Kostenlose Vorlage für einen SolarWinds-Anbieterfragebogen (Ausgabe 2024)

Der Angriff auf die Lieferkette von SolarWinds im Dezember 2020 gehört zu den ausgeklügeltsten und am weitesten verbreiteten Cyberangriffen, die jemals eingesetzt wurden. Schätzungen zufolge betraf der Angriff fast 20.000 Kunden, darunter die US-Bundesregierung und hochrangige Organisationen des privaten Sektors, nachdem Angreifer versteckten Code in SolarWinds-Produkten und der Orion-Plattform des Unternehmens mobilisiert hatten.

Das Versenden eines SolarWinds-Fragebogens an Drittanbieter ist heute ein wesentlicher Schritt bei der Anbieter-Due-Diligence-Prüfung für Unternehmen in verschiedenen Branchen, darunter Bildung, Technologie, Finanzen und Behörden. Durch den Einblick in die Art und Weise, wie ein Anbieter die Anwendungsüberwachungsdienste von SolarWinds nutzt und/oder von der Sicherheitsverletzung betroffen war, kann Ihr Unternehmen die allgemeine Sicherheitslage eines Anbieters und sein Engagement für eine gesunde Risikohygiene besser verstehen.

Lesen Sie weiter, um Beispielfragen zu entdecken, die Ihr Unternehmen in seinen SolarWinds-Anbieterfragebogen aufnehmen kann.

Wofür verwenden Unternehmen SolarWinds?

Die SolarWinds Orion-Plattform ist ein Stack von Datenbankverwaltungsprodukten, mit denen IT-Sicherheitsexperten Datenbankmetriken verfolgen und Infrastruktur und Leistung verwalten können. Der Stapel von Anwendungen, die über SolarWinds.com verfügbar sind, umfasst Programme, die Organisationen bei den folgenden Aufgaben unterstützen:

• Überwachung der Netzwerkleistung (NPM)
• Fehlerbehebung im Netzwerk
• Server- und Anwendungsüberwachung (SAM)
• Benutzer-Geräte-Tracker (UDT)
• Service-Desk-Kommunikationsmanagement
• IP-Adressen- und IP-SLA-Verwaltung
• Einfaches Netzwerkmanagementprotokoll SNMP-Abfrage
• Web-Performance-Verwaltung (WPM)
• Überwachung der SQL Server-Leistung
• Verwaltung von Maschinentypen
• Beobachtbarkeit der Hybrid Cloud
• Integration von NPM und externer Infrastruktur (CISCO, AWS, Microsoft Azure)
• Leistungsverwaltung von Netzwerkservern (Windows, Linux, Mac)

Fragen, die Sie Anbietern zu SolarWinds und IT-Servicemanagement stellen sollten

Im Folgenden finden Sie einige Fragen, die Ihr Unternehmen verwenden kann, um einen eigenen SolarWinds-Sicherheitsfragebogen zu erstellen und den Status Ihrer Anbieter zu bewerten.

1. War Ihr Unternehmen von dem jüngsten Cyberangriff auf SolarWinds Orion-Malware betroffen?

• Ja
• Nein
• [Offenes Textfeld für Lieferantenkommentare]

2. Hat Ihr Unternehmen jemals eine betroffene Version eines SolarWinds-Produkts verwendet?

• Ja, wir sind derzeit
• Ja, das haben wir in der Vergangenheit
• Nein, das haben wir noch nie
• [Offenes Textfeld für Lieferantenkommentare]

3. Haben Sie die betroffenen SolarWinds-Produkte auf nicht betroffene Versionen aktualisiert?

• Ja
• Nein
• Nicht zutreffend
• [Offenes Textfeld für Lieferantenkommentare]

4. Sind Ihnen verdächtige Aktivitäten oder kompromittierte Daten im Zusammenhang mit einem SolarWinds-Vorfall bekannt?

• Ja
• Nein
• Nicht zutreffend
• [Offenes Textfeld für Lieferantenkommentare]

5. Arbeiten Sie mit Dritten zusammen, die von der SolarWinds-Sicherheitsverletzung betroffen sind?

• Ja
• Nein
• Unsicher
• [Offenes Textfeld für Lieferantenkommentare]

6. Wenn ja, listen Sie bitte die Anbieter unten auf

• Name des Anbieters:
• Name des Anbieters:
• Name des Anbieters:
• [Offenes Textfeld für Lieferantenkommentare]

7. Wenn Sie mit Anbietern zusammenarbeiten, die von der Sicherheitsverletzung betroffen waren, wie viele Daten werden an diese weitergegeben?

• Sensible Daten
• Personenbezogene Daten
• Es werden keine Daten weitergegeben
• Nicht zutreffend
• [Offenes Textfeld für Lieferantenkommentare]

8. Wie stark hat sich der SolarWinds-Angriff auf Ihr Unternehmen ausgewirkt?

• Der Angriff hatte erhebliche Auswirkungen auf unser Netzwerk, unsere IT-Infrastruktur und unsere Sicherheitsprogramme und unterbrach den Betrieb und die Geschäftskontinuität. Es kam auch zu einem Verlust sensibler Daten.
• Der Angriff hatte erhebliche Auswirkungen auf unser Netzwerk, unsere IT-Infrastruktur und/oder unsere Sicherheitsprogramme und führte zu einer leichten Unterbrechung des Betriebs und der Geschäftskontinuität. Ein Teil der Vertraulichkeit der Daten ging verloren.
• Der Angriff hatte leichte Auswirkungen auf unser Netzwerk, unsere IT-Infrastruktur und/oder unsere Sicherheitsprogramme. Der Geschäftsbetrieb wurde jedoch nicht unterbrochen, und es gingen keine Daten verloren oder wurden beschädigt.
• Der Angriff hatte keine Auswirkungen auf unser Netzwerk, unsere IT-Infrastruktur und/oder unsere Sicherheitsprogramme.
• [Offenes Textfeld für Lieferantenkommentare]

9. Hat der SolarWinds-Angriff wichtige Services unterbrochen, die Ihr Unternehmen für Kunden und Partner bereitstellt?

• Ja
• Nein
• [Offenes Textfeld für Lieferantenkommentare]

10. Verfügt das Cybersicherheitsprogramm Ihres Unternehmens über einen entwickelten Incident-Response-Plan?

• Ja, unser Unternehmen verfügt über einen Incident-Response-Plan, der Schritte zur Identifizierung, Minderung, Berichterstattung, Zukunftsprävention und Kundenkommunikation umfasst.
• Ja, unser Unternehmen verfügt über einen Incident-Response-Plan. Dennoch ist der Plan entweder veraltet und muss aktualisiert werden oder enthält keine Verfahren für einen oder mehrere der folgenden Punkte: Identifizierung, Risikominderung, Berichterstattung, Zukunftsprävention oder Kundenkommunikation.
• Nein, wir entwickeln Incident-Response-Verfahren von Fall zu Fall nach einer Vorfalluntersuchung.
• Nein, unsere Organisation verfügt über keine entwickelten Verfahren für die Reaktion auf Vorfälle.
• [Offenes Textfeld für Lieferantenkommentare]

11. Wer ist der Ansprechpartner Ihres Unternehmens für weitere Sicherheitsfragen?

• Name:
• Titel:
• E-Mail-Adresse:
• Telefonnummer:
• [Offenes Textfeld für Lieferantenkommentare]

12. Hat Ihr Unternehmen neue Schutzmaßnahmen implementiert, neue Kontrollen installiert oder die vorhandene Infrastruktur aktualisiert, um die Auswirkungen des SolarWinds-Angriffs auf das Unternehmen zu beheben?

• Für die zukünftige Prävention wurden neue Kontrollen und Schutzmaßnahmen identifiziert und installiert
• Neue Kontrollen und Schutzmaßnahmen wurden identifiziert und werden derzeit zur zukünftigen Prävention installiert
• Es wurden neue Kontrollen und Schutzmaßnahmen identifiziert, aber die Installation hat noch nicht begonnen
• Neue Kontrollen und Schutzmaßnahmen wurden nicht identifiziert oder installiert
• [Offenes Textfeld für Lieferantenkommentare]

13. Wenn Ihr Unternehmen noch keine neuen Kontrollen installiert hat, hat es Workaround-Methoden oder kompensierende Kontrollen implementiert, um ähnliche Angriffe in Zukunft zu vermeiden?

• Es wurden kompensierende Kontrollen und/oder Workaround-Methoden implementiert, um zukünftige Cyberangriffe abzuschwächen und/oder zu verhindern
• Es wurden kompensierende Kontrollen und/oder Workaround-Methoden identifiziert, um zukünftige Cyberangriffe abzuschwächen und/oder zu verhindern, aber sie wurden noch nicht implementiert
• Kompensierende Kontrollen und/oder Workaround-Methoden müssen noch identifiziert oder implementiert werden
• [Offenes Textfeld für Lieferantenkommentare]

• Sicherheitsbewertungen von Anbietern: Verschaffen Sie sich sofort einen Überblick über die Sicherheitslage Ihres Anbieters
• Lieferantenrisikobewertungen: Reduzieren Sie die Zeit, die für die Bewertung neuer und bestehender Anbieter benötigt wird
• Anbieter-Tiering: Klassifizieren Sie Anbieter auf der Grundlage ihres inhärenten Risikos und der individuellen Risikotoleranz Ihres Unternehmens
• Compliance-Berichterstattung: Ordnen Sie Anbieterdetails gängigen Compliance-Frameworks (NIST, ISO 27001 usw.) zu.
• Erkennung von Datenlecks bei Anbietern: Verhindern Sie Datenlecks aufgrund von Sicherheitsverletzungen durch Drittanbieter
• 24/7 Continuous Vendor Monitoring: Erhalten Sie Echtzeit-Updates, wenn sich die Sicherheitsbewertungen Ihres Anbieters ändern