Was ist ein Drittanbieter?

Ein Drittanbieter ist jedes Unternehmen, mit dem Ihr Unternehmen Geschäfte macht.

Dazu gehören Lieferanten, Hersteller, Dienstleister, Geschäftspartner, verbundene Unternehmen, Makler, Distributoren, Wiederverkäufer und Agenten.

Lieferanten können vorgelagert (Lieferanten und Verkäufer) und nachgelagert (Distributoren und Wiederverkäufer) sowie nicht vertragliche Einheiten sein.

Das Outsourcing an Dienstleister bietet strategische Vorteile wie Kosteneinsparungen und externes Know-how, birgt aber auch Risiken für Dritte und Vierte Parteien.

Es reicht nicht mehr aus, sich nur auf Ihre interne Cybersicherheit zu konzentrieren. Due-Diligence- und Cybersicherheitsrisikobewertungen müssen vor dem Onboarding neuer Anbieter durchgeführt werden.

Informationsrisikomanagement bedeutet, über die Grenzen Ihres Unternehmens hinaus auf Drittanbieter und Viertanbieter zu blicken, die Zugriff auf Ihre sensiblen Daten haben.

Welche Risiken bringen Drittanbieter mit sich?

Drittanbieter, Partner, Auftragnehmer und Berater können das erforderliche Fachwissen und die erforderlichen Dienstleistungen in Ihr Unternehmen einbringen, haben aber oft Zugriff auf interne Systeme und sensible Daten. Das bedeutet, dass sie Unternehmensdaten stehlen, Systemkonfigurationen ändern oder kritische Infrastrukturen sabotieren können.

Selbst wenn keine böswillige Absicht besteht, stellt eine schlechte Sicherheit von Drittanbietern ein großes Sicherheitsrisiko dar.

Aus diesem Grund haben Regierungen auf der ganzen Welt strenge regulatorische Anforderungen eingeführt, die eine Form des Lieferantenrisikomanagements erfordern, um sicherzustellen, dass sensible Daten und personenbezogene Daten (PII) so übertragen, gespeichert und verarbeitet werden, dass die Informationssicherheit geschützt ist.

Finanzinstitute, z. B. APRA CPS 234, und Organisationen des Gesundheitswesens, z. B. HIPAA, stehen unter besonderer regulatorischer Beobachtung.

Muss ich mir Sorgen um Anbieter machen, die nicht an kritischen Geschäftsaktivitäten arbeiten?

Ja, Dritte, die keine kritischen Geschäftsaktivitäten durchführen, können dennoch ein erhebliches Risiko für Drittanbieter darstellen. In einigen Fällen können Reinigungskräfte ein größeres Risiko für Dritte darstellen als ein typischer Software-as-a-Service (SaaS)-Anbieter.

Dies liegt daran, dass die Reinigungskraft möglicherweise Zugriff auf den Computer des CEO hat, auf dem Informationen gespeichert sind, die das Ziel von Wirtschaftsspionage sein könnten.

Die Rolle und Größe des Drittanbieters ist in der Regel nicht so wichtig wie die Art der Lieferantenbeziehung, die Kritikalität seiner Aktivitäten, der Grad des Zugriffs auf sensible Daten oder Eigentum und die Verantwortlichkeit Ihres Unternehmens für seine unangemessenen Handlungen.

Aus diesem Grund kann eine Reinigungskraft ein größeres Cybersicherheitsrisiko mit sich bringen als eine ausgelagerte Geschäftsfunktion.

Die wichtigste Erkenntnis ist, dass die Sicherheitsstandards Ihres Unternehmens nur so gut sind wie die Sicherheitspraktiken Ihres schwächsten Drittanbieters.

Die Datenschutzverletzung bei Target im Jahr 2013 begann beispielsweise damit, dass der HLK-Anbieter eines einzelnen Geschäfts Malware installierte.

Jeder Anbieter ist ein möglicher Angriffsvektor, den Cyberkriminelle nutzen können, um Cyberangriffe zu starten.

Was sind Beispiele für Dritte?

Denken Sie daran, dass ein Drittanbieter jeder ist, der ein Produkt oder eine Dienstleistung für Ihr Unternehmen bereitstellt, einschließlich:

• Hersteller und Zulieferer (von Leiterplatten bis hin zu Lebensmitteln)
• Dienstleister, u.a. Reinigungskräfte, Aktenvernichter, Berater und Berater
• Kurz- und langfristige Auftragnehmer. Es ist wichtig, dass Sie kurz- und langfristige Auftragnehmer nach dem gleichen Standard verwalten und die Informationen bewerten, auf die sie Zugriff haben.
• Externes Personal. Es ist wichtig zu verstehen, dass das Verständnis von Cyberrisiken je nach externem Personal sehr unterschiedlich sein kann.
• Verträge beliebiger Länge können ein Risiko für Ihr Unternehmen darstellen, und der Internal Revenue Service (IRS) hat Vorschriften über Lieferanten- und Drittanbieterbeziehungen, die über bestimmte Zeitrahmen hinausgehen, sodass selbst die Länge eines Vertrags ein Risiko darstellen kann. In den Augen des IRS sollte ein Anbieter, der länger als einen bestimmten Zeitraum mit einer Firmen-E-Mail-Adresse vor Ort arbeitet, als Mitarbeiter eingestuft werden und Leistungen erhalten.

Was ist Vendor Risk Management?

Das Vendor Risk Management (VRM) oder Third-Party-Management befasst sich mit dem Management und der Überwachung von Risiken, die sich aus Drittanbietern und Lieferanten ergeben.

VRM-Programme zielen darauf ab, sicherzustellen, dass Produkte von Drittanbietern, IT-Anbieter und Dienstleister die Geschäftskontinuität und Datensicherheit nicht beeinträchtigen oder vertrauliche Informationen wie Kreditkartennummern oder personenbezogene Daten (PII) preisgeben.

Die Nachfrage und der Bedarf an Lieferantenrisikomanagement sind in den letzten Jahren aufgrund der Einführung von Gesetzen wie der EU-Datenschutz-Grundverordnung (DSGVO) sowie der Tatsache, dass Unternehmen immer mehr ihrer Geschäftsprozesse Dritten anvertrauen, gestiegen.

Die Sicherheit von Anbietern muss ein wichtiger Bestandteil Ihrer gesamten Cybersicherheitsstrategie sein.

Es reicht nicht aus, sich in Ihrem Risikomanagementprogramm von Drittanbietern auf Service Level Agreements (SLAs) und Disaster Recovery zu konzentrieren. Sie benötigen eine kontinuierliche Überwachung in Echtzeit, um Teil Ihres Managementprogramms für Drittanbieter zu sein.

Ihre Informationssicherheitsrichtlinie muss sich sowohl auf die Sicherheit von Erst- als auch von Drittanbietern konzentrieren, um das gesamte Cyberrisiko zu minimieren. Nehmen Sie sich etwas Zeit, um ein Risikomanagement-Framework für Drittanbieter zu erstellen und zu operationalisieren. Erwägen Sie, in die Automatisierung des Risikomanagements von Anbietern zu investieren.

Haftet mein Unternehmen für Verstöße Dritter?

Das hängt von Ihrer Branche ab. In den Vereinigten Staaten schrieb das Office of the Comptroller of the Currency (OCC) in seinen Leitlinien zum Risikomanagement:

Die Inanspruchnahme Dritter durch eine Bank mindert nicht die Verantwortung des Verwaltungsrats und der Geschäftsleitung, sicherzustellen, dass die Tätigkeit auf sichere und solide Weise und in Übereinstimmung mit den geltenden Gesetzen durchgeführt wird.

Neben dem OCC haben das Federal Reserve System (FRS) und die Federal Deposit Insurance Corporation (FDIC) die gesetzliche Befugnis, Drittanbieter in vertraglichen Vereinbarungen mit regulierten Finanzinstituten zu beaufsichtigen.

Selbst wenn Sie nicht gesetzlich haftbar sind, erwarten Ihre Kunden, dass Sie ihre Daten schützen, und es ist ihnen wahrscheinlich egal, dass eine Datenschutzverletzung das Ergebnis eines Dritten war.

Die Broschüre "Supervision of Technology Service Providers" des FFIEC hebt hervor, dass der Einsatz von Drittanbietern "die Verantwortung der ... Verwaltungsrat und Geschäftsleitung, um sicherzustellen, dass die Tätigkeiten auf sichere und solide Weise und in Übereinstimmung mit den geltenden Gesetzen und Vorschriften durchgeführt werden, so als ob die Institute die Tätigkeiten intern durchführen würden. "

Was sind Fourth-Party-Anbieter?

Ein Fourth-Party-Vendor ist ein Drittanbieter Ihres Drittanbieters. Mit anderen Worten, es handelt sich um einen Anbieter, mit dem Sie keinen direkten Kontakt haben, der aber im Falle einer Datenschutzverletzung oder eines Datenlecks dennoch Auswirkungen auf Ihr Unternehmen haben kann.

Sie müssen vier Dinge über Ihre Fourth-Party-Anbieter verstehen:

1. Wer sie sind
2. Welche Produkte und Dienstleistungen sie Ihrem Anbieter anbieten
3. Welches Maß an Due Diligence Ihr Anbieter bei seinen Anbietern durchgeführt hat
4. Ihre Bewertung der Cybersicherheit

Auf diese Weise kann Ihr Unternehmen besser verstehen, welche Risiken bestehen können und wie Ihre sensiblen Daten möglicherweise im System eines Drittanbieters geteilt oder gespeichert werden.

Eine Datenschutzverletzung durch Dritte kann genauso schwerwiegend sein wie eine Datenschutzverletzung durch Erst- oder Dritte, insbesondere wenn sie die personenbezogenen Daten Ihrer Kunden speichern.

Wie kann ich Informationen über meine Fourth-Party-Anbieter erhalten?

Bitten Sie Ihre Drittanbieter, Ihnen Folgendes zur Verfügung zu stellen:

• Ihre Lieferantenmanagement-Richtlinie
• Eine vollständige Liste der Anbieter, die Ihre sensiblen Daten verarbeiten
• Ihre jüngste Bewertung des Cybersicherheitsrisikos für jeden dieser Anbieter
• Der SOC-2-Bericht der vierten Partei

Best-in-Class-Unternehmen, die das Risiko von Drittanbietern und Viertanbietern minimieren wollen, überwachen und bewerten kontinuierlich Drittanbieter und Viertanbieter und versenden Sicherheitsfragebögen über den gesamten Lebenszyklus der Lieferantenbeziehung.

Weitere Informationen finden Sie in unseren Whitepapers zum Einkaufsleitfaden zum Risikomanagement von Drittanbietern und zu Lieferantenfragebögen.

Selbst ehemalige Drittanbieter können ein Risiko für Ihr Unternehmen darstellen. Zum Beispiel hat der ehemalige Recruiting-Anbieter von TigerSwan bis vor kurzem sensible Informationen in einem S3-Bucket öffentlich zugänglich gemacht. Während der Vertrag mit dem Anbieter im Februar 2017 gekündigt wurde, blieben Tausende von Lebensläufen in der Amazon S3-Subdomain "tigerswanresumes" gespeichert. ”

Da die Kosten für eine Datenschutzverletzung so hoch sind wie nie zuvor (3,92 Millionen US-Dollar) und Verstöße mit Beteiligung Dritter auf 4,29 Millionen US-Dollar ansteigen, lohnt es sich, Datenschutzverletzungen zu verhindern.