erbracht.

🔲 Der Anbieter hat den Nachweis erbracht, dass er die verbindlichen regulatorischen Standards (ISO27001, NIST usw.) einhält.

🔲 Der Anbieter fordert ein angemessenes Maß an Zugriff auf vertrauliche Ressourcen an.

🔲 Der Anbieter hat ein klares und belastbares Sicherheitsprogramm für die Lieferkette implementiert.

🔲 Der Anbieter bietet ein akzeptables Service Level Agreement (SLA) an, das im Falle eines Cyberangriffs sicher aufrechterhalten werden kann.

🔲 Der Anbieter hatte gezeigt, wie er Ihr Unternehmen über Cybervorfälle auf dem Laufenden halten kann, die sich auf sein Ökosystem auswirken.

2. Definition klarer Prozesse zur Erkennung von Risiken durch Dritte

Stellt sicher, dass Ihr Unternehmen in der Lage ist, Risiken schnell zu erkennen und zu priorisieren.

🔲 Eine Liste aller aktuellen und historischen Lieferanten wird gepflegt und immer auf dem neuesten Stand gehalten

🔲 Es wird bestätigt, dass der Zugriff jedes Anbieters auf vertrauliche Ressourcen die minimale Zugriffsebene darstellt, die zum Erreichen der Geschäftsziele erforderlich ist.

🔲 Alle erkannten Lieferantenrisiken werden nach dem Ausmaß der Auswirkungen auf Ihr Unternehmen im Falle einer Ausnutzung eingestuft.

🔲 Die Sicherheitslage jedes Anbieters wird regelmäßig bewertet.

🔲 Anbieter mit dem höchsten Zugriffsniveau auf sensible Kundendaten werden häufiger und mit strengeren Sicherheitsstandards bewertet

3. Management von Lieferantenrisiken

Stellt sicher, dass Sie über einen Prozess verfügen, um die Wahrscheinlichkeit zu verringern, dass Schwachstellen von Anbietern ausgenutzt werden.

🔲 Erstellen Sie einen klaren Incident Response Plan für alle anbieterbezogenen Cybervorfälle.

🔲 Legen Sie klare Erwartungen an die Cybersicherheit fest, wie Anbieter auf Cyberbedrohungen reagieren sollen und wie sie Ihr Unternehmen auf dem Laufenden halten sollten.

🔲 Identifizieren Sie alle gesetzlichen Compliance-Standards, die für alle Anbieter gelten.

🔲 Festlegung eines regelmäßigen Zeitplans für die Überprüfung der Einhaltung gesetzlicher Vorschriften durch Lieferanten.

🔲 Richten Sie einen Prozess zur Überwachung der Sicherheitsbemühungen jedes Anbieters ein.

🔲 Stellen Sie sicher, dass alle Anbieter die Multi-Faktor-Authentifizierung implementiert haben.

🔲 Stellen Sie sicher, dass alle Anbieter ihre Daten mit dem Advanced Encryption Standard (AES) verschlüsseln.

🔲 Stellen Sie sicher, dass die Software des Anbieters mit den neuesten Patches geschützt ist.

🔲 Prüfen Sie regelmäßig Anbieter, um sicherzustellen, dass sie gesetzliche Sicherheitsanforderungen, Ihre persönlichen Sicherheitsanforderungen und SLA-Anforderungen erfüllen.

4. Informieren Sie die Stakeholder über die Sicherheitsbemühungen der Anbieter

Stellt sicher, dass das Management und die Stakeholder über Ihre Sicherheitsbemühungen von Drittanbietern auf dem Laufenden gehalten werden.

🔲 Richten Sie klare Kommunikationskanäle zwischen Anbietern und Ihren internen Sicherheitsteams ein.

🔲 Richten Sie klare Kommunikationskanäle zwischen Ihren Sicherheitsteams und Stakeholdern ein.

🔲 Legen Sie einen regelmäßigen Zeitplan für den Austausch zuverlässiger und umsetzbarer Cybersicherheitsinformationen von Anbietern über alle Kanäle fest.

🔲 Richten Sie Kanäle ein, um unsere Sicherheitsteams über die sich weltweit entwickelnden Cyberbedrohungen auf dem Laufenden zu halten.

Überwachung der Sicherheitslage von Anbietern - Die zentrale Ansicht von UpGuard bietet Stakeholdern und Sicherheitsteams einen sofortigen Einblick in den Sicherheitsstatus des Anbieternetzwerks
Überwachung der Angriffsfläche von Drittanbietern - UpGuard erkennt schnell Schwachstellen von Drittanbietern und sogar von Viertanbietern, bevor sie sich zu Reichweiten von Drittanbietern und Angriffen auf die Lieferkette entwickeln.
Behebungsmanagement - Die Behebungsbemühungen aller erkannten Schwachstellen können direkt über die UpGuard-Plattform verwaltet und verfolgt werden, was schnelle Reaktionszeiten bei Vorfällen unterstützt.
Einhaltung gesetzlicher Vorschriften - UpGuard bietet eine Fülle von Sicherheitsfragebögen zur Unterstützung gängiger gesetzlicher Compliance-Standards.
Benutzerdefinierte Sicherheitsfragebögen - UpGuard bietet einen benutzerdefinierten Ersteller von Sicherheitsfragebögen zur Unterstützung maßgeschneiderter Sicherheitsprogramme von Anbietern.
Erkennung von Datenlecks bei Anbietern - UpGuard erkennt und schließt Datenlecks von Anbietern, bevor sie von Cyberkriminellen entdeckt werden. Diese Funktion, die es nur bei UpGuard gibt, zeigt den Stakeholdern ein überragendes Engagement für die Stärkung der Anbietersicherheit.
Generierung von Executive-Repots - Mit der Funktion zur Erstellung von Executive-Berichten von UpGuard können Sie das Führungsteam sofort über den gesamten Umfang Ihrer VRM-Bemühungen informieren.
Kostengünstige TPRM-Skalierung - UpGuard bietet ein Team von Cybersicherheitsexperten, die Anbieterbewertungen und die Sicherheit vor Datenlecks in Ihrem Namen verwalten können. Diese Einheit kann mit bestehenden Sicherheitsteams erweitert werden, um ein TPRM-Programm effizient zu skalieren.