Wesentliche Fragen zur Evaluierung von Drittanbietern auf Cybersecurity-Risiko

Von Marketingberatern und Supply-Chain-Partnern bis hin zu Buchhaltern und IT-Dienstleistern – Organisationen hängen heute von Drittanbietern für praktisch jede erdenkliche Geschäftsfunktion ab.

Laut aktueller Ponemon-Institute-Forschung ist die ungewollte Folge dieser Drittanbieter-Abhängigkeiten, dass 61 % der US-Organisationen einen Datenschutzverstoß durch einen Drittanbieter oder Vendor erlebt haben. 57 % der Unternehmen können nicht feststellen, ob die Sicherheitsrichtlinien und -verteidigungen ihrer Vendor einen Verstoß angemessen verhindern können, und weniger als die Hälfte evaluiert die Sicherheits- und Datenschutzpraktiken von Vendors, bevor sie eine Geschäftsvereinbarung eingehen, die den Austausch sensibler oder vertraulicher Informationen erfordert.

Es ist daher nicht überraschend, dass laut derselben Forschung nur 16 % der Befragten ihre Unternehmen als „hoch effektiv“ bei der Minderung von Drittanbieter-Risiken bewerteten. Tatsächlich sind diejenigen, die das Management ihrer Outsourcing-Risiken priorisieren, in der Minderheit.

Der beste Zeitpunkt, um Drittanbieter-Risiken zu reduzieren, ist ganz am Anfang der Beziehung – bevor man eine Vereinbarung eingeht. Dann müssen Sie kritische Fragen stellen, um die mögliche Exposition zu identifizieren, die Sie eingehen, und wie man einen Kompromiss am besten vermeidet. Vendors mit starken Sicherheitspraktiken sind meist bereit, darüber zu sprechen, während solche, die solche Diskussionen vermeiden, vielleicht etwas verbergen. Mit diesem Hintergedanken hier fünf Fragen – eine intern und vier für ernsthafte Kandidaten –, die Sie bei der Prüfung eines Drittanbieters stellen sollten:

1. Welche Daten und Systeme wird der Drittanbieter besitzen oder zugreifen?

Viele Drittanbieter werden keinen Zugriff auf sensible Daten oder Systeme haben, sodass ein Verstoß bei ihnen minimalen Bedrohung für Sie darstellt. Ein Landschaftsbau-Vendor hat beispielsweise wenig Zugriff auf Daten oder Systeme und wahrscheinlich keinen auf das Innere einer Einrichtung. Vielleicht ist das einzige computergestützte Netzwerk, auf das er zugreifen könnte, ein Bewässerungssystem, das höchstwahrscheinlich von internen Unternehmenssystemen isoliert wäre. Daher wäre ein potenzieller Verstoß dieses hypothetischen Landschaftsbau-Vendors mit wenig bis gar keiner Auswirkung zu erwarten.

Ein HR-Anbieter, Finanzsystem oder Vendor wäre dagegen ganz anders. Wenn Sie beispielsweise einen Berater einstellen, um Kundenanalysen zur Unterstützung der Marketing- oder Geschäftsstrategie zu entwickeln, könnte diese Entität Zugriff auf Unternehmensdaten haben, die Kreditkartennummern und Wohnadressen von Kunden oder Unternehmensfinanzen umfassen. Ein solcher Berater sollte sorgfältig geprüft werden.

2. Welches Logging und Monitoring betreibt der Drittanbieter?

Logging und Monitoring sind die primären Wege, wie eine Organisation Aktivitäten in ihrer Umgebung aufzeichnet und darauf reagiert. Aber System- und Netzwerk-Aktivitätslogs sind gesprächig. Und in heutigen modernen Computing-Umgebungen, die aus multiplen diversen Systemen und High-Bandwidth-Netzwerken bestehen, wird das Volumen an Log-Events schnell überwältigend für einen Menschen zu managen. Um Security-Events ordnungsgemäß zu überwachen, müssen Tools eingesetzt werden, um diese Events zu speichern und zu triagieren. Indem Sie die Personal- und Tool-Wahl des Vendors kennen, verstehen Sie, wie ernst es Sicherheit nimmt. Schließlich: Menschen + Tools = Geld = Ressourcen = Prioritäten. Suchen Sie Partner, die Sicherheit priorisieren und investieren.

3. Wie verwaltet der Drittanbieter physische und technische Zugriffskontrollen?

Zugriffskontrollen sind ein Weg, Verwundbarkeit und damit Risiko zu reduzieren. Sie nehmen zwei primäre Formen an: physisch und technisch. In unserer hypervernetzten Welt vergisst man leicht die Wichtigkeit physischer Kontrollen. Sie müssen die physischen Standorte identifizieren, an denen der Drittanbieter Daten speichert, verarbeitet und überträgt, sowie das Level der physischen Sicherheit an diesen Standorten. Wenn Ihre Daten auf mobilen Geräten gespeichert werden sollen, ist es wichtig, die Sicherheitskontrollen dieser Geräte zu verstehen, da sie nicht immer an einem statischen physischen Ort sein mögen.

Technische Zugriffskontrollen sind auch wichtig für die Bewertung von Systemen und Netzwerken. Fragen Sie, wie viele Individuen Zugriff auf Ihre Daten haben werden und zu welchem Zweck. Verstehen Sie, wie der Drittanbieter Multi-Faktor-Authentifizierung nutzt, wie oft Nutzer in der Administrator-Gruppe überprüft werden, wie oft Systemberechtigungen überprüft werden und wie der Zugriff ausscheidender Mitarbeiter entfernt wird. Erfahren Sie zusätzlich, wie Netzwerksegmentierungs-Praktiken und -Tools genutzt werden. Beispielsweise: Welche Kontrollen isolieren Produktionssysteme von anderen Umgebungen wie dem Internet? Wie segmentiert der Drittanbieter sein internes Netzwerk?

Oft können gute physische Zugriffskontrollen schwache technische kompensieren und umgekehrt. Aber Best Practice ist, physischen und technischen Zugriff auf Daten und Systeme auf die Individuen zu beschränken, die den Service erbringen müssen. Lockerer Zugriff öffnet die Angriffsfläche und erhöht Ihr Risiko.

4. Welche Ansätze verfolgt der Drittanbieter beim Patchen von Systemen?

Während unbekannte oder nicht offengelegte Schwachstellen dramatisch sind und viel Aufmerksamkeit bekommen, sind sie selten. Organisationen sind stärker durch bekannte als unbekannte Schwachstellen gefährdet. Daher müssen Drittanbieter robuste Programme haben, um bekannte Schwachstellen zu beheben, indem sie Security-Patches schnell anwenden, die Fehler korrigieren und die zugrundeliegende verwundbare Software entfernen.

Große Software-Vendor veröffentlichen Updates in einem regelmäßigen Rhythmus. In Ihrer Prüfung von Drittanbietern müssen Sie überzeugt sein, dass die Systeme, die Ihre Daten verarbeiten, speichern und übertragen, regelmäßige und zeitnahe Updates erhalten, und dass beschleunigte Prozesse für unmittelbare und kritische Schwachstellen existieren.

5. Unterzieht sich der Drittanbieter unabhängigen Audits oder Tests? Welche Sicherheitszertifizierungen hat er erworben?

Audits halten Organisationen verantwortlich. Drittanbieter sollten Selbst-Audits durchführen, indem sie standardisierte Sicherheitsfragebögen wie SIG Lite oder CSA CAIQ ausfüllen und aktuell halten. Über Selbstbewertungen hinaus geben unabhängige Audits Ihnen die Gewissheit, dass der Drittanbieter seinen Richtlinien und Verfahren folgt. Unabhängige Audits können Penetrationstests oder SOC 2 umfassen. Manche Branchen haben eigene Zertifizierungen wie HITRUST im Gesundheitswesen, PCI für Zahlungsabwickler und FedRAMP im US-Bundesstaat. In allen Fällen sind unabhängige Audits wichtig und zeigen ein Engagement für die Aufrechterhaltung eines validierten, formalen Informationssicherheitsprogramms.

Gemeinsam genommen geben Diskussionen um diese Schlüsselbereiche Ihnen ein Gefühl für die Sicherheitshaltung eines Vendors. Wenn die Antworten des Vendors transparent sind und strategische Priorität und proaktive Sorgfalt anzeigen, können Sie selbstbewusster vorangehen. Wenn die Sicherheitshaltung des Vendors unreif ist, müssen Sie entweder das Risiko akzeptieren oder andere Minderungen in Betracht ziehen, um es zu kontrollieren.

Lassen Sie Datensicherheit kein Nachgedanke sein. Machen Sie sie zu einem integralen Teil von Produkt- und Service-Diskussionen. In der heutigen Umgebung voluminöser und komplexer Angriffe ist Cybersicherheit eine Geschäftsangelegenheit. Sie müssen Ihre Sorgfaltspflicht erfüllen, um Ihr Risiko zu verstehen.

Jeremy Haas ist Chief Security Officer, und Ryan Bergquist ist Cybersecurity Analyst bei LookingGlass Cyber Solutions.