Ciscos Fünf-Schritte-Blaupause für robuste Third-Party-Cybersicherheit

Es ist schwer genug, Cybersicherheit innerhalb der eigenen Geschäfts-Mauern zu stärken. Aber dasselbe für die Armee von Partnern zu tun, die eine globale Lieferkette ausmachen? Das kann nahezu unmöglich sein.

Kaum eine Woche vergeht ohne Nachrichten über einen weiteren Cyberangriff auf die Lieferkette eines großen Unternehmens. Und mehr oft als nicht ist der Kanal für den Einbruch ein Dritter mit schwachen Kontrollen.

Definition: Third Party in der Wertschöpfungskette

In modernen Lieferketten kann ein Dritter jede Entität sein, die Teile, Produkte, Services, Support, Software verkauft – die Liste geht weiter. „Für mich umfasst es jeden außer uns, der an irgendeinem Punkt in den Stufen der Wertschöpfungskette tatsächlich in unsere Lösungen involviert ist“, sagt Edna Conway, Chief Security Officer of Global Value Chain bei Cisco Systems, Inc.

Cisco bevorzugt den Begriff „Value Chain“ – den diverse Unternehmen und Berater ohne Erfolg versucht haben, „Supply Chain“ als allgemeinen Deskriptor für die Ende-zu-Ende-Reise des Produkts zum Markt zu ersetzen – weil er ein größeres Universum unabhängiger Entitäten suggeriert, die in diesem Bemühen engagiert sind. Ob man Corporate Buzzwords annimmt oder nicht: Die Proliferation von Partnern wirft ernsthafte Cybersicherheits-Fragen auf. Ohne adäquate Systeme und Verfahren könnte jeder von ihnen den Bemühungen böser Akteure zum Opfer fallen – einschließlich Rivalen, Regierungen, Erpressern und sogar Keller-Hackern.

Fünf-Schritte-Ansatz

Conway bietet folgenden Fünf-Schritte-Ansatz für einen effektiven Cybersicherheitsplan für Drittpartei-Beziehungen.

1. Das „Wer, Was und Wo“ Ihrer Lieferkette kennen

Selbstverständlich wie es scheinen mag: Viele Unternehmen haben keinen Griff auf alle Parteien, die auf irgendeine Weise zum Geschäft beitragen. Das ist besonders der Fall in Multi-Tier-Lieferketten – und es ist schwer, sich ein hergestelltes Produkt heute vorzustellen, das nicht auf einer solchen Struktur beruht.

2. Effektive Kommunikation mit allen Parteien etablieren

Conway bezieht sich nicht auf alle Interaktionen, die geopolitische Themen oder Supply Continuity abdecken, nur auf jene, die spezifisch Sicherheitsfragen adressieren. Sie beschreibt drei Hauptbedrohungstypen: Manipulation (wenn Information verändert wird), Spionage (sowohl Nation-State als auch industriell) und Disruption (Versuche, das Business herunterzufahren). Es kann schwer sein, einem Software-Lizenz-Entwickler oder Dritt-Cloud-Service-Provider die Wichtigkeit des Schutzes gegen alle drei Bedrohungen einzuprägen. Gleiches gilt für Individuen auf dem Shopfloor, deren Fokus darauf liegt, die Linie am Laufen zu halten. „Es braucht Training, um Sicherheit zum Teil des alltäglichen Denkens jedes Einzelnen in jeder Rolle zu machen“, sagt Conway.

3. „Flexible und elastische“ Architektur entwickeln

Ciscos Ansatz zur Supply-Chain-Sicherheit umfasst 11 diskrete Domains, die die Komplexität seiner Prozesse reflektieren. Design, Entwicklung, Delivery und Service: Jede Disziplin besitzt Beziehungen zu Dritten, was zahllose Schwachstellen sowohl innerhalb als auch außerhalb der Organisation schafft. Die Strategie berücksichtigt, dass verschiedene Produktionsbereiche Guidelines benötigen, die einzigartig für ihre Operationen sind. „Wir haben Requirements so geschrieben, dass man sie mappen kann, sodass nur jene gelten, die auf der Natur dessen basieren, was Sie uns liefern“, sagt Conway. „Jeder bekommt eine maßgeschneiderte Version.“

4. Sicherheit in alles einbetten, was Sie mit Dritten tun

Conway drängt Unternehmen, die Frage zu stellen: „Warum nutzen wir sie, und wie performen sie gemäß unseren Service-Metriken?“ Ironischerweise, zurück als „Quality“ auf Bannern und Corporate Pep Rallies getrommelt wurde, wurde das Konzept nicht „überzeugend eingebettet“ in der Organisation. Wenn es jetzt um Cybersicherheit geht, ist Quality kein Slogan oder diskrete Funktion, sagt Conway – es ist in jeden Prozess innerhalb der Lieferkette eingewoben. Cisco weist Dritten Punkte zu, basierend auf ihrer demonstrierten Adhärenz an Quality, und Sicherheit ist ein Schlüsselteil dieser Metrik. „Wir machen es mathematisch bedeutsam: Wenn Sie als Lieferant fantastisch sind, aber grauenhaft in Sicherheit, bleiben Sie vielleicht kein Preferred Supplier“, sagt sie.

5. Jeder muss messen

Conway drängt hart darauf, Performance über die Organisation zu messen. „Wir etablieren Toleranzlevel gegen unsere eigenen Spezifikationen und Prozesse“, sagt sie. „Am Ende des Tages lassen wir Sicherheit die Sprache des Business sprechen.“

Schrittweise Implementierung und Business-Sprache

Ciscos Sicherheitsinitiative wurde nicht auf einmal implementiert. Conway, die zuvor als externe Anwältin für das Unternehmen im Bereich Intellectual Property diente, wurde Anfang der 2000er zur CSO. Statt sofort eine „monolithische Architektur“ von Beginn an aufzuzwingen, ging sie in Stufen vor – beginnend mit Ciscos Electronic Manufacturing Systems (EMS) Partnern, dann zu Printed-Circuit-Produzenten, Engineering und der Vielzahl an Channel-Partnern, die die „Value Chain“ des Unternehmens ausmachen.

Beim Predigen des Cybersicherheits-Evangeliums betrachtet Conway es als essenziell, mit der Führungsetage zu kommunizieren, deren Weltbild in Profit und Loss verwurzelt ist. „Ich möchte meine Toleranzlevel in Dollar-Risiko übersetzen“, sagt sie. „Wir alle müssen die Sprache des Business sprechen.“