Best Practices für das Risikomanagement von Anbietern im Jahr 2023

Das Risikomanagement von Anbietern ist schwierig. Und es wird immer schwieriger. Aber das muss nicht sein.

Geschäftsbereiche lagern immer mehr ihre Geschäftstätigkeit an Drittanbieter aus. Diese Zulieferer lagern wiederum an ihre eigenen Dienstleister aus. Es ist unbestreitbar, dass das durchschnittliche Risiko eines Unternehmens durch Dritte und Viertplatzierte noch nie so hoch war wie heute. Es ist wichtig, über robuste Lieferantenmanagementpraktiken zu verfügen.

Outsourcing wird immer ein gewisses Maß an Cybersicherheitsrisiko mit sich bringen, aber ein gutes Risikomanagementprogramm für Anbieter kann das Risiko mindern und Datenschutzverletzungen und Datenlecks verhindern.

Viele Unternehmen konzentrieren sich kurzsichtig auf operative Risikofaktoren in ihrer Lieferkette, wie z. B. Service-Levels, Qualitätsstandards, KPIs und Service-Levels, und ignorieren die größten Risiken. Nämlich die Reputations- und finanziellen Schäden durch Sicherheitsverletzungen.

Das Risikomanagement von Anbietern kann dazu beitragen, Datenschutzverletzungen zu verhindern, und ist zunehmend ein wichtiger Bestandteil der Einhaltung gesetzlicher Vorschriften. Dies gilt insbesondere für Finanzdienstleistungsunternehmen mit der Einführung von CPS 234, dem Gramm-Leach-Bliley Act und PIPEDA.

Hier sind 8 Best Practices, von denen jedes Risikomanagementprogramm von Anbietern profitieren kann.

Führen Sie ein genaues Lieferanteninventar

Ohne eine Bestandsaufnahme Ihrer Beziehungen zu Drittanbietern ist es unmöglich, das Ausmaß des Risikos zu messen, das Anbieter mit sich bringen.

Trotzdem führen nur 46 % der Unternehmen Cybersicherheitsrisikobewertungen für Anbieter durch, die mit sensiblen Daten umgehen.

Beachten Sie, dass Drittanbieter möglicherweise nicht über die gleichen Sicherheitskontrollen verfügen wie Sie. Aus diesem Grund muss ein Risikomanagement-Framework eines Drittanbieters die potenziellen Risiken Ihrer Anbieter berücksichtigen

Und die finanziellen Auswirkungen einer Datenschutzverletzung durch Dritte beliefen sich 2019 weltweit auf 4,29 Millionen US-Dollar.

Selbst Sicherheitsvorfälle bei kleinen Anbietern können zu großen Cyberangriffen führen.

Ein gutes Beispiel ist die Datenschutzverletzung bei Target im Jahr 2013, die mit einem HLK-Subunternehmer in einem einzigen Target-Geschäft begann. Dies führte zur Offenlegung von rund 40 Millionen Debit- und Kreditkarten.

Die Bestandsaufnahme Ihrer Lieferanten ist der erste Schritt zu jedem Programm für das Risikomanagement von Lieferanten. Sicherheitsprobleme können in jedem Teil des Lieferantenlebenszyklus auftreten, auch nachdem die Lieferantenbeziehung beendet wurde.

Erfahren Sie mehr über die besten VRM-Lösungsoptionen auf dem Markt >

Erstellen eines Kreditorenbewertungsprozesses

Das willkürliche Onboarding von Anbietern kann zwar Zeit sparen, ist aber auch eine großartige Möglichkeit, Anbieter mit hohem Risiko einzuführen, die Ihre Bemühungen um Informationssicherheit und Datensicherheit zunichte machen können.

Lieferantenfragebögen sind der Schlüssel zu jeder Strategie für das Risikomanagement von Lieferanten. Für viele Branchen sind sie eine regulatorische Anforderung.

Das Problem bei herkömmlichen Anbieterfragebögen ist, dass sie zu einem bestimmten Zeitpunkt, subjektiv und zeitaufwändig zu erstellen sind.

Aus diesem Grund investieren Unternehmen in Tools, um die Ergebnisse von Sicherheitsfragebögen automatisch und objektiv zu erstellen, zu versenden und zu bewerten.

Wenn Sie sich nicht sicher sind, wo Sie anfangen sollen, verwenden Sie unsere Vorlage für einen Fragebogen zur Risikobewertung von Lieferanten. Verwenden Sie es als Grundlage und entfernen oder fügen Sie Fragen hinzu, die auf Ihrer Risikotoleranz basieren.

Eine gute Vorlage reduziert den operativen Aufwand für die Bewertung und das Onboarding neuer Anbieter, ohne Kompromisse bei der Sicherheit einzugehen.

Kontinuierliche Überwachung und Bewertung einzelner Anbieter

Das größte Problem bei traditionellen Risikomanagementprozessen von Drittanbietern besteht darin, dass sie zu einem bestimmten Zeitpunkt, teuer und subjektiv sind.

Die laufende Überwachung und Bewertung des individuellen Lieferantenrisikos ist schwierig.

Auch für die größten Organisationen. Eine Antwort auf dieses Problem sind Sicherheitsbewertungen.

Wertpapierratings sind ein quantitatives Maß für die Sicherheitslage, ähnlich wie ein Kreditrating die Kreditqualität misst. Mit der Verbesserung der Sicherheitsbewertungen verbessert sich auch die Sicherheitslage.

Anbieter von Sicherheitsbewertungen bieten eine unaufdringliche Echtzeitmessung der Sicherheitslage eines Anbieters. Bietet sofort einen aggregierten Überblick über die Leistung der Anbieter und die wichtigsten Risiken, die in Ihrem Lieferantenportfolio geteilt werden, und ermöglicht es den Lieferantenmanagementteams, einzelne Anbieter kontinuierlich auf Sicherheitsprobleme zu überwachen.

Durch die Kombination der kontinuierlichen Überwachung von Sicherheitsbewertungen mit den tiefen Einblicken von Point-in-Time-Risikobewertungen können Sicherheitsteams ein möglichst umfassendes Bewusstsein für ihre gesamte Angriffsfläche erlangen, selbst zwischen den Zeitplänen für die Risikobewertung.

Definieren von Anbieterleistungsmetriken

Wenn Sie planen, einen IT-Anbieter oder Dienstleister zu beauftragen, sollten Sie neben betrieblichen SLAs auch Cybersicherheitsmetriken definieren.

Anbieter, die Zugriff auf sensible Daten wie PHI oder PII haben, sollten verpflichtet sein, Risikobewertungen durch Dritte für ihre Anbieter durchzuführen, um Ihr Risiko durch Dritte zu minimieren.

Wenn Sie ein HIPAA-betroffenes Unternehmen sind, haften Sie für Datenschutzverletzungen von Anbietern. Auch wenn Sie nicht haftbar gemacht werden können, verursachen Datenschutzverletzungen Reputations- und finanzielle Schäden.

Überwachen von Fourth-Party-Anbietern

Das Cybersicherheitsrisiko hört nicht bei Dritten auf. Es besteht eine gute Chance, dass Ihre Lieferanten Lieferanten haben. Diese Anbieter führen ein Risiko der vierten Partei ein.

Das Fourth-Party-Risikomanagement erfordert eine noch größere Berücksichtigung als das Third-Party-Risikomanagement. Wahrscheinlich haben Sie keinen rechtlichen Vertrag mit vierten Parteien.

Viele Drittanbieter verwalten Viertanbieter nicht mit der gleichen Sorgfalt wie Sie Ihre Drittanbieter. Wir sehen darin eine große Lücke im Risikomanagement.

Fourth-Party-Risikomanagement kann Folgendes reduzieren:

• Bemühungen um Abhilfemaßnahmen
• Gesamtes Risiko
• Prozesse bei der Anbieterauswahl

Und verbessern Sie die Sorgfaltspflicht, die Risikoüberwachung, die Informationen und die Überprüfung.

Planen Sie für das Worst-Case-Szenario

Nicht jeder Anbieter wird Ihre Standards erfüllen. Aus diesem Grund sind die Planung der Geschäftskontinuität, der Notfallwiederherstellung und der Incident-Response-Planung die Grundlage jedes VRM-Programms.

Ihr Managementplan für Drittanbieter muss die Entfernung von Anbietern berücksichtigen, die es versäumen, Risiken rechtzeitig zu mindern.

Business Continuity reduziert das Risiko, dass Ihre Kunden unter längeren Ausfällen leiden, die durch Dritte verursacht werden. Dies kann durch einen falsch konfigurierten S3-Bucket verursacht werden, der von einem Anbieter verwaltet wird, oder durch ein Rechenzentrum eines Drittanbieters, das von einer Naturkatastrophe betroffen ist.

Bilden Sie ein spezielles VRM-Komitee

Eine der Best Practices, die Sie implementieren können, ist ein Vendor Risk Management Committee.

Dabei handelt es sich um ein engagiertes Team, in dem die Geschäftsleitung vertreten ist.

Das Gremium hat die Aufgabe, sich mit potenziellen und bestehenden Anbietern auseinanderzusetzen.

Ständig kommunizieren

Das Wichtigste ist, mit Ihren Anbietern zu kommunizieren. Gehen Sie nicht davon aus, dass sie wissen, was Sie von ihnen erwarten. Kommunikation kann Missverständnisse reduzieren und es Ihnen ermöglichen, Probleme proaktiv anzugehen, bevor sie zu Sicherheitsvorfällen werden.

Kommunikationsworkflows sollten auch nach oben gerichtet sein, um die Stakeholder über Ihre VRM-Bemühungen auf dem Laufenden zu halten. Die effektivste Kommunikation zum Risikomanagement von Anbietern erfolgt über Cybersicherheitsberichte, die Informationen wie die folgenden enthalten:

• Sicherheitsmaßnahmen in allen wichtigen Risikokategorien (einschließlich Reputationsrisiken und finanzieller Risiken)
• Die Wirksamkeit der Maßnahmen zur Risikominderung, gemessen an Verbesserungen der Sicherheitslage
• Kontinuierliche Überwachung zur Erkennung neu auftretender Schwachstellen
• Ausrichtung an Compliance-Anforderungen, wie z. B. der DSGVO.
• Effizienz des TPRM-Programms
• Die Ergebnisse von Cybersecurity-Audits (intern und extern)
• Kritisches Risiko, das die in Lieferantenverträgen festgelegten Service Level Agreements gefährdet