Essentiële Vragen om Derde-Partij Leveranciers te Evalueren op Cybersecurity Risico

Van marketingconsultants en supply-chain-partners tot accountants en IT-dienstverleners, organisaties zijn vandaag afhankelijk van allerhande derden voor praktisch elk denkbaar zakelijke functie.

Volgens recent onderzoek van het Ponemon Institute is het onbedoelde gevolg van derde-partij-afhankelijkheden dat 61% van de organisaties in de VS een datalekkage heeft ervaren veroorzaakt door een derde partij of leverancier. Zevenenvijftig procent van de bedrijven kan niet bepalen of de beveiligingsbeleidsregels en -verdediging van hun leveranciers een inbraak adequate kunnen voorkomen, en minder dan de helft evalueert de beveiligings- en privacy-praktijken van leveranciers voordat ze een zakelijke overeenkomst aangaan die het delen van gevoelige of vertrouwelijke informatie vereist.

Het is niet verrassend dat, volgens hetzelfde onderzoek, slechts 16 procent van de respondenten hun bedrijven als "hoogst effectief" in het mitigeren van derde-partij-risico's beoordeelde. Feitelijk zijn degenen die het management van hun uitbestedingsrisico's prioriteren in de minderheid.

De beste tijd om derde-partij-risico's te reduceren is aan het begin van de relatie — voordat men een overeenkomst aangaat. Dat is het moment waarop u cruciale vragen moet stellen om de mogelijke blootstelling die u aangaat te identificeren, en hoe u een inbraak het beste kunt voorkomen. Leveranciers met sterke beveiligingspraktijken zijn meestal bereid erover te praten, terwijl diegene die dergelijke discussies vermijden misschien iets te verbergen hebben. Met dat in gedachten, hier zijn vijf vragen — er eentje intern en vier voor serieuze kandidaten — die u moet stellen bij het overwegen van een derde partij:

Welke data en systemen zal de derde partij bezitten of benaderen?

Veel derden zullen geen toegang hebben tot gevoelige data of systemen, dus als ze een inbraak ervaren, is de dreiging voor u minimaal. Een hovenier, bijvoorbeeld, heeft weinig toegang tot data of systemen, en waarschijnlijk geen toegang tot het interieur van een faciliteit. Misschien is het enige gecomputeriseerde netwerk dat het zou kunnen benaderen een besproeiingssysteem, wat meer dan waarschijnlijk geïsoleerd zou zijn van interne corporate systemen. Daarom zou elke potentiële inbraak van deze hypothetische hoveniersleverancier verwacht worden om weinig tot geen impact te hebben.

Een HR-provider, financieel systeem of leverancier, daarentegen, zou heel anders zijn. Bijvoorbeeld, als u een consultant inhult om klantanalyses te ontwikkelen ter ondersteuning van de marketing- of zakelijkestrategie, kan die entiteit toegang hebben tot bedrijfsdata die klantcreditcardnummers en thuadressen omvat, of corporate financiële data. Dit type consultant moet zorgvuldig gevestigd worden.

Wat voor logging en monitoring doet de derde partij?

Logging en monitoring zijn de primaire manieren waarop een organisatie activiteit in zijn omgeving registreert en erop reageert. Maar systeem- en netwerkactiviteitenlogs zijn uitgebreid. En in de moderne computergomgevingen van vandaag, die samengesteld zijn uit diverse systemen en hoog-bandbreedtenetwerken, wordt het volume van log-gebeurtenissen snel overweldigend voor een mens om te managen. Om beveiligingsgebeurtenissen correct te monitoren, moeten tools worden geïmplementeerd om deze gebeurtenissen op te slaan en te triageren. Door de personeels- en toolkeuzes van de leverancier te kennen, begrijpt u hoe serieus het beveiliging neemt. Tenslotte, mensen + tools = geld = middelen = prioriteiten. Zoek partners die beveiliging prioriteren en erin investeren.

Hoe beheert de derde partij zowel fysieke als technische toegangscontroles?

Toegangscontroles zijn één manier om kwetsbaarheid, en dus risico, te reduceren. Ze nemen twee primaire vormen aan: fysiek en technisch. In onze hyper-verbonden wereld is het gemakkelijk het belang van fysieke controles te vergeten. U moet de fysieke locaties identificeren waar de derde partij data opslaat, verwerkt en overbrengt, evenals het niveau van fysieke beveiliging op die locaties. Als uw data op mobiele apparaten moet worden opgeslagen, is het belangrijk de beveiligingscontroles die met die apparaten geassocieerd zijn te begrijpen, aangezien ze niet altijd in een statische fysieke locatie zijn.

Technische toegangscontroles zijn ook belangrijk voor de beoordeling van systemen en netwerken. Vraag hoeveel individuen toegang zullen hebben tot uw data, en met welk doel. Begrijp hoe de derde partij multi-factor-authenticatie gebruikt, hoe vaak gebruikers in de beheerdersgroep worden beoordeeld, hoe vaak systeemrechten worden herzien, en hoe toegang van vertrekkende werknemers wordt verwijderd. Bovendien leer hoe netwerksegmentatie-praktijken en -tools worden gebruikt. Bijvoorbeeld, welke controles zijn er om productiesystemen te isoleren van andere omgevingen zoals het internet? Hoe segmenteert de derde partij zijn interne netwerk?

Vaak kunnen goede fysieke toegangscontroles zwakke technische controles compenseren, en vice versa. Maar best practice is om fysieke en technische toegang tot data en systemen te beperken tot die individuen die nodig zijn om de dienst te leveren. Slappe toegangscontroles openen het aanvalsoppervlak en verhogen uw risico.

Welke benaderingen hanteert de derde partij voor het patchen van systemen?

Terwijl onbekende of onthulde kwetsbaarheden dramatisch zijn en veel aandacht krijgen, zijn ze zeldzaam. Organisaties lopen meer risico op bekende dan onbekende kwetsbaarheden. Als resultaat moeten derden robuuste programma's hebben om bekende kwetsbaarheden te verhelpen, door snel beveiligingspatches toe te passen die fouten corrigeren en de onderliggende kwetsbare software verwijderen.

Grote softwareleveranciers brengen updates uit op een regelmatige cadentie. In uw beoordeling van derden, moet u ervan overtuigd zijn dat de systemen die uw data verwerken, opslaan en overbrengen, regelmatige en tijdige updates zullen ontvangen, en dat geëxpediteerde processen bestaan voor directe en kritieke kwetsbaarheden.

Ondergaat de derde partij onafhankelijke audits of tests? Welke beveiligingscertificeringen heeft het behaald?

Audits houden organisaties verantwoordelijk. Derden zouden zichzelf moeten auditeren door gestandaardiseerde beveiligingsvragenlijsten zoals de SIG Lite of CSA CAIQ te voltooien en actueel te houden. Naast zelfevaluaties, geven onafhankelijke audits u rust dat de derde partij zijn beleid en procedures volgt. Onafhankelijke audits kunnen penetratietests of SOC 2 omvatten. Sommige industrieën hebben hun eigen certificeringen zoals HITRUST in gezondheidszorg, PCI voor betalingsverwerkers, en FedRAMP in de Amerikaanse federale overheid. In alle gevallen zijn onafhankelijke audits belangrijk, en tonen een toewijding aan het onderhouden van een gevalideerd, formeel informatiebeveiligingsprogramma.

Samen genomen zullen discussies om deze sleutelgebieden u een gevoel geven van de beveiligingshouding van een leverancier. Als de antwoorden van de leverancier transparant zijn en strategische prioriteit en proactieve deugdelijkheid aangeven, kunt u met meer vertrouwen vooruitgaan. Als de beveiligingshouding van de leverancier onrijp is, dan moet u het risico accepteren, of andere maatregelen overwegen om het te controleren.

Laat databeveiliging geen nagedachte zijn. Maak het een integraal onderdeel van product- en dienstendiscussies. In de huidige omgeving van volumineuze en ingewikkelde aanvallen, is cyberbeveiliging een zakelijke kwestie. U moet uw deugdelijkheid doen om uw risico te begrijpen.

Jeremy Haas is chief security officer, en Ryan Bergquist is cybersecurity-analist, bij LookingGlass Cyber Solutions.