Was ist eine Vendor Due Diligence? Erfahren Sie, wie Sie Ihre Anbieter schützen können
Die Vendor Due Diligence (VDD) ist eine umfassende Sicherheitsüberprüfung eines potenziellen Drittanbieters, bevor eine Partnerschaft eingegangen wird. Bei der Bewertung wird festgestellt, ob ein potenzieller Kunde ehrlich über seine Sicherheitslage ist, und es werden potenzielle Sicherheitsrisiken skizziert, die ein Partnergeschäft gefährden könnten.
Anbieter benötigen in der Regel Zugriff auf sensible Unternehmensdaten wie personenbezogene Daten und sogar die Finanzinformationen von Kunden.
Wenn ein Anbieter bei einem Cyberangriff kompromittiert wird, könnten die Cyberkriminellen Zugriff auf diese sensiblen Daten erhalten und einen Ransomware-Angriff gegen Ihr Unternehmen starten. Ihr Unternehmen könnte auch eine behördliche Geldstrafe für schlechte Praktiken des Lieferantenmanagements erleiden.
Die Vendor Due Diligence hilft Unternehmen, ein zuverlässiges Risikomanagementprogramm für Drittanbieter und gesunde Lieferantenbeziehungen aufzubauen.
Statistiken zu Sicherheitsverletzungen von Drittanbietern
Verstöße von Drittanbietern treten häufiger auf, als Sie vielleicht denken. Hier sind einige aufschlussreiche Statistiken.
Huddle Haus
Februar 2019: Cyber-Angreifer drangen in den externen Point-of-Sale-Anbieter (POS) von Huddle House ein. Die kompromittierten Unterstützungstools des Anbieters wurden verwendet, um Malware auf einigen Huddle House-Kassensystemen zu installieren.
North Country Business Produkte (NCBP)
Februar 2019: NCBP, ein Anbieter, der Unternehmen bei Kreditkartentransaktionen unterstützt, wurde kompromittiert. Durch die Sicherheitsverletzung wurden möglicherweise die Kreditkartendaten von Verbrauchern offengelegt, die zwischen dem 3. und 24. Januar 2019 Transaktionen mit NCBP-Kunden getätigt haben.
Wolverine Solutions Gruppe (WSG)
März 2019: Die Wolverine Solutions Group, ein Anbieter von Content-Management-Lösungen für das Gesundheitswesen, wurde Opfer eines Ransomware-Angriffs, bei dem die persönlichen Daten von fast 1,2 Millionen Patienten offengelegt wurden. Diese Sicherheitsverletzung betraf fast 700 Organisationen im Gesundheitswesen, die zu diesem Zeitpunkt mit WSG zusammenarbeiteten.
Spectrum Health Lakeland war einer der WSG-Kunden, die von dem Cyberangriff betroffen waren. Etwa 60.000 seiner Patientenakten wurden bei der Sicherheitsverletzung offengelegt.
Amerikanische Agentur für medizinische Sammlungen (AMCA)
Juni 2019: Die American Medical Collections Agency, ein Anbieter von Patientenabrechnungsdiensten für die Gesundheitsbranche, wurde kompromittiert, wodurch die persönlichen Daten von über 20 Millionen Amerikanern offengelegt wurden.
Kalifornische Erstattungsunternehmen
Juli 2019: California Reimbursement Enterprises, ein ehemaliger Anbieter von Abrechnungsdiensten für das Gesundheitswesen, wurde Opfer eines listigen Cyberangriffs, bei dem 14.500 Patientenakten offengelegt wurden. Die Datenschutzverletzung ereignete sich, nachdem ein Mitarbeiter von California Reimbursement Enterprises durch einen E-Mail-Phishing-Angriff ausgetrickst wurde.
Erfahren Sie mehr über die durchschnittlichen Kosten von Datenschutzverletzungen, an denen Dritte beteiligt sind, >
Fragebögen zur Anbieter-Due-Diligence-Cybersicherheit
Die effizienteste Methode zur Durchführung einer Cyber-Due-Diligence-Prüfung sind Fragebögen. VDD-Fragebögen sind strategisch so konzipiert, dass sie alle Sicherheitsrisiken eines potenziellen Anbieters herausarbeiten.
Hier sind einige häufige Warnsignale für die Sicherheit von Anbietern, die mithilfe von Fragebögen aufgedeckt werden können:
- Historische Fälle von Datenschutzverletzungen
- Beweise für fahrlässige Praktiken
- Das Fehlen wichtiger Abwehrmaßnahmen gegen Bedrohungen
- Schlechte Protokolle zur Bedrohungsbeseitigung
- Vorhandensein von Angriffsvektoren im Drittanbieternetzwerk des Anbieters
- Schlechte Einstufung der Resilienz von Cyberbedrohungen
Fragebögen zur Risikobewertung von Anbietern
Jedes Unternehmen hat seine eigenen Anforderungen, so dass Sie nicht blind den Lieferantenfragebogen eines anderen Unternehmens übernehmen können. Die gängige Best Practice besteht darin, einen branchenüblichen Fragebogen an Ihre spezifischen Cybersicherheitsanforderungen anzupassen.
Um den Prozess zu beschleunigen, können Sie diese Vorlage für einen Fragebogen zur Risikobewertung von Lieferanten verwenden.
Hier sind fünf branchenübliche Methoden zur Sicherheitsbewertung, die Sie als Grundlage für Ihre Sicherheitsfragebögen von Anbietern verwenden können. Sie könnten möglicherweise Tausende von Lieferantenfragebögen aus diesen Methoden extrahieren und sie an Ihr Unternehmen anpassen.
- Kontrollrahmen des Center for Internet Security (CIS)
- Fragebogen der Consensus Assessments Initiative (CAIQ)
- NIST SP 800-171
- Fragebogen der Vendor Security Alliance (VSAQ)
Die Due Diligence der Cybersicherheit beginnt und endet jedoch nicht mit einem ersten Fragebogen zur Risikobewertung. Wie die oben genannten Statistiken zeigen, werden Anbieter häufig Opfer von Cyberangriffen, selbst nachdem sie eine erste Sicherheitsüberprüfung bestanden haben.
Um einen starken Schutz gegen Sicherheitsverletzungen durch Dritte zu gewährleisten, müssen Sie kontinuierlich maßgeschneiderte Fragebögen zu Bedrohungen an Anbieter senden, die von einer Datenschutzverletzung bedroht sind. Sobald eine Bedrohung behoben ist, sollten Folgefragebögen verschickt werden, um die aktualisierte Sicherheitslage eines Anbieters weiter zu überprüfen.
Dieser fortlaufende Fragebogen zur Vendor Due Diligence sorgt dafür, dass alle Ihre Lieferanten zur Rechenschaft gezogen werden und Ihr Unternehmen vor Verstößen Dritter geschützt ist.
Hier ist ein Beispiel für einen Anbieterfragebogen für die Kategorie Informationssicherheit und Datenschutz:
- Verarbeitet Ihre Organisation personenbezogene Daten (PII) oder geschützte Gesundheitsinformationen (PHI)?
- Verfügt Ihr Unternehmen über ein Sicherheitsprogramm?
- Wenn ja, welchen Normen und Richtlinien folgt sie?
- Deckt Ihr Informationssicherheits- und Datenschutzprogramm alle Vorgänge, Dienste und Systeme ab, die sensible Daten verarbeiten?
- Wer ist für die Verwaltung Ihres Informationssicherheits- und Datenschutzprogramms verantwortlich?
- Welche Kontrollen setzen Sie im Rahmen Ihres Informationssicherheits- und Datenschutzprogramms ein?
- Bitte geben Sie einen Link zu Ihrer öffentlichen Informationssicherheits- und/oder Datenschutzrichtlinie an.
- Gibt es zusätzliche Details, die Sie zu Ihrem Informationssicherheits- und Datenschutzprogramm angeben möchten?
Erfahren Sie, wie Sie Fragebögen zu Lieferantenrisiken erstellen >
Business Continuity- und Disaster Recovery-Pläne von Anbietern
Die Ergebnisse eines Fragebogens zum Lieferantenrisiko sollten den Business Continuity and Disaster Recovery Plan (BCDR) jedes bewerteten Anbieters offenlegen. Selbst die renommiertesten Unternehmen werden Opfer von Cyberangriffen, und was sichere Anbieter auszeichnet, sind ihre Incident-Response-Pläne.
Der Risikomanagementprozess eines Anbieters sollte sowohl einen Business Continuity-Plan als auch einen Disaster-Recovery-Plan umfassen.
Plan zur Aufrechterhaltung des Geschäftsbetriebs
Ein Business Continuity Plan ist der Plan eines Anbieters zur Wiederherstellung aller betroffenen Abläufe nach einem Cyberangriff. Der Wiederherstellungsplan sollte eine unverzügliche Bereitstellung kritischer Informationen an alle relevanten Beteiligten sowie eine klare Definition des Ausmaßes des Datenverlusts umfassen, der für einen Anbieter akzeptabel ist.
>Ein Business Continuity Plan ist ein schriftliches Dokument, das die Anbieter jederzeit bereit sein sollten, mit Ihnen zu teilen. In diesem Dokument werden die Due-Diligence-Verfahren für die Datensicherheit der einzelnen Anbieter aufgeführt.
Notfallwiederherstellungsplan
Ein Disaster-Recovery-Plan beschreibt klar und deutlich den Abhilfeprozess eines Anbieters, wenn ein Cyberangriff stattfindet.
In diesem Dokument sollten alle am Wiederherstellungsplan beteiligten Sicherheitsteams und die Verantwortlichkeiten der einzelnen Personen aufgeführt sein. Ein effizienter Incident-Response-Plan sollte alle potenziell betroffenen Bestände und Software in der Reihenfolge ihres Cybersicherheitsrisikos auflisten.
Der Due-Diligence-Prozess eines Anbieters sollte eine jährliche Aktualisierung seiner Business Continuity- und Disaster Recovery-Pläne umfassen. Cybersicherheitspraktiken müssen sich kontinuierlich weiterentwickeln, um gegen neue Cyberbedrohungen wirksam zu bleiben.
Warum ein Fragebogen zum Lieferantenrisiko nicht ausreicht
Eine positive Antwort auf einen eingereichten Fragebogen ist keine Garantie für die überlegene Sicherheitslage eines Anbieters. Ein zusätzlicher Verifizierungsprozess ist erforderlich, um die Ehrlichkeit eines Anbieters zu bestätigen.
Sicherheitsbewertungen bieten Unternehmen einen aktuellen Status der Cybersicherheitslage jedes Anbieters. Die Bewertung basiert auf mehreren Angriffsvektoren, die ein Unternehmen anfällig für Cyberangriffe machen. Es ist ein Cybersicherheitsäquivalent zu Kreditratings.
Sicherheitsbewertungen helfen Unternehmen dabei, zu erkennen, wann ein Risikofragebogen eingereicht werden sollte, und sie bieten eine Möglichkeit, die potenziellen Risiken jedes Anbieters im Laufe der Zeit zu verfolgen.
Diese symbiotische Beziehung macht die Kombination von Sicherheitsbewertungen und Fragebögen zu Lieferantenrisiken zu einer leistungsstarken Cybersicherheitsstrategie für Anbieter zur Minderung von Sicherheitsverletzungen durch Dritte.
Bei UpGuard können wir Ihr Unternehmen vor Datenschutzverletzungen schützen, alle Ihre Datenlecks identifizieren und Ihnen helfen, die Sicherheitslage aller Ihrer Anbieter kontinuierlich zu überwachen.