Wie führen Sie eine Lieferantenrisikobewertung durch?

Bei der Auswahl eines Lieferanten, mit dem sie zusammenarbeiten möchten, müssen Unternehmen ihre Sorgfaltspflicht erfüllen und die mit jedem einzelnen Lieferanten verbundenen Cyberrisiken anhand von Risikobewertungen bewerten. Ein Teil des Prozesses des Lieferantenlebenszyklusmanagements umfasst die Sicherstellung, dass diese Drittanbieter die Mindestsicherheitsanforderungen erfüllen, starke Cybersicherheitsprogramme unterhalten und alle relevanten Compliance-Vorschriften einhalten.

Insbesondere in der Beschaffungsphase müssen Unternehmen entscheiden, ob sie mit einem bestimmten Lieferanten zusammenarbeiten oder ob es sich lohnt, dessen Risiken einzugehen. Über den gesamten Lieferantenlebenszyklus hinweg müssen Unternehmen weiterhin Lieferantenrisikobewertungen durchführen, um sicherzustellen, dass sie ihre Sicherheitslage aufrechterhalten und keine neuen Risiken für ihre IT-Infrastruktur eingeführt haben.

In diesem Beitrag wird untersucht, wie Unternehmen eine Lieferantenrisikobewertung durchführen und Datenschutzverletzungen verhindern können und wie die damit verbundenen Risiken gemindert werden können.

Was ist eine Lieferantenrisikobewertung?

Lieferantenrisikobewertungen helfen Unternehmen, alle Cyberrisiken, die mit einem bestimmten Lieferanten verbunden sind, zu verstehen und zu priorisieren. Es ist ein wesentlicher Bestandteil einer umfassenderen Strategie für das Risikomanagement von Lieferanten, die das Risikoniveau des Lieferanten bewertet und ob es bei einer Partnerschaft mit ihm potenzielle Probleme geben könnte.

Anhand der aus der Risikobewertung gewonnenen Informationen können Top-Führungskräfte und Aktionäre die notwendigen Geschäftsentscheidungen über die Sicherheitslage des Lieferanten und eine mögliche Partnerschaft treffen. Unabhängig davon, ob es sich um einen potenziellen neuen oder einen bestehenden Lieferanten handelt, müssen Lieferantenrisikobewertungen während des gesamten Lieferantenlebenszyklus regelmäßig durchgeführt werden, um potenzielle Geschäftsunterbrechungen, Angriffe auf die Lieferkette und Reputationsschäden zu minimieren.

Einige wichtige Überlegungen, die in der Phase der Risikobewertung beantwortet werden müssen, sind:

• Was sind die Hauptbedrohungen, die den Lieferanten betreffen?
• Wie hoch ist die Wahrscheinlichkeit, dass ein Cyberangriff erfolgreich durchgeführt wird?
• Was sind die potenziellen Auswirkungen eines erfolgreichen Cyberangriffs?
• Wie viel Risiko ist mein Unternehmen bereit zu akzeptieren?
• Werden sich die identifizierten Risiken auf den Geschäftsbetrieb auswirken?
• Auf welche kritischen Daten oder Assets benötigt der Lieferant Zugriff?

Laden Sie Ihre Vorlage für die Risikobewertung von Lieferanten > herunter

Lieferanten vs. Anbieter

Obwohl Lieferanten und Verkäufer manchmal synonym verwendet werden können, gibt es einen kleinen Unterschied zwischen den beiden, der auf der Art der Beziehung zwischen der Organisation und dem Dritten basiert.

Lieferanten sind direkte Dritte, die Dienstleistungen oder Waren für ein Unternehmen erbringen und oft das erste Glied in der Lieferkette sind. Anbieter (oder Dienstleister) sind oft das letzte Glied in der Lieferkette und liefern Waren und Dienstleistungen an den Endverbraucher.

Im Zusammenhang mit der Cybersicherheit sind sowohl Lieferanten als auch Anbieter wichtige Bestandteile des Risikomanagementprozesses für die Lieferkette von Drittanbietern und des gesamten Geschäftsbetriebs. Der Risikobewertungsprozess ist für beide gleich, da das Endziel darin besteht, alle potenziellen Risiken, die mit diesen externen Parteien verbunden sind, zu identifizieren, zu bewerten und zu mindern.

So führen Sie eine Lieferantenrisikobewertung durch

Bevor Sie mit einer Lieferantenrisikobewertung beginnen, sollten Sie sich zunächst darauf vorbereiten, indem Sie eine Person oder eine Gruppe von Personen benennen, die die Leitung des Prozesses übernehmen. Die Ernennung einer Person, die sich um die Bewertungsphase kümmert, ermöglicht eine bessere Kommunikation und einen optimierten Prozess.

Zweitens sollten Sie ermitteln, wo die benannte Person auf alle relevanten Daten im Zusammenhang mit der Risikobewertung zugreifen kann, sowie potenzielle Hindernisse, die den Bewertungsprozess einschränken könnten. In einigen Fällen befindet sich die zuständige Person im IT-Team und kann über manuelle Tabellenkalkulationen oder spezielle Cyber-Lösungen problemlos auf all diese Daten zugreifen.

Schritt 1: Identifizieren Sie kritische Assets und kritische Lieferanten

Obwohl das Ziel jedes Risikomanagementprogramms darin besteht, jedes Risiko abzusichern und seine Auswirkungen zu minimieren, kann dies ein kostspieliges Unterfangen sein, was bedeutet, dass sich Unternehmen auf ihre wichtigsten Vermögenswerte in Bereichen mit kritischen oder hohen Risiken konzentrieren sollten. Assets, die als kritisch für Business Continuity, Compliance oder Legal eingestuft und von den Lieferanten verwaltet werden, sollten zuerst priorisiert werden.

Der Umfang der Risikobewertung sollte sich zunächst nur auf die kritischsten Lieferanten erstrecken, die einen direkteren Einfluss auf Ihr Unternehmen haben oder mit extrem sensiblen Daten umgehen. Diese Lieferanten sollten als "kritische Lieferanten" gekennzeichnet werden und vor allen anderen bewertet und verwaltet werden.

Schritt 2: Bestimmen Sie die Risikotoleranz und die Risikobereitschaft

Als Nächstes muss Ihr Unternehmen seine Risikotoleranz und Risikobereitschaft für neue und bestehende Anbieter ermitteln. Das bedeutet, dass Ihr Unternehmen für jede Risikokategorie (Informationssicherheit, E-Mail-Sicherheit, Netzwerksicherheit, Reaktion auf Vorfälle, Einhaltung gesetzlicher Vorschriften usw.) ermitteln muss, wie viel Risiko es pro Kategorie und insgesamt zu akzeptieren bereit ist.

Für größere Unternehmen wird dies auch als Unternehmensrisikomanagement bezeichnet, das einen strukturelleren und metrikbasierten Ansatz verfolgt, um ihre Risikoexposition und Risikoakzeptanz zu bestimmen.

Für andere Unternehmen kann die Bestimmung der Risikoakzeptanz so einfach sein wie die Begrenzung der Anzahl hoher oder kritischer Risiken im Gesamtrisikoprofil des Lieferanten oder die Messung des Schweregrads jedes kritischen Risikos im Vergleich zu den Anlagenwerten und Anforderungen an die Geschäftskontinuität.

Schritt 3: Sicherheitsbewertungen anzeigen

Sicherheitsbewertungen sind nützliche Risikobewertungskriterien, die die Lieferantenleistung objektiv anhand einer einzigen Risikobewertung messen. Die Berechnung der Ratings erfolgt nach verschiedenen Methoden der aggregierten Risikokategorien. Ziel ist es, einen weiteren Einblick in die Sicherheitslage eines Lieferanten zu erhalten, indem jedes Risiko nach Kritikalität kategorisiert wird, um die Risikominderung und die Priorisierung von Abhilfemaßnahmen zu bestimmen.

Unter Verwendung eines Gaußschen gewichteten Mittelwerts wird die Sicherheitsbewertung jedes Unternehmens über verschiedene Risikokategorien gewichtet, wobei die schwächsten Bereiche stark gewichtet werden. Sicherheitsbewertungen können auch nach Risikofaktoren und deren Klassifizierung des Schweregrads aufgeschlüsselt werden, um einen allgemeinen Überblick über die gesamte Cyber-Resilienz des Anbieters zu erhalten.

Schritt 4: Versenden Sie Sicherheitsfragebögen

Sicherheitsfragebögen sind ein wichtiger Bestandteil des Risikomanagements von Lieferanten, um Informationen über den aktuellen Stand der Cybersicherheit eines Lieferanten zu sammeln, einschließlich der von ihm verwendeten Sicherheitskontrollen, der aktuellen Frameworks, seiner Incident-Response-Pläne und mehr.

Fragebögen helfen auch dabei, festzustellen, ob ein bestehender oder neuer Anbieter einem Compliance-Risiko ausgesetzt ist und die gesetzlichen Standards nicht einhält. Die Nichteinhaltung ist besonders kritisch, da die Nichteinhaltung möglicherweise zu erheblichen Unterbrechungen der Lieferkette und massiven Strafen durch die Leitungsgremien führen kann.

Mit einer umfassenden Bibliothek von 20+ vorgefertigten, anpassbaren Fragebögen können Unternehmen jetzt branchenspezifische oder weltweit anerkannte Rahmenwerke und Vorschriften den Sicherheitskontrollen ihrer Lieferanten zuordnen. Unternehmen haben auch die Möglichkeit, von ihren Anbietern und Lieferanten Abhilfemaßnahmen zu verlangen oder ganz darauf zu verzichten.

Schritt 5: Einstufung von Anbietern und Lieferanten nach Kritikalitätsgrad

Unter Verwendung sowohl der sofortigen Sicherheitsbewertung als auch der Antworten auf Sicherheitsfragebögen besteht einer der letzten Schritte im Prozess der Risikobewertung durch Dritte darin, Anbieter und Lieferanten nach ihrem Kritikalitätsgrad einzustufen. Die Kritikalitätsstufen von Anbietern werden in der Regel in vier Hauptgruppen eingeteilt:

1. Kritische Risiken - Risiken oder Schwachstellen, die das Unternehmen in unmittelbare Gefahr von Datenschutzverletzungen oder -lecks bringen.
2. Hohes Risiko - Schwerwiegende Risiken, die sofort angegangen werden müssen, um das Unternehmen zu schützen.
3. Mittleres Risiko - Unnötige Sicherheitsrisiken, die möglicherweise zu schwerwiegenderen Sicherheitsrisiken führen können.
4. Geringes Risiko - Verbesserungsmöglichkeiten, um das Risiko zu verringern und die Cybersicherheitsbewertungen zu verbessern.

Das Ziel des Anbieter-/Lieferanten-Tiering ist die Optimierung des Risikomanagementprozesses, damit Sicherheitsteams mit der Priorisierung der Risikobehebung in einer sequenzierten, logischeren Weise beginnen können.

Erfahren Sie mehr darüber, wie Sie Anbieter und andere Drittanbieter >

Schritt 6: Verfolgen Sie nach Datenlecks

Datenlecks stellen ein erhebliches operationelles Risiko dar, da sie bedeuten, dass Anmeldeinformationen von Mitarbeitern, vertrauliche Daten oder interne Verschlusssachen irgendwo im Internet offengelegt wurden. Unternehmen benötigen eine Möglichkeit, Datenlecks schnell zu erkennen, um die Ursache des Lecks zu identifizieren, insbesondere wenn es sich um einen Drittanbieter oder einen vierten Anbieter handelt.

Schritt 7: Führen Sie jährliche Risikobewertungen durch

Der fortlaufende Prozess des Lieferanten- und Lieferantenbeziehungsmanagements umfasst die Bewertung der Sicherheitslage und der Compliance im Laufe der Zeit. Anbieter und Lieferanten müssen regelmäßig (in der Regel jährlich) auf kritische Risiken oder andere potenzielle Sicherheitslücken überprüft werden. Dies gibt Unternehmen auch die Möglichkeit, ihre Sicherheitsprogramme proaktiv an neue Geschäftsprozesse, neue Standards zur Einhaltung gesetzlicher Vorschriften, externes Angriffsflächenmanagement und sich ändernde Geschäftsumgebungen anzupassen.

Erfahren Sie mehr über den gesamten Prozess der Risikobewertung von Anbietern >