Erstellen einer Vendor Management Policy und warum Sie eine benötigen

Der Zweck einer Lieferantenmanagementrichtlinie besteht darin, zu ermitteln, welche Anbieter Ihr Unternehmen gefährden, und dann Kontrollen zu definieren, um das Risiko von Drittanbietern und Viertanbietern zu minimieren. Es beginnt mit der Due Diligence und der Prüfung, ob ein Drittanbieter Zugriff auf sensible Daten haben sollte.

Diese internen Kontrollen können das Umschreiben von Lieferantenverträgen umfassen, um sicherzustellen, dass die Anbieter ein bestimmtes Sicherheitsniveau erfüllen, die Durchführung einer jährlichen Inspektion oder das Ersetzen bestehender Anbieter durch neue Anbieter, die die Sicherheitsanforderungen von Service Level Agreements (SLA) und SOC 2 erfüllen. Stellen Sie sicher, dass Sie neue und bestehende Anbieter erneut bewerten, indem Sie am Ende jedes Vertragslebenszyklus RFPs veröffentlichen.

Erfahren Sie, wie UpGuard das Vendor Risk Management > vereinfacht

Warum Ihr Unternehmen eine Vendor Management-Richtlinie benötigt

Viele Unternehmen verfügen zwar über interne Sicherheitsrichtlinien, aber es fehlt ihnen oft an einem klaren Verständnis der Risiken, die von Drittanbietern ausgehen. Kombinieren Sie dies mit der wachsenden Zahl rechtlicher, regulatorischer, finanzieller und reputationsbezogener Gründe, die für eine Lieferantenmanagementrichtlinie und strenge Best Practices für das Lieferantenmanagement sprechen.

Die Aufsichtsbehörden haben erkannt, dass Datenschutzverletzungen und Datenlecks durch Dritte ein erhebliches Cybersicherheitsrisiko darstellen. Dies hat zu einer verstärkten behördlichen Kontrolle des Risikomanagements von Drittanbietern, des Informationsrisikomanagements und des Risikomanagements von Anbietern geführt, insbesondere bei Anbietern, die Zugriff auf personenbezogene Daten (PII) haben.

Abgesehen von regulatorischen und rechtlichen Fragen waren die Kosten einer Datenschutzverletzung mit 3,92 Millionen US-Dollar noch nie so hoch wie heute. Datenschutzverletzungen, an denen Dritte beteiligt waren, erhöhten die durchschnittlichen Kosten um mehr als 370.000 US-Dollar auf 4,29 Millionen US-Dollar. Diese Kosten schließen einige der größten Datenschutzverletzungen wie Equifax und Facebook aus.

Wie führen Beziehungen zu Dritten zu mehr potenziellen Risiken?

Jedes Unternehmen sollte sich mit Dritten auseinandersetzen, die Zugriff auf sensible Daten, geistiges Eigentum oder Unternehmensnetzwerke haben. Je mehr Drittanbieter Sie zusammenarbeiten, desto höher ist die Anzahl der Cyberangriffe, die potenzielle Angreifer ausnutzen können.

Outsourcing wird immer häufiger, Unternehmen wenden sich häufig an ihre Anbieter, um Kosten zu sparen oder das Know-how eines Anbieters zu nutzen. Dies ist oft die richtige Geschäftsentscheidung, aber es ist wichtig zu verstehen, dass je mehr Anbieter Sie haben, desto mehr Cyberbedrohungen schaffen Sie.

Unternehmen müssen ihre Drittanbieter über den gesamten Lebenszyklus hinweg kontinuierlich überwachen, eine erste Risikobewertung der Cybersicherheit reicht nicht aus.

Die Geschäftsleitung sollte bei der Auswahl des Anbieters sowohl die Informationssicherheit, die Datensicherheit, die Netzwerksicherheit, die Notfallwiederherstellung, die Informationssicherheitsrichtlinien und die Zugriffskontrolle als auch die Kosten, die Informationstechnologie und das Fachwissen der Anbieter berücksichtigen.

Warum Continuous Monitoring ein Muss für jedes Vendor Management Programm ist

Viele Unternehmen gehen Lieferantenbeziehungen ein, ohne vollständig zu verstehen, wie der Anbieter seine Daten und die seiner Kunden verwaltet und verarbeitet.

In vielen Fällen haben Unternehmen keine Anforderungen daran gestellt, wie ihre Anbieter Daten sichern sollten. Und selbst wenn sie es tun, haben sie oft Schwierigkeiten, das Monitoring zu operationalisieren.

Kombinieren Sie dies mit der Tatsache, dass CVE täglich um neue Schwachstellen erweitert wird und dass Ihre Anbieter wahrscheinlich Anbieter (Fourth-Party-Risiko) haben, die möglicherweise Zugriff auf Ihre Daten haben, und dass es nahezu unmöglich wird, das Lieferantenrisiko von Hand zu überwachen.

Aus diesem Grund sollten Sie in Tools investieren, die die Sicherheitsleistung Ihrer Anbieter automatisch überwachen und bewerten und Sicherheitsfragebögen automatisieren.

Es reicht nicht aus, Ihr Unternehmen nur auf Datenoffenlegungen und kompromittierte Anmeldeinformationen zu überwachen. Sie benötigen eine ganzheitliche Sicht auf das First-, Third- und Fourth-Party-Risiko.

Was sind die Folgen, wenn es keine Lieferantenmanagementrichtlinie gibt?

Eine schnelle Google-Suche zeigt Tausende von Ergebnissen für Datenschutzverletzungen, die von Drittanbietern verursacht wurden. Jedes dieser Beispiele ist ein konkretes Beispiel dafür, was als Folge eines schlechten Lieferantenmanagements passieren kann. Unternehmen müssen Datenschutzverletzungen von Erst- und Drittanbietern verhindern.

Wenn Ihr Unternehmen nicht über eine Lieferantenmanagementrichtlinie verfügt, handeln Sie fahrlässig. Fahrlässigkeit gegenüber Ihren Kunden, Aktionären und Mitarbeitern.

Leider bedeutet das Fehlen einer Richtlinie, dass die Wahrscheinlichkeit hoch ist, dass die vertraulichen Daten Ihrer Organisation und die personenbezogenen Daten Ihrer Kunden von jemandem verarbeitet werden, der keinen Zugriff haben sollte.

Ob eine Datenschutzverletzung auf einen Drittanbieter, einen Cyberangriff oder einen Fehler zurückzuführen ist, ist für Ihre Kunden in der Regel irrelevant. Datenschutzverletzungen haben massive negative Auswirkungen auf das Vertrauen der Kunden in Ihr Unternehmen. Die durchschnittliche Datenschutzverletzung führt zu Geschäftsverlusten in Höhe von 1,42 Millionen US-Dollar und 3,9 Prozent der Kunden, die abwandern.

Das Fehlen einer Richtlinie für das Risikomanagement von Anbietern erhöht auch das Risiko kostspieliger Verstöße und Bußgelder für die Nichteinhaltung gesetzlicher Vorschriften mit strengen Sicherheitskontrollstandards wie:

• PCI DSS
• HIPAA
• DSGVO

Um das Risiko der Nichteinhaltung von Vorschriften zu reduzieren, sollte Ihr Risikomanagementprogramm in der Lage sein, die Compliance potenzieller Anbieter während des Onboardings zu ermitteln und die Überwachung der Lieferantenleistung während des gesamten Lieferantenlebenszyklus aufrechtzuerhalten. Diese Risikomanagementstrategie besteht aus vielen beweglichen Teilen und sollte daher durch eine Lösung unterstützt werden, die das Risikomanagement in der Lieferkette rationalisiert und automatisiert.

Die UpGuard-Plattform automatisiert die Risikobewertungsprozesse von Anbietern mit anpassbaren Risikobewertungsvorlagen und hält Managementteams und Stakeholder mit detaillierten Cybersicherheitsberichten, die mit einem einzigen Klick generiert werden, über diese Bemühungen auf dem Laufenden.

Sehen Sie sich dieses Video an, um zu erfahren, wie UpGuard die Arbeitsabläufe bei der Risikobewertung optimiert.

So erstellen Sie eine Kreditorenverwaltungsrichtlinie

Bevor Sie eine Kreditorenverwaltungsrichtlinie erstellen, sollten Sie eine Liste Ihrer Kreditoren erstellen. Denken Sie daran, dass die Definition eines Anbieters weit gefasst ist. Ein Anbieter ist jeder Dritte, Auftragnehmer oder Partner, mit dem Ihr Unternehmen Geschäfte macht.

Es reicht nicht aus, eine vage Vorstellung davon zu haben, wer Ihre Lieferanten sind, Sie müssen genau wissen, wer Ihre Lieferanten sind, um sie effektiv zu überwachen.

Nachdem die Liste zusammengestellt ist, bestimmen Sie, welche Anbieter:

• Zugang zu sensiblen Daten oder personenbezogenen Daten (PII) haben
• haben Zugriff auf Ihr internes Netzwerk
• Auf die sich Ihr Unternehmen bei wichtigen Geschäftsaktivitäten verlässt

Anbieter, die dieses Kriterium erfüllen, sollten als kritisch eingestuft werden und sind die Anbieter, mit denen Sie den größten Teil Ihrer Zeit verbringen sollten, um sich über sie zu informieren, sie zu überwachen und gegebenenfalls Abhilfemaßnahmen anzufordern.

Wenn einer dieser Anbieter kompromittiert wird, kann dies zu einer schädlichen Datenschutzverletzung führen.

Was sollte eine Vendor Management Policy beinhalten?

Ihre Richtlinie für das Lieferantenmanagement sollte Folgendes enthalten:

• Vereinbarungen zum Servicelevel (Service Level Agreements, SLAs)
• Compliance-Standards für Lieferanten
• Akzeptable Lieferantenkontrollen
• Haftung des Anbieters im Falle einer Datenschutzverletzung
• Vendor eview (SOC 2-Bericht, Standortbesuche und Auditanforderungen)
• Kündigung des Vertrags bei Nichterfüllung der Sicherheitsanforderungen
• Aufsicht durch den Vorstand oder die Geschäftsleitung, falls erforderlich
• Disaster Recovery und etablierte Redundanzen für wichtige Geschäftsfunktionen

Ermitteln Sie während dieses Prozesses, ob die Zugriffsebene der einzelnen Anbieter sinnvoll ist. Nicht alle Anbieter benötigen den gleichen Zugriff auf sensible Daten, Netzwerke und IT-Systeme, um ihre Arbeit zu erledigen.

Eine effiziente Risikomanagementkommunikation ist eine wichtige Erwartung, die in den Richtlinien für das Lieferantenmanagement festgelegt werden sollte, da sie Ihren Sicherheitsteams hilft, das Risiko von Verstößen Dritter zu bewerten, die auf schlechte Risikomanagementpraktiken zurückzuführen sind.

Die Reporting-Funktion von UpGuard vereinfacht die Kommunikation des Risikomanagements von Lieferanten mit Geschäftspartnern und Stakeholdern und stärkt die Geschäftsbeziehungen durch erhöhtes Vertrauen in die Cybersicherheit.

Erfahren Sie, wie Sie die Zusammenfassung eines Cyber-Berichts schreiben >

In der turbulenten Bedrohungslandschaft von heute haben Geschäftspartner wenig Toleranz für schlechte Risikomanagementpraktiken. Eine der besten Methoden, um das Vertrauen in Ihre Cybersicherheitsbemühungen zu erhöhen, besteht darin, vollständig transparent zu sein. Halten Sie Stakeholder und Geschäftspartner mit Cybersicherheitsberichten und Dashboards regelmäßig über Ihr Risikomanagement auf dem Laufenden.

Sehen Sie sich das folgende Video an, um zu erfahren, wie UpGuard die Berichterstellung optimiert.

Holen Sie sich eine kostenlose Testversion von UpGuard >

So bewerten Sie neue Anbieter mit einer Lieferantenmanagementrichtlinie

Für neue Anbieter ermöglicht eine robuste Lieferantenverwaltungsrichtlinie die Entscheidung, ob Sie überhaupt mit ihnen Geschäfte machen möchten. Der Zweck dieser Richtlinie besteht darin, sicherzustellen, dass alle Anbieter vertrauliche Informationen korrekt verwalten.

Erwägen Sie, in ein Tool zu investieren, das die Sicherheit Ihres Anbieters anhand von Kriterien bewertet und eine Sicherheitsbewertung liefert, die im Laufe der Zeit überwacht und mit der Branche verglichen werden kann.

Am wichtigsten ist, dass Sie das Lieferantenmanagement nicht nach der Due Diligence stoppen.

Traditionelle Bewertungen des Risikomanagements von Anbietern sind subjektiv, nicht überprüfbar, nicht umsetzbar und zu einem bestimmten Zeitpunkt. Sie benötigen eine Möglichkeit, kontinuierlich zu überwachen und zu überprüfen, ob sich die Sicherheitslage eines Drittanbieters nicht geändert hat, und benachrichtigt zu werden, wenn neue Risiken und Schwachstellen auftreten.

Viele Arten von Malware, wie z. B. WannaCry-Ransomware, nutzen bekannte Schwachstellen aus und können durch kontinuierliche Überwachung verhindert werden. Kontinuierliches Lieferantenmanagement ist Teil eines guten Prozesses für das Cybersicherheitsmanagement in der Tiefenverteidigung.

Richtlinien für das Lieferantenmanagement können schwierig zu operationalisieren sein. Vom Versenden von Sicherheitsfragebögen bis zum Sammeln von Daten ist es ein mühsamer Prozess.

UpGuard Vendor Risk kann den Zeitaufwand Ihres Unternehmens für die Verwaltung von Beziehungen zu Drittanbietern minimieren, indem es Lieferantenfragebögen automatisiert und die Sicherheitslage Ihrer Anbieter im Laufe der Zeit kontinuierlich überwacht, während sie mit ihrer Branche verglichen werden.

Jeder Anbieter wird anhand von 50+ Kriterien bewertet, wie z. B. das Vorhandensein von SSL und DNSSEC sowie das Risiko von Domain-Hijacking, Man-in-the-Middle-Angriffen und E-Mail-Spoofing für Phishing.

Jeden Tag bewertet unsere Plattform Ihre Anbieter mit einem Cyber Security Rating von 950. Wir können Sie sogar warnen, wenn ihre Punktzahl sinkt.

Für First-Party-Risiken kann UpGuard BreachSight kontinuierlich nach Datengefährdungen und kompromittierten Anmeldeinformationen suchen und diese entdecken, die sich auf alle Teile Ihres Unternehmens beziehen.