Vijf manieren om cyberrisico's in de hele supply chain te beheren

Tegenwoordig is het bijna onmogelijk om een ​​bedrijf te runnen zonder de hulp van externe leveranciers om te helpen bij de levering van uw producten, systemen of diensten. Werken met externe partners kan tal van voordelen met zich meebrengen, waaronder meer gestroomlijnde en efficiëntere processen om aan de verhoogde klanteisen te voldoen. Tegelijkertijd kunnen nieuwe entiteiten nieuwe risico's met zich meebrengen, vooral op het gebied van cyberbeveiliging. Wanneer bedrijven samenkomen en informatie delen, wordt het risico van één bedrijf dat van de hele keten.

Cyberaanvallen in de toeleveringsketen zijn in opkomst, met een toename van 42% in de VS in het eerste kwartaal van 2021. Dit soort aanvallen zijn vooral populair bij cybercriminelen, omdat ze de mogelijkheid bieden om via één enkele externe leverancier.

Gelukkig zijn er, zoals bij elk type risico, manieren om deze bedreigingen te beheersen voordat ze een probleem vormen. Hieronder volgen enkele belangrijke acties die uw bedrijf kan ondernemen om de kans op een aanval op uw toeleveringsketen te minimaliseren.

Voer risicobeoordelingen uit. Bij het aangaan van nieuwe leveranciersrelaties is het belangrijk om te weten waar zij staan ​​op het gebied van cybersecurity. Welke controles hebben ze? Welke processen en beleidsregels worden gebruikt om ervoor te zorgen dat gegevens goed worden beschermd? Als u gegevens deelt met uw leveranciers, met name gevoelige klantinformatie, wilt u er zeker van zijn dat deze veilig blijft.

Het is ook een goed idee om te overwegen hoe belangrijk de leveranciersrelatie in het algemeen zal zijn. Zal het deel uitmaken van uw directe toeleveringsketen of op ad-hocbasis helpen? Alle partners moeten worden doorgelicht, maar degenen die een integrale rol spelen in uw toeleveringsketen zullen meer risico lopen en meer voorzichtigheid rechtvaardigen.

Stel beveiligingsvereisten in. Om een ​​transparante relatie met uw leveranciers te stimuleren en duidelijke verwachtingen tussen u te scheppen, kan het handig zijn om een ​​leveranciersbeleid op te stellen.

Met een dergelijk document kunt u secties wijden aan cybersecurity en gegevensbescherming, waarin u aangeeft welk beveiligingsniveau uw leveranciers moeten kunnen aantonen. Een van de gemakkelijkste manieren om dit te doen, is door uw leveranciers te vragen zich aan te sluiten bij een bestaande reeks cyberbeveiligingsnormen en -certificeringen. In de VS zijn populaire ISO 27001, die internationaal wordt erkend, en het NIST-raamwerk. In het VK helpt de cyberbeveiligingsstandaard van de overheid, Cyber ​​Essentials, bedrijven 80% van de risico's te verminderen door zich aan te passen aan vijf kritieke technische controles. Het naleven van deze normen kan voor uw leveranciers een gemakkelijke manier zijn om een ​​goede houding op het gebied van cyberbeveiliging aan te tonen.

Wanneer u beveiligingseisen stelt aan uw leveranciers, is het een goede gewoonte om ervoor te zorgen dat uw eigen bedrijf hier al aan voldoet. Door deel te nemen aan een supply chain, verbind je jezelf met alle anderen daarin; alle verbeteringen die u aanbrengt in uw eigen beveiligingshoudingen, zullen de algehele keten alleen maar versterken.

Implementeer cyberbeveiligingstraining. Menselijke fouten zijn nog steeds de belangrijkste oorzaak van cyberaanvallen. Als zodanig is het een van de meest essentiële elementen om aan te pakken. Hoewel u altijd moet werken aan het bevorderen van een cultuur van cyberbeveiligingsbewustzijn binnen uw eigen bedrijf, moet deze praktijk ook in de hele toeleveringsketen worden aangemoedigd.

Overweeg bronnen te delen met leveranciers om hen te helpen hun werknemers te informeren over cyberrisico's. Er zijn talloze gratis online oefeningen en artikelen die hulp bieden aan bedrijven.

Beveiligde gegevensoverdracht. Gegevens binnen de toeleveringsketen moeten via beveiligde kanalen worden overgedragen en te allen tijde worden beschermd. Hackers hebben de meeste kans om gegevens te onderscheppen terwijl deze van de ene plaats naar de andere gaan, waardoor het des te belangrijker is om tijdens dit proces een goede beveiliging te behouden. Gegevens versleutelen voordat ze worden overgedragen, is een uitstekende manier om dit risico te minimaliseren.

Bedrijven moeten er ook voor zorgen dat ze een compleet beeld hebben van de verschillende soorten gegevens die in hun toeleveringsketen leven en waar deze zich allemaal bevinden. Dat omvat interne gegevens (plus back-upsystemen) en de gegevens waar uw leveranciers toegang toe hebben. Deze informatie zal waarschijnlijk variëren in gevoeligheid. Een deel ervan kan zeer gevoelig zijn, terwijl andere informatie openbaar toegankelijk is. U kunt helpen voorkomen dat gegevens in verkeerde handen vallen door ze correct te classificeren en te labelen, zodat u weet waar de meest waardevolle informatie zich bevindt.

Vergeet niet dat u ook iemands leverancier bent. Vaker wel dan niet, zal een hacker zich richten op een klein bedrijf om toegang te krijgen tot de rest van zijn toeleveringsketen, in de verwachting dat zijn cyberbeveiliging minimaal of niet bestaat. We zagen dit in een van de eerste grote aanvallen op de toeleveringsketen die de media troffen in 2013, toen een externe contractant die met Target werkte, werd gecompromitteerd, waardoor hackers miljoenen creditcardgegevens van klanten konden stelen van het interne netwerk van de winkelier.

Kleine bedrijven moeten niet alleen rekening houden met de beveiliging van hun leveranciers, maar moeten ook een hoge standaard van cyberbeveiliging handhaven om grotere partners ervan te overtuigen dat ze geen beveiligingsrisico vormen. Veel bedrijven, vooral in de publieke sector, eisen nu dat al hun leveranciers aan bepaalde beveiligingsnormen voldoen voordat ze contracten met hen afsluiten.

Het beheren van cyberdreigingen binnen de toeleveringsketen hoeft geen ontmoedigende taak te zijn, maar het is belangrijk om verantwoordelijkheid te nemen voor uw eigen risico en consistente normen voor cyberbeveiliging te handhaven. Het is in het belang van elk bedrijf om de beveiligingsprocessen, het beleid en de oplossingen van alle partners te begrijpen. Deze stappen verminderen niet alleen het risico voor de hele toeleveringsketen, ze laten ook aan klanten, partners en belanghebbenden zien dat hun geheimen veilig zijn bij jou.

Clive Madders is Chief Technology Officer bij Cyber ​​Tec-beveiliging .