Die Geschichte des Vendor Risk Scoring

Das Vendor Risk Scoring ist eine Praxis, die entwickelt wurde, um die Komplexität des Lieferantenmanagements zu bewältigen, indem den Anbietern eine einzige Bewertung zugewiesen wird - in der Regel eine Zahlen- oder Buchstabennote -, um den Vergleich zwischen Anbietern und Portfolios zu erleichtern. Die letzten Jahrzehnte der digitalen Transformation haben sowohl den Bedarf an innovativen Techniken zur Bewertung der IT-Sicherheitshygiene als auch die technologischen Fähigkeiten zur Erfassung und Analyse der Daten geschaffen, die erforderlich sind, um diesen Risikobewertungen Vorhersagekraft zu verleihen. Jetzt haben die Anbieterlösungen einen Reifegrad erreicht, der für Unternehmen aller Größen und Branchen wertvoll ist.

Erweiterung des Lieferantenrisikomanagements

Das Vendor Risk Scoring entwickelt sich aus bestehenden Praktiken des Lieferantenrisikomanagements, um den Prozess der Risikoidentifizierung in Beziehungen zu Dritten zu automatisieren und zu vereinfachen. Der erste Schritt eines solchen Prozesses besteht darin, die Drittanbieter nach den Arten von Dienstleistungen, die diese Unternehmen anbieten, und den Auswirkungen von Dienst- oder Sicherheitsvorfällen zu kategorisieren. Ein Dritter, der eine kritische Fertigungskomponente liefert, die zu einem Produktionsstopp führen könnte, verdient mehr Aufmerksamkeit und möglicherweise Redundanz als jemand, der beispielsweise Snacks im Pausenraum anbietet. Das gleiche Prinzip gilt für Softwareunternehmen und die von ihnen erbrachten technischen Dienstleistungen. Ein Dienstausfall bei einem Drittanbieter, der es Benutzern ermöglicht, sich bei ihren Workstations zu authentifizieren, ist kritischer als bei einem Drittanbieter, der es ihnen ermöglicht, Spesenabrechnungen einzureichen. Dies ist die Essenz des Risikos von Drittanbietern.

In der digitalen Wirtschaft bergen diese Beziehungen auch ein weitaus größeres Potenzial für die Kompromittierung von Daten. Ein Ausfall der Materiallieferkette kann Ihre Produktionslinie zum Stillstand bringen, aber wenn Daten physisch gespeichert werden, ist es schwierig, massenhaft verletzt zu werden. Es ist auch weitaus unwahrscheinlicher, dass physisch gespeicherte Informationen nützlich sind. Die einfache Bedienung und Replikation digital gespeicherter Daten ist einer der wichtigsten Treiber der digitalen Transformation. Selbst für Anbieter, die keine technischen Dienstleistungen erbringen, hat die Digitalisierung Datenschutzverletzungen in Betracht gezogen, da der Austausch von Informationen die Grundlage für die Geschäftstätigkeit ist.

Ihre Lieferanten verfügen mindestens über Zahlungsinformationen. Sie verfügen wahrscheinlich auch über andere Daten, die ihr Dienst produziert, analysiert oder speichert: persönliche Informationen über Ihre Mitarbeiter, die Daten Ihrer Kunden, Produkt-Roadmaps, Verkaufsstrategien, Schaltpläne, E-Mail-Kommunikation, Jahresabschlüsse, juristische Dokumente, Anmeldeinformationen für andere Systeme - je nach Art der Dienstleistung können praktisch alle Daten mit ihnen geteilt werden. Die Nutzung des Dienstes eines Anbieters bedeutet den Rückfluss von Daten zu ihm. Neben dem operationellen Risiko eines Dienstausfalls besteht durch Beziehungen zu Drittanbietern auch das Risiko eines Datenverlusts.

Diese beiden Kräfte, die für die digitale Transformation unerlässlich sind - die Vorteile der Nutzung technischer Dienste von Drittanbietern und die Allgegenwart der Datendigitalisierung - haben dazu geführt, dass das Risikomanagement von IT-Drittanbietern für die allgemeine Sicherheitslage eines Unternehmens immer wichtiger geworden ist. Diese wachsende Rolle hat wiederum zu einem Bedarf an innovativeren Ansätzen und Lösungen geführt, die die Cyber-Resilienz fördern.

Die Erfindung des Perimeters

Als Unternehmen begannen, sich auf Digitalisierung und technische Dienstleistungen zu verlassen, entwickelten sie virtuelle Grenzen, die innen von außen, von sich selbst von anderen, private von öffentlichen Daten unterschieden. Im Gegensatz zur frühen Geschichte des Internets und Vorläufern wie dem ARPANET - einer Zeit, in der die Herausforderung darin bestand, den Fernzugriff überhaupt zum Laufen zu bringen - bestand die Herausforderung darin, den Fernzugriff einzuschränken. Digitale Unternehmen entwickelten Perimeter. Die erste Generation von Informationssicherheitspraktiken betraf die Einrichtung und den Schutz dieser Perimeter. Während die Philosophie der Perimeterverteidigung im Zuge der Entwicklung der Bedrohungslandschaft stark geändert wurde, ist die Tatsache, die für die Geschichte der Risikobewertung von Anbietern wichtig ist, dass Unternehmen überhaupt eine virtuelle Epidermis entwickelt haben.

Das Vorhandensein eines Umfangs stellt eine Oberfläche für die Bewertung dar. Jedes Unternehmen mit physischen Einrichtungen hält ein gewisses Maß an Sicherheit für seine Räumlichkeiten aufrecht, und die Anfälligkeit eines Unternehmens für physischen Diebstahl kann beurteilt werden, indem gemessen wird, wie weit man in die Einrichtung eindringen kann, ohne auf Widerstand zu stoßen. Mit dem Aufkommen der digitalen Oberfläche und einer engagierten Webpräsenz eines Unternehmens kann die Risikohaltung eines Unternehmens - die Gefahr, die es für seine eigenen Interessen und für andere darstellt - als seine Fähigkeit gemessen werden, eine Grenze zwischen sich und der Welt zu ziehen.

Die Grenzen des Lieferantenmanagements

Die zunehmende Abhängigkeit von und die Risiken durch Dritte haben die Bedeutung der Praxis des Lieferantenmanagements erhöht und Bereiche aufgedeckt, in denen neue Ansätze erforderlich sind. Anbieterbescheinigungen für interne Sicherheitsprozesse und -verfahren können Risiken aufdecken, die Menschen offenlegen wollen und können, die jedoch einen Großteil des Risikoumfelds auslassen. Wenn jemand seine Systeme nicht mit einem Passwort schützt, dies weiß und bereit ist, es zuzugeben, wird ein Fragebogen sein Risiko, kompromittiert zu werden, genau widerspiegeln. Aber da die Technologie immer ausgereifter und komplexer geworden ist, sind die Grenzen solcher Bescheinigungen immer deutlicher geworden. Was einst noch im peripheren Blickfeld des Lieferantenrisikomanagements lag, ist mehr und mehr in seine blinden Flecken gerutscht, da die Anzahl der Lieferantenbeziehungen die Techniken zu deren Verwaltung überholt hat.

Periodische Bescheinigungen haben mehrere Einschränkungen. Die erste ist, dass sie regelmäßig verabreicht werden, in der Regel einmal im Jahr. Aufgrund der Geschwindigkeit des technologischen Wandels - was wiederum einer der Vorteile der digitalen Transformation ist - kann die alte Bescheinigung zum Zeitpunkt der Einreichung einer neuen Bescheinigung völlig veraltet sein. Eine zum Zeitpunkt der Bescheinigung bestehende technische Kontrolle kann am nächsten Tag geändert werden. Das zweite Problem besteht darin, dass es auf dem Wissen der Person beruht, die die Bescheinigung ausstellt. Selbst wenn eine Person guten Grund zu der Annahme hat, dass eine bestimmte Kontrolle vorhanden ist - sie glaubt, dass alle Computer passwortgeschützt sind, weil sie sie auf diese Weise eingerichtet haben -, ist es unwahrscheinlich, dass der Aufwand, der erforderlich ist, um jede relevante Konfiguration auf jedem System zu überprüfen, durchgeführt wird, bevor dieser Punkt von der Liste gestrichen wird. Darüber hinaus kann es zusätzliche Systeme geben, von denen sie nichts wissen - Schatten-IT -, die andere Personen eingesteckt, heruntergeladen, abonniert oder dem Netzwerk hinzugefügt haben. Ein drittes Problem besteht einfach darin, dass es Zeit braucht, bis die Menschen diese Bewertungen durchführen. Die Arbeitskosten des Lieferantenmanagements begrenzen den Umfang der Bewertungen, um sicherzustellen, dass sie sich positiv auf das Unternehmen auswirken. Kleinere Unternehmen sind möglicherweise nicht in der Lage, eine dedizierte Ressource zu rechtfertigen, und behalten einfach ungemessene Risiken ein.

Der Stand der Risikobewertung von Anbietern

Als Methode zur Durchführung einfacher Vergleiche zwischen einem Portfolio von Anbietern ist das Scoring keine neue Praxis. Im Kern geht es beim Vendor Scoring darum, eine große Datenmenge in ein einfacheres numerisches Format zu verarbeiten, und solche Scores können Teil der Verwaltung traditioneller Anbieterfragebögen sein. Mit der Entwicklung umfangreicher digitaler Oberflächen kann die Risikobewertung von Anbietern jedoch auch nicht-invasiv ohne Beteiligung der zu bewertenden Entität durchgeführt werden. Die parallele Entwicklung ausgeklügelter Webcrawler und spezialisierter Datenerfassungsdienste hat es möglich gemacht, Informationen über diese Oberflächen zu sammeln, sie auf Risiken zu bewerten und eine Bewertung für jede der digitalen Eigenschaften eines Unternehmens zu erstellen.

Das Vendor Risk Scoring, wie es heute entwickelt wurde, befasst sich mit den wichtigsten Einschränkungen der Bescheinigung. Automatisierte Auswertungen von digitalen Oberflächen erfolgen weitaus häufiger - täglich oder stündlich statt jährlich - als dies bei Formularen möglich ist, die Menschen in Echtzeit ausfüllen müssen. Automatisierte Bewertungen können jede Konfiguration auf jeder digitalen Eigenschaft berücksichtigen, nicht nur diejenigen, für deren Überprüfung der Prüfer Zeit hat. Ein modernes Unternehmen kann über Hunderte von öffentlich zugänglichen Websites in mehreren Domänen verfügen. Technologieanbieter unterstützen nicht nur ihre eigenen Websites, sondern auch API-Endpunkte und Kundeninstanzen, und hinter einer bestimmten Website können sich mehrere Server mit Lastenausgleich befinden. Regionale Krankenhäuser werden wahrscheinlich über eine öffentliche Website sowie mehrere Login-Portale für Patienten, Mitarbeiter und Anbieter verfügen. Selbst kleine Unternehmen verfügen wahrscheinlich über einige Dienste, die sichere Signaturseiten und Speicher für sensible Dateien erfordern. Die Bewertung jeder Konfiguration auf jeder digitalen Oberfläche kann die Ressourcen eines Unternehmens leicht überfordern. Lösungen zur Risikobewertung von Anbietern haben diese Arbeit automatisiert.

Risikobewertungen können auch andere Datenquellen leicht kombinieren. Der Abgleich der IP-Adressen eines Unternehmens mit denen auf Blacklists kann auf Systeme hinweisen, die bereits kompromittiert wurden. Historische Verstöße in einem Unternehmen oder Trends bei Verstößen nach Branchen können die Vorhersagekraft einer Risikobewertung von Anbietern weiter verbessern. Daten zur finanziellen Gesundheit können eine weitere Perspektive auf das Risiko einer Geschäftsbeziehung mit einem Anbieter bieten. Mit dem Aufkommen neuer Funktionen zur Überwachung der Bedrohungsumgebung und der Verfügbarkeit größerer Datensätze werden die Risikobewertungen der Anbieter in ihrer Tiefe und Vorhersagekraft nur noch zunehmen.

Die Risikobewertung von Anbietern ist so weit gereift, dass Anbieter und Kunden in diesem Bereich begonnen haben, bei der Definition der Parameter ihres Marktes zusammenzuarbeiten. Die "Principles for Fair and Accurate Security Ratings" stellen die erste Einigung über die Mindestanforderungen an Risikobewertungsangebote dar.

Zusammenfassung

• Transparenz: Ratinggesellschaften müssen für ausreichende Transparenz in Bezug auf die Methoden und Arten von Daten sorgen, die zur Bestimmung ihrer Ratings verwendet werden... Jede bewertete Organisation erhält Zugang zu ihrer individuellen Bewertung und den Daten, die sich auf eine Änderung ihrer Bewertung auswirken.
• Anfechtung, Korrektur und Einspruch: Bewertete Organisationen haben das Recht, ihre Bewertung anzufechten und korrigierte oder klärende Daten bereitzustellen.
• Genauigkeit und Validierung: Bewertungen sollten empirisch, datengesteuert oder als Expertenmeinung notiert sein.
• Modell-Governance: Bevor Rating-Unternehmen Änderungen an ihren Methoden und/oder Datensätzen vornehmen, müssen sie ihre Kunden angemessen darüber informieren und klar kommunizieren, wie sich angekündigte Änderungen auf bestehende Ratings auswirken können.
• Unabhängigkeit: Kommerzielle Vereinbarungen oder das Fehlen solcher Vereinbarungen mit Ratingunternehmen haben keine direkten Auswirkungen auf das Rating einer Organisation.
  Vertraulichkeit: Informationen, die von einer bewerteten Organisation im Rahmen einer angefochtenen Bewertung oder eines Streitfalls offengelegt werden, müssen angemessen geschützt werden.

Erste Schritte

Die Veröffentlichung der Grundsätze der Sicherheitsbewertung stellt einen Wendepunkt in der Entwicklung der Risikobewertung dar: von "Können wir es zum Laufen bringen?" zu "Können wir seine Grenzen definieren? "Wie bei der Entwicklung des digitalen Geschäfts ist dieser Wendepunkt bei der Definition eines Perimeters der Punkt, an dem sich die Sicherheitsbewertungen als eigenständige Einheit herauskristallisiert haben, unabhängig von anderen Praktiken innerhalb der breiteren Cyber-Resilienz-Disziplinen der Informationssicherheit und des Risikomanagements.

Im Rahmen der Charta der Wertpapierbewertungen gibt es noch viel zu tun. Neben Verbesserungen bei der Erkennung externer Oberflächen, der Bewertung ihrer Sicherheitskonfigurationen und der Diagnose der umgebenden Bedrohungsumgebung bleibt das Versprechen einer Vereinheitlichung von internen und externen Risikobewertungen. Bei allen Vorteilen des automatisierten externen Scannens gibt es eine Vielzahl von Informationen, die über diese Methode nicht verfügbar sein können - oder sollten. Damit Unternehmen in der Lage sind, ihr reales Risiko zu verstehen und es denjenigen zu präsentieren, mit denen sie Geschäfte machen, benötigen sie ein vollständiges Bild, wie sie sowohl innerhalb als auch außerhalb ihrer Grenzen auftreten. Das ist zumindest der Anspruch. Im Moment ist die Einführung von Lösungen zur Risikobewertung von Anbietern und der Erhalt eines grundlegenden Cyber-Versicherungsschutzes ein logischer nächster Schritt und ein erreichbares Ziel.

Glücklicherweise wird die Einstiegshürde von Tag zu Tag niedriger. Wenn Unternehmen bessere Technologien einsetzen, sinken die Kosten für die automatisierte Risikobewertung. Heute ist es mit UpGuard Cyber Risk möglich, sich kostenlos zu schützen. UpGuard hält sich an die Standards für faire und genaue Sicherheitsbewertungen. Die CSR-, Chrome- und Slack-Erweiterungen begleiten Sie, um Sie in Echtzeit über riskante Websites zu informieren. Um mit der Überwachung Ihrer Anbieter zu beginnen, starten Sie eine kostenlose Testversion von UpGuard Cyber Risk, um zu sehen, welche Anbieter Ihr Risiko für Ausfälle oder Sicherheitsverletzungen erhöhen.