Wordt u aangevallen?
Ketenrisico: wie er via uw leveranciers bij uw systemen kan
Door Gert Eleveld, CTO
Ketenrisico is het risico dat uw organisatie loopt via de digitale verbindingen met leveranciers, dienstverleners en afnemers. Een aanval hoeft niet bij u te beginnen om uw productie stil te leggen.
Voor bedrijven in food, agri, manufacturing en life sciences is dat geen theoretisch punt. Grondstoffen, verpakking, koeling, transport en laboratoria hangen digitaal aan elkaar, en elke koppeling is een ingang.
Wat ketenrisico precies is
Bij ketenrisico gaat het om toegang die u zelf niet beheert. Een leverancier komt meestal binnen via een verbinding met uw netwerk.
Denk aan een koppeling met uw ERP, een externe verbinding voor de servicemonteur van een productielijn, of een cloudplatform waarin uw planning en die van uw transporteur samenkomen. Internationaal heet dit supply chain security. De kern is steeds dezelfde vraag: wie kan er van buiten naar binnen, en hoe ver komt hij?
Third party risk management: dezelfde vraag, andere naam
In gesprekken en documenten komt u verschillende termen tegen voor hetzelfde onderwerp. Third party risk management is de internationale term voor het beheersen van risico’s die via externe partijen binnenkomen. Supply chain security legt de nadruk op de keten als geheel. In de Nederlandse wetgeving heet het de beveiliging van de toeleveringsketen.
Het onderscheid zit vooral in de scope. Third party risk management gaat over de partijen waarmee u rechtstreeks een relatie heeft: leveranciers, dienstverleners, onderhoudspartijen en softwareleveranciers. Supply chain security kijkt verder en betrekt ook de leveranciers van uw leveranciers.
De Cyberbeveiligingswet vraagt u te kijken naar uw directe leveranciers en dienstverleners. Begin dus bij de partijen waarmee u zelf een contract heeft.
Waar de koppelingen zitten die niemand meer overziet
Vier situaties komen wij bijna overal tegen: externe verbindingen voor onderhoud aan machines, aangelegd bij de installatie en daarna nooit meer beoordeeld. Accounts van medewerkers van leveranciers die daar allang niet meer werken. Een klimaat- of gebouwbeheersysteem dat op hetzelfde netwerk staat als de productielijn. Bestandsuitwisseling met een laboratorium via een protocol uit een ander tijdperk.
Deze verbindingen zijn ooit aangelegd om iets werkend te krijgen. Ze zijn vaak ruimer dan nodig en ze staan er nog steeds.
Wat de wet van u vraagt over uw leveranciers
De Cyberbeveiligingswet, de Nederlandse uitwerking van de Europese NIS2-richtlijn, noemt de beveiliging van de toeleveringsketen als een van de maatregelen die onder de zorgplicht vallen. Het gaat daarbij uitdrukkelijk om de relatie met uw directe leveranciers en dienstverleners.
De wet zegt ook waar u op moet letten bij het bepalen van passende maatregelen. Op de specifieke kwetsbaarheden van elke directe leverancier, op de kwaliteit van hun producten en hun manier van werken, en op de uitkomsten van Europese risicobeoordelingen van kritieke toeleveringsketens.
Uw beleid hoort zowel over bestaande leveranciers te gaan, via periodieke beoordeling, als over nieuwe, via uw inkoopproces. Fysieke beveiliging telt daarbij mee, bijvoorbeeld van locaties waar uw systemen staan.
Drie vragen die u vandaag aan uw leveranciers kunt stellen
U hoeft geen auditor te zijn om te beginnen. Met drie vragen komt u een heel eind.
Wie bij u heeft toegang tot onze systemen, en hoe wordt die toegang ingetrokken als iemand vertrekt?
Binnen hoeveel uur horen wij het als er bij u iets misgaat dat ons raakt?
Wie kunnen wij bereiken buiten kantooruren?
De antwoorden vertellen u meer dan een certificaat. Bij een leverancier die zelf onder de wet valt kunt u bovendien wijzen op zijn eigen verplichting om afnemers te informeren over incidenten die de dienstverlening raken.
Wat als u zelf leverancier bent
Dit werkt twee kanten op. Levert u aan een organisatie die onder de wet valt, dan komen deze vragen bij u op tafel, ook als u zelf buiten de wet valt. Uw afnemer moet immers de risico’s in zijn keten beheersen.
Leveren aan zo’n organisatie brengt u er overigens niet automatisch zelf onder. Wel kunt u contractueel vastgelegde afspraken verwachten over beveiligingsmaatregelen, het melden van incidenten, het omgaan met kwetsbaarheden en continuïteit. Wie die vragen niet kan beantwoorden, riskeert het contract.
Zo brengt CyberPeak uw ketenrisico in beeld
Wij beginnen met een overzicht: welke partijen hebben toegang tot welke systemen, via welke verbinding, en met welke rechten. Dat overzicht ontbreekt bij veel organisaties waar wij binnenkomen.
Daarna beperken wij die toegang tot wat werkelijk nodig is. Wij scheiden uw productienetwerk van uw kantoor-IT met segmentatie, zodat een probleem bij een leverancier niet doorloopt naar uw lijn. Externe verbindingen krijgen sterke authenticatie en worden gemonitord, zodat u ziet wanneer een onderhoudspartij inlogt en wat daar gebeurt.
De vertaling naar prioriteiten leggen wij vast in een roadmap, in taal die uw directie kan volgen. Uw aanspreekpunt werkt vanuit Arnhem en kent uw sector.
In gesprek over uw keten
Wilt u weten wat dit voor uw organisatie betekent? Plan een kennismaking van een half uur. Wij nemen uw situatie door, kijken welke partijen toegang hebben tot uw omgeving en benoemen waar het eerst aandacht nodig heeft. Zonder dat wij een systeem aanraken.
Veelgestelde vragen over ketenrisico
Wat is ketenrisico in cybersecurity?
Ketenrisico is het risico dat via leveranciers, dienstverleners of afnemers uw eigen organisatie raakt. Het gaat om digitale koppelingen die u niet zelf beheert, zoals externe onderhoudsverbindingen, gedeelde platformen en systeemkoppelingen. Een incident bij een leverancier kan daardoor uw productie stilleggen.
Welke eisen stelt de Cyberbeveiligingswet aan leveranciers?
De beveiliging van de toeleveringsketen is een van de maatregelen die onder de zorgplicht vallen. U beoordeelt de kwetsbaarheden van uw directe leveranciers, kijkt naar de kwaliteit van hun producten en werkwijze, en legt afspraken vast over beveiliging, het melden van incidenten en continuïteit. Dat beleid geldt voor bestaande leveranciers en voor nieuwe, via uw inkoopproces.
Hoe beoordeelt u een leverancier op security?
Begin met drie vragen: wie bij hen toegang heeft tot uw systemen en hoe die wordt ingetrokken, binnen hoeveel uur zij u informeren bij een incident, en wie u buiten kantooruren kunt bereiken. Leg de antwoorden vast in het contract. Een uitgebreide beoordeling volgt daarna, op basis van hoe kritiek de leverancier voor u is.
Val ik onder de Cyberbeveiligingswet als ik lever aan een bedrijf dat eronder valt?
Niet automatisch. Wel moet dat bedrijf de risico’s in zijn toeleveringsketen beheersen, dus krijgt u waarschijnlijk vragen over uw beveiliging en contractuele afspraken over het melden van incidenten.
Wat is third party risk management?
Third party risk management is het beheersen van risico’s die via externe partijen uw organisatie binnenkomen: leveranciers, dienstverleners, onderhoudspartijen en softwareleveranciers waarmee u rechtstreeks een relatie heeft. Het Nederlandse equivalent is ketenrisico; in de Cyberbeveiligingswet heet het de beveiliging van de toeleveringsketen.
Wat is het verschil tussen ketenrisico en supply chain security?
Het gaat om hetzelfde onderwerp met een ander accent. Ketenrisico en third party risk management richten zich op uw directe leveranciers en dienstverleners. Supply chain security kijkt breder en betrekt ook de leveranciers daarachter. De wet vraagt u te kijken naar uw directe relaties.
Waar begint u als u geen overzicht hebt van uw keten?
Met een inventarisatie: welke partijen hebben toegang tot welke systemen, via welke verbinding en met welke rechten. Zonder dat overzicht is elke verdere maatregel giswerk. Pas daarna beperkt u toegang, scheidt u netwerken en richt u monitoring in.
