Best Practices für das Anbieter-Tiering im Jahr 2023
Vendor Tiering ist der Schlüssel zu einer widerstandsfähigeren und nachhaltigeren Strategie für das Risikomanagement von Drittanbietern. Aber wie alle Cybersicherheitskontrollen muss sie durch den richtigen Rahmen unterstützt werden.
Lesen Sie weiter, um zu erfahren, wie Sie Ihre Vendor Management- und Vendor Risk Management-Programme optimieren können, um die Effizienz durch Best Vendor Tiering Practices zu steigern.
Was ist Vendor Tiering?
Bevor wir uns mit der Infrastruktur befassen, ist es wichtig, die wichtigsten Komponenten des Anbieter-Tierings zu rekapitulieren.
Vendor Tiering ist der Prozess der Kategorisierung von Anbietern auf der Grundlage ihres Grades der Bedrohungskritikalität. Jeder Drittanbieter ist in verschiedene Bedrohungsstufen unterteilt, die von geringem Risiko über hohes Risiko bis hin zu kritischen Risiken reichen.
Auf diese Weise können die Abhilfemaßnahmen effizienter verteilt werden. Anstatt bei allen Anbietern das gleiche Maß an Risikobewertungsintensität beizubehalten (was in vielen Fällen nicht notwendig ist), kann sich der Großteil der Risikomanagementbemühungen auf die Anbieter konzentrieren, die die größten Cybersicherheitsrisiken für ein Unternehmen darstellen.
Dadurch wird sichergestellt, dass die Sicherheitslage auch während der digitalen Transformation jederzeit so hoch wie möglich bleibt.
Die Vorteile von Vendor Tiering
Die Vorteile von Vendor Tiering lassen sich am besten erkennen, wenn man die Auswirkungen auf den Risikobewertungsprozess berücksichtigt.
Anstatt Risikoprofile von Drittanbietern manuell zu verfolgen, können Anbieter nach den spezifischen Risikobewertungen gruppiert werden, die sie benötigen.
Eine solche Anordnung ermöglicht es Sicherheitsteams, die regulatorischen Anforderungen jeder Stufe schnell zu identifizieren, so dass Unternehmen in stark regulierten Branchen (z. B. Gesundheitswesen und Finanzdienstleistungen) mit größerer Kontrolle überwacht werden können.
Erfahren Sie, wie wichtig es ist, Ihre VRM-Bemühungen in die Berichterstattung von Führungskräften einzubeziehen >
Der Vendor Tiering-Prozess
Es gibt zwei Hauptstrategien für die Zuweisung von Kreditoren zu Ebenen.
- Fragebogenbasiertes Tiering - verwendet einen Klassifizierungsalgorithmus, um eine Kritikalitätsbewertung basierend auf den Fragebogenantworten zuzuweisen.
- Manuelles Tiering - Anbieter werden basierend auf den persönlichen Präferenzen eines Unternehmens manuell in Risikostufen eingeteilt.
Unabhängig davon, ob es sich um ein fragebogenbasiertes oder manuelles Tiering handelt, müssen zunächst die Risikodaten von Drittanbietern erhoben werden. Dies geschieht entweder durch Sicherheitsfragebögen oder Risikobewertungen von Anbietern.
Nach der Erfassung wird eine Risikoanalyse durchgeführt, um jedes spezifische Risiko von Drittanbietern und seine Wahrscheinlichkeit der Ausnutzung mit Hilfe einer Risikomatrix zu bewerten. Dabei sollten sowohl inhärente Risiken als auch Restrisiken berücksichtigt werden.
Das Ziel einer Risikoanalyse ist es, festzulegen, wie jedes Risiko von Drittanbietern angegangen werden soll - ob es akzeptiert, adressiert oder überwacht werden soll. Diese Entscheidungen sollten sich auf eine Reihe von Risikokategorien stützen, darunter Reputationsrisiken und vor allem finanzielle Risiken.
Erfahren Sie, wie Sie eine Cyber-Risikoanalyse durchführen >
Anbieter, die mit einem Großteil der Risiken verbunden sind, die behoben werden müssen, könnten dann einer kritischen Anbieterstufe zugewiesen werden, und Anbieter mit einer akzeptablen Risikomehrheit könnten einer weniger kritischen Stufe zugewiesen werden.
Die UpGuard-Plattform bietet die Möglichkeit, entweder manuelles Anbieter-Tiering oder automatisiertes Tiering auf der Grundlage von Antworten aus Sicherheitsfragebögen durchzuführen. Dies ist nur eine von vielen Automatisierungsfunktionen, die UpGuard zur Unterstützung von Risikomanagementteams von Anbietern anbietet.
Erfahren Sie, wie UpGuard KI einsetzt, um den VRM-Lebenszyklus zu optimieren >
Best Practices für das Anbieter-Tiering
Das folgende 4-stufige Framework optimiert die Ausführung eines Vendor-Tiering-Programms und unterstützt einen effizienten Workflow für das Vendor Risk Management (VRM).
1. Verwenden Sie Sicherheitsbewertungen, um die Risikolage zu bewerten
Sicherheitsbewertungen bieten eine schnellere Darstellung der Sicherheitslage jedes Anbieters, indem jedem Anbieter eine Bewertung zugewiesen wird, die auf mehreren Angriffsvektoren basiert. Anstatt eine Risikoanalyse für jede identifizierte Schwachstelle manuell durchzuführen, spiegeln Sicherheitsbewertungen sofort die geschätzte Sicherheitslage eines Anbieters wider, wenn sie von einer Lösung zur Überwachung der Angriffsfläche berechnet werden.
Diese Funktion optimiert auch die Due Diligence beim Onboarding neuer Anbieter.
Unternehmen könnten einen minimalen Schwellenwert für die Sicherheitsbewertung festlegen, den jeder Anbieter auf der Grundlage der branchenüblichen 950-Punkte-Skala für Cybersicherheit überschreiten muss.
>Dies sollte jedoch nicht die einzige Sicherheitskontrolle für Risiken durch Dritte sein, sondern vielmehr eine ergänzende Ergänzung zu einer Reihe von Verteidigungsstrategien.
Dies liegt daran, dass bei den Sicherheitsbewertungen die spezifischen Risiken nicht berücksichtigt werden, die bei ihrer Berechnung am größten sind - es sei denn, sie werden durch eine Funktion zur Behebungsplanung unterstützt.
Die Sicherheitsbewertung gibt auch an, ob die Tiering-Klassifizierung eines Anbieters bewertet werden muss. Wenn ein Anbieter beispielsweise ein anderes Unternehmen mit schlechten Sicherheitspraktiken erwirbt, sinkt seine Sicherheitsbewertung, was ein Ökosystem mit erhöhten Schwachstellen widerspiegelt.
Die Gewichtung der Sicherheitsrisiken jedes Anbieters kann auch durch eine Risikomatrix in einem Cybersicherheitsbericht dargestellt werden, der von der UpGuard-Plattform generiert wird, sodass die Beteiligten sofort den Grad des mit jedem Anbieter verbundenen Risikos verstehen können.
2. Ordnen Sie die Reaktionen auf die Risikobewertung den Sicherheits-Frameworks zu
Leider nehmen Ihre Anbieter Cybersicherheit wahrscheinlich nicht so ernst wie Sie. Aus diesem Grund sollten alle Antworten auf den Fragebogen und die Risikobewertung auf bestehende Cybersicherheits-Frameworks abgebildet werden, um die Einhaltung der einzelnen Sicherheitsstandards zu bewerten.
Viele Cybersicherheits-Frameworks, wie z. B. die mit Spannung erwartete DORA-Verordnung, legen großen Wert auf die Sicherung der Angriffsfläche von Anbietern, um Datenschutzverletzungen von Drittanbietern zu verhindern
Die höheren Sicherheitsstandards für Dienstleister sind eine Folge der jüngsten Zunahme von Angriffen auf die Lieferkette
Im Folgenden sind einige Beispiele für gängige Cybersicherheits-Frameworks aufgeführt:
- NIST (Nationales Institut für Standards und Technologie)
- CIS Controls (Zentrum für Internet Security Controls)
- ISO (Internationale Organisation für Normung)
- HIPAA (Health Insurance Portability and Accountability Act)/HITECH Omnibus-Regel
- PCI-DSS (Der Datensicherheitsstandard der Zahlungskartenindustrie)
- DSGVO (Datenschutz-Grundverordnung)
- CCPA (Kalifornisches Gesetz zum Schutz der Privatsphäre von Verbrauchern)
- AICPA (Amerikanisches Institut der Wirtschaftsprüfer)
- SOX (Sarbanes-Oxley-Gesetz)
- COBIT (Kontrollziele für Informations- und verwandte Technologien)
- GLBA (Gramm-Leach-Bliley-Gesetz)
- FISMA (Federal Information Security Modernization Act von 2014)
- FedRAMP (Das Federal Risk and Authorization Management Program)
- FERPA (Gesetz über Familienbildungsrechte und Privatsphäre von 1974)
- ITAR (Internationale Vorschriften für den Waffenverkehr)
- COPPA (Regel zum Schutz der Privatsphäre von Kindern im Internet)
- NERC CIP-Standards (NERC Critical Infrastructure Protection Standards)
Die UpGuard-Plattform ordnet beliebte Sicherheits-Frameworks aus einer Reihe von Angeboten einer Reihe von Fragebögen zu, darunter:
- CyberRisk-Fragebogen
- ISO 27001 Fragebogen
- Kurzform-Fragebogen
- Fragebogen zum NIST Cybersecurity Framework
- PCI DSS Fragebogen
- Fragebogen zum California Consumer Privacy Act (CCPA)
- Fragebogen zur modernen Sklaverei
- Fragebogen zur Pandemie
- Fragebogen zum Sicherheits- und Datenschutzprogramm
- Fragebogen zur Sicherheit von Webanwendungen
- Fragebogen zur Infrastruktursicherheit
- Fragebogen zur Sicherheit von physischen und Rechenzentren
- Fragebogen zum COBIT 5 Sicherheitsstandard
- ISA 62443-2-1:2009 Fragebogen zum Sicherheitsstandard
- ISA 62443-3-3:2013 Fragebogen zum Sicherheitsstandard
- Fragebogen zum DSGVO-Sicherheitsstandard
- CIS Controls 7.1 Fragebogen zum Sicherheitsstandard
- NIST SP 800-53 Rev. 4 Fragebogen zum Sicherheitsstandard
- SolarWinds-Fragebogen
- Kaseya Fragebogen
Um zu sehen, wie diese Bewertungen auf der UpGuard-Plattform verwaltet werden, fordern Sie eine kostenlose Testversion an.
3. Setzen Sie klare Erwartungen an die Anbieter
Die Wirksamkeit eines Third-Party-Risikomanagementprogramms (TPRM) hängt vom Grad des Engagements aller Parteien ab.
Vor dem Aufbau einer Lieferantenbeziehung müssen alle Erwartungen in Bezug auf die Sicherheit von Drittanbietern im Voraus klar kommuniziert werden.
In den folgenden Bereichen werden die häufigsten Kommunikationsfehler behandelt, die sich auf die Sicherheit von Drittanbietern auswirken.
- Identifizieren Sie wichtige Entscheidungsträger in der gesamten Geschäftsleitung.
- Legen Sie die Häufigkeit der Meldung von Cyberbedrohungen fest.
- Pläne zur Aufrechterhaltung des Geschäftsbetriebs im Falle eines Cybervorfalls.
- Alle wichtigen Sicherheitsmetriken, die überwacht und berücksichtigt werden müssen
- Erwartungen an die Meldung von Cyberbedrohungen, wie in der Beschaffungsvereinbarung festgelegt.
- Legen Sie klare Rollen und Verantwortlichkeiten für alle Kategorien des Lieferantenrisikomanagements fest (Recht, Informationssicherheit, Geschäftskontinuität, Einhaltung gesetzlicher Vorschriften usw.)
- Legen Sie belastbare Service Level Agreements (SLAs) fest, um die Unterbrechung von Geschäftsprozessen im Falle einer Datenschutzverletzung oder eines Cyberangriffs zu verhindern.
- Nehmen Sie hohe Kündigungskosten in Verträge auf (so wird sichergestellt, dass die Anbieter tatsächlich alle Sicherheitsprobleme angehen und nicht Partnerschaften brechen).
- Implementieren Sie einen Datensicherungsplan - für den Fall, dass Service Level Agreements verletzt werden.
Laden Sie Ihren Leitfaden zur Verhinderung von Datenschutzverletzungen herunter >
Laufende Überwachung der Angriffsfläche von Drittanbietern
Auch nachdem alle Sicherheitskontrollen implementiert wurden, sollte die Angriffsfläche über alle Risikokategorien hinweg kontinuierlich überwacht werden. Dies zeigt nicht nur plötzliche Versäumnisse in der Sicherheitslage in Echtzeit an, sondern überprüft auch die Legitimität aller Antworten der Anbieter auf die Risikobewertung.
Dies ist vor allem für Anbieter mit hohem Risiko eine wichtige Voraussetzung. Eine Lösung zur Überwachung von Angriffen alarmiert Sicherheitsteams sofort, wenn eine kritische Schwachstelle entdeckt wird, die sich auf die Lieferkette auswirkt. Ein solches fortschrittliches Bewusstsein ermöglicht es, solche Gefährdungen zu bekämpfen, bevor sie von Cyberkriminellen entdeckt werden.
UpGuard bietet eine Vendor-Tiering-Funktion, mit der Unternehmen die Effizienz ihrer Vendor Risk Management-Programme erheblich steigern können. Mit der automatisierten Lieferantenklassifizierung ermöglicht UpGuard Unternehmen, sich von manuellen Prozessen zu verabschieden und sich der Effizienz zu begrüßen.
Um ein effizientes Risikomanagement von Anbietern zu unterstützen, bietet UpGuard auch eine Funktion zur Behebungsplanung, um die spezifischen Abhilfemaßnahmen hervorzuheben, die die größten Auswirkungen auf die Sicherheitslage haben. Wenn sie harmonisch eingesetzt werden, bereiten Anbieter-Tiering und Behebungsplanung Sicherheitsprogramme darauf vor, den steigenden Anforderungen an die Sicherheit von Drittanbietern gerecht zu werden.
Optimierte Prozesse zur Behebung von Lieferantenrisiken bedeuten, dass Ihre sensiblen Daten weniger anfällig für Cyberangriffe sind