Kostenlose Vorlage für einen Kaseya Vendor Security Questionnaire (Ausgabe 2024)

Kaseya, ein Anbieter von IT-Lösungen für Managed Service Provider (MSPs) und kleine und mittlere Unternehmen (KMU), wurde am Wochenende des amerikanischen Unabhängigkeitstags 2021 Opfer eines umfangreichen Cyberangriffs. Als sich der Rauch verzogen hatte, übernahm die mit Russland verbundene Ransomware-Bande REvil die Verantwortung für den Angriff auf ein Darknet-Forum und bot einen Entschlüsselungsschlüssel für 70 Millionen US-Dollar in Kryptowährung an.

Der beste Weg, Ihr Unternehmen vor zukünftigen Datenschutzverletzungen und Risiken durch Dritte zu schützen, besteht darin, umfassende Sicherheitsfragebögen für Anbieter zu entwickeln, die die Sicherheitslage neuer und bestehender Anbieter genau bewerten. In Bezug auf den Kaseya-Cyberangriff ist es wichtig zu verstehen, ob Ihre Anbieter betroffen waren und ob sie Vorkehrungen getroffen haben, um ihre Datensysteme vor zukünftigen Angriffen zu schützen.

Lesen Sie weiter, um zu erfahren, welche Fragen Sie Ihren Anbietern in Bezug auf den Kaseya-Angriff stellen sollten.

Wie haben Hacker die Systeme von Kaseya ausgenutzt?

Der Kaseya-Cyberangriff im Jahr 2021 nutzte eine versteckte Schwachstelle in der VSA RMM-Software des Unternehmens aus, die nach Schätzungen von Fachleuten die Konten und sensiblen Informationen von mindestens 800 Kunden kompromittiert hat, wobei einige Berichte davon ausgehen, dass bis zu 2.000 Konten von dem Angriff betroffen waren. Viele Cybersicherheitsexperten haben den Kaseya-Angriff mit dem SolarWinds-Angriff im Jahr 2020 verglichen und sind zu dem Schluss gekommen, dass umfangreiche, miteinander vernetzte Lieferketten Cyberbedrohungen häufiger und ausgefeilter als je zuvor gemacht haben.

Empfohlene Lektüre: Wie wurde Kaseya gehackt?

Fragen, die Sie Anbietern in Bezug auf Kaseya und IT-Servicemanagement stellen sollten

Im Folgenden finden Sie einige Fragen, die Ihr Unternehmen verwenden kann, um einen eigenen Kaseya-Sicherheitsfragebogen zu erstellen und den Status Ihrer Anbieter zu bewerten.

1. War Ihr Unternehmen von dem jüngsten Kaseya VSA-Ransomware-Angriff betroffen?

• Ja
• Nein
• [Offenes Textfeld für Lieferantenkommentare]

2. Hat Ihr Unternehmen jemals eine betroffene Version eines Kaseya-Produkts verwendet?

• Ja, wir sind derzeit
• Ja, das haben wir in der Vergangenheit
• Nein, das haben wir noch nie
• [Offenes Textfeld für Lieferantenkommentare]

3. Haben Sie die betroffenen Kaseya-Produkte auf nicht betroffene Versionen aktualisiert?

• Ja
• Nein
• Nicht zutreffend
• [Offenes Textfeld für Lieferantenkommentare]

4. Sind Ihnen verdächtige Aktivitäten oder kompromittierte Daten im Zusammenhang mit einem Kaseya-Vorfall bekannt?

• Ja
• Nein
• Nicht zutreffend
• [Offenes Textfeld für Lieferantenkommentare]

5. Arbeiten Sie mit Dritten zusammen, die von der Kaseya-Sicherheitsverletzung betroffen sind?

• Ja
• Nein
• Unsicher
• [Offenes Textfeld für Lieferantenkommentare]

6. Wenn ja, listen Sie bitte die Anbieter unten auf

• Name des Anbieters:
• Name des Anbieters:
• Name des Anbieters:
• [Offenes Textfeld für Lieferantenkommentare]

7. Wenn Sie mit Anbietern zusammenarbeiten, die von der Sicherheitsverletzung betroffen waren, wie viele Daten werden an diese weitergegeben?

• Sensible Daten
• Personenbezogene Daten
• Es werden keine Daten weitergegeben
• Nicht zutreffend
• [Offenes Textfeld für Lieferantenkommentare]

8. Welche Onboarding-Verfahren implementiert Ihr Unternehmen, um seine Drittanbieter zu bewerten?

• Unsere Organisation befolgt umfangreiche Workflows für Lieferantenrisiken, die Sicherheitsfragebögen, Risikobewertungen und andere Verfahren zur Erfüllung der Sorgfaltspflicht von Lieferanten umfassen.
• Unsere Organisation verwendet lose Sicherheitsfragebögen, Risikobewertungen und andere Due-Diligence-Verfahren für Anbieter.
• Unsere Organisation ist dabei, ihre Vendor Due Diligence-Verfahren zu verfeinern.
• Unsere Organisation muss ihre Due-Diligence-Verfahren verbessern.
• [Offenes Textfeld für Lieferantenkommentare]

9. Wie stark hat sich der Kaseya-Angriff auf Ihr Unternehmen ausgewirkt?

• Der Angriff hatte erhebliche Auswirkungen auf unser Netzwerk, unsere IT-Infrastruktur und unsere Sicherheitsprogramme und unterbrach den Betrieb und die Geschäftskontinuität. Es kam auch zu einem Verlust sensibler Daten.
• Der Angriff hatte erhebliche Auswirkungen auf unser Netzwerk, unsere IT-Infrastruktur und/oder unsere Sicherheitsprogramme und führte zu einer leichten Unterbrechung des Betriebs und der Geschäftskontinuität. Ein Teil der Vertraulichkeit der Daten ging verloren.
• Der Angriff hatte leichte Auswirkungen auf unser Netzwerk, unsere IT-Infrastruktur und/oder unsere Sicherheitsprogramme. Der Geschäftsbetrieb wurde jedoch nicht unterbrochen, und es gingen keine Daten verloren oder wurden beschädigt.
• Der Angriff hatte keine Auswirkungen auf unser Netzwerk, unsere IT-Infrastruktur und/oder unsere Sicherheitsprogramme.
• [Offenes Textfeld für Lieferantenkommentare]

10. Hat der Kaseya-Angriff wichtige Dienstleistungen unterbrochen, die Ihr Unternehmen für Kunden und Partner bereitstellt?

• Ja
• Nein
• [Offenes Textfeld für Lieferantenkommentare]

11. Verfügt das Cybersicherheitsprogramm Ihres Unternehmens über einen entwickelten Plan zur Reaktion auf Sicherheitsvorfälle?

• Ja, unser Unternehmen verfügt über einen Incident-Response-Plan, der Schritte zur Identifizierung, Minderung, Berichterstattung, Zukunftsprävention und Kundenkommunikation umfasst.
• Ja, unser Unternehmen verfügt über einen Incident-Response-Plan. Dennoch ist das Programm entweder veraltet und muss aktualisiert werden oder enthält keine Verfahren für einen oder mehrere der folgenden Punkte: Identifizierung, Risikominderung, Berichterstattung, Zukunftsprävention oder Kundenkommunikation.
• Nein, wir entwickeln Incident-Response-Verfahren von Fall zu Fall nach einer Vorfalluntersuchung.
• Nein, unsere Organisation verfügt über keine entwickelten Verfahren für die Reaktion auf Vorfälle.
• [Offenes Textfeld für Lieferantenkommentare]

12. Verfügt das Cybersicherheitsprogramm Ihres Unternehmens über einen entwickelten Disaster-Recovery-Plan?

• Ja, unser Unternehmen verfügt über einen Disaster-Recovery-Plan, der Schritte zur Risikobewertung, zur Bewertung kritischer Anforderungen, zum Testen, zur Wiederherstellung, zur Behebung und zur zukünftigen Prävention umfasst.
• Ja, unser Unternehmen verfügt über einen Notfallwiederherstellungsplan. Dennoch ist das Programm entweder veraltet und muss aktualisiert werden oder enthält keine Verfahren für einen oder mehrere der folgenden Punkte: Risikobewertung, Bewertung kritischer Bedürfnisse, Tests, Wiederherstellung, Behebung und zukünftige Prävention.
• Nein, wir entwickeln Disaster Recovery-Verfahren von Fall zu Fall nach einer Vorfallsuntersuchung.
• Nein, unsere Organisation verfügt über keine entwickelten Verfahren für die Notfallwiederherstellung.
• [Offenes Textfeld für Lieferantenkommentare]

12. Verwendet Ihr Unternehmen Multi-Faktor-Authentifizierung (MFA)?

• Ja
• Nein
• [Offenes Textfeld für Lieferantenkommentare]

13. Wie oft evaluiert Ihr Unternehmen seine Sicherheitssysteme mithilfe von Penetrationstests, Firewall-Audits usw.?

• Alle sechs Monate
• Jedes Jahr
• Wann immer es nötig ist
• [Offenes Textfeld für Lieferantenkommentare]

14. Verfügt Ihr Unternehmen über ein eigenes Sicherheitsteam?

• Ja
• Nein
• [Offenes Textfeld für Lieferantenkommentare]

15. Verfügt Ihr Unternehmen über ein dediziertes Security Operations Center (SOC)?

• Ja
• Nein
• [Offenes Textfeld für Lieferantenkommentare]

16. Wer ist der Ansprechpartner Ihres Unternehmens für weitere Sicherheitsfragen?

• Name:
• Titel:
• E-Mail-Adresse:
• Telefonnummer:
• [Offenes Textfeld für Lieferantenkommentare]

17. Hat Ihr Unternehmen neue Schutzmaßnahmen implementiert, neue Sicherheitskontrollen installiert oder die bestehende Infrastruktur aktualisiert, um die Auswirkungen des Kaseya-Angriffs auf das Unternehmen zu beheben?

• Für die zukünftige Prävention wurden neue Kontrollen und Schutzmaßnahmen identifiziert und installiert
• Neue Kontrollen und Schutzmaßnahmen wurden identifiziert und werden derzeit zur zukünftigen Prävention installiert
• Es wurden neue Kontrollen und Schutzmaßnahmen identifiziert, aber die Installation hat noch nicht begonnen
• Neue Kontrollen und Schutzmaßnahmen wurden nicht identifiziert oder installiert
• [Offenes Textfeld für Lieferantenkommentare]

18. Wenn Ihr Unternehmen noch keine neuen Sicherheitskontrollen installiert hat, hat es Workaround-Methoden oder kompensierende Kontrollen implementiert, um ähnliche Angriffe in Zukunft zu vermeiden?

• Es wurden kompensierende Kontrollen und/oder Workaround-Methoden implementiert, um zukünftige Cyberangriffe abzuschwächen und/oder zu verhindern
• Es wurden kompensierende Kontrollen und/oder Workaround-Methoden identifiziert, um zukünftige Cyberangriffe abzuschwächen und/oder zu verhindern, aber sie wurden noch nicht implementiert
• Kompensierende Kontrollen und/oder Workaround-Methoden müssen noch identifiziert oder implementiert werden
• [Offenes Textfeld für Lieferantenkommentare]

• Sicherheitsbewertungen von Anbietern: Verschaffen Sie sich sofort einen Überblick über die Sicherheitslage Ihres Anbieters
• Lieferantenrisikobewertungen: Reduzieren Sie die Zeit, die für die Bewertung neuer und bestehender Anbieter benötigt wird
• Vendor Tiering: Klassifizieren Sie Anbieter auf der Grundlage ihres inhärenten Cyberrisikos und der individuellen Risikotoleranz Ihres Unternehmens
• Compliance-Berichterstattung: Ordnen Sie Anbieterdetails gängigen Compliance-Frameworks (NIST, ISO 27001, PCI usw.) und Initiativen zu.
• Erkennung von Datenlecks bei Anbietern: Verhindern Sie Datenlecks aufgrund von Sicherheitsverletzungen durch Dritte, Phishing-Versuche, Ransomware, Endpunkt-Schwachstellen und andere Cyber-Bedrohungen
• 24/7 Continuous Vendor Monitoring: Erhalten Sie Echtzeit-Updates, wenn sich die Sicherheitsbewertungen Ihres Anbieters ändern
• Integrationen von Drittanbietern: Konfigurieren Sie UpGuard in Ihren vorhandenen Sicherheitstools und Webanwendungen