Wordt u aangevallen?
Ketenrisico: waarom uw leverancier uw grootsterisico is
Ketenrisicois het risico dat uw organisatie loopt via de digitale verbindingen metleveranciers, dienstverleners en afnemers. Een aanval hoeft niet bij u tebeginnen om uw productie stil te leggen.
Voor bedrijven in food, agri, maakindustrie en life sciencesis dat geen theoretisch punt. Grondstoffen, verpakking, koeling, transport enlaboratoria hangen digitaal aan elkaar, en elke koppeling is een ingang.
Wat ketenrisico precies is
Bijketenrisico gaat het om toegang die u zelf niet beheert. Een leverancier heeftzelden een gebruikersaccount op uw netwerk. Hij heeft een verbinding.
Denk aan een koppeling met uw ERP, een externe verbindingvoor de servicemonteur van een productielijn, of een cloudplatform waarin uwplanning en die van uw transporteur samenkomen. Internationaal heet dit supplychain security. De kern is steeds dezelfde vraag: wie kan er van buiten naarbinnen, en hoe ver komt hij?
Third party risk management: dezelfdevraag, andere naam
Ingesprekken en documenten komt u verschillende termen tegen voor hetzelfdeonderwerp. Third party risk management is de internationale term voor hetbeheersen van risico’s die via externe partijen binnenkomen. Supply chainsecurity legt de nadruk op de keten als geheel. In de Nederlandse wetgevingheet het de beveiliging van de toeleveringsketen.
Het onderscheid zit vooral in de scope. Third party riskmanagement gaat over de partijen waarmee u rechtstreeks een relatie heeft:leveranciers, dienstverleners, onderhoudspartijen en softwareleveranciers.Supply chain security kijkt verder en betrekt ook de leveranciers van uwleveranciers.
De Cyberbeveiligingswet legt de verplichting bij uwdirecte leveranciers en dienstverleners. Begin dus bij de partijen waarmee uzelf een contract heeft.
Waar de koppelingen zitten die niemandmeer overziet
Viersituaties komen wij bijna overal tegen: externe verbindingen voor onderhoud aanmachines, aangelegd bij de installatie en daarna nooit meer beoordeeld.Accounts van medewerkers van leveranciers die daar allang niet meer werken. Eenklimaat- of gebouwbeheersysteem dat op hetzelfde netwerk staat als deproductielijn. Bestandsuitwisseling met een laboratorium via een protocol uiteen ander tijdperk.
Deze verbindingen zijn ooit aangelegd om iets werkend tekrijgen, niet om iets af te schermen. Ze zijn vaak ruimer dan nodig en ze staaner nog steeds.
Wat de wet van u vraagt over uwleveranciers
DeCyberbeveiligingswet , de Nederlandseuitwerking van de Europese NIS2-richtlijn, noemt de beveiliging van detoeleveringsketen als een van de maatregelen die onder de zorgplicht vallen.Het gaat daarbij uitdrukkelijk om de relatie met uw directe leveranciers endienstverleners.
De wet zegt ook waar u op moet letten bij het bepalen vanpassende maatregelen. Op de specifieke kwetsbaarheden van elke directeleverancier, op de kwaliteit van hun producten en hun manier van werken, en opde uitkomsten van Europese risicobeoordelingen van kritieke toeleveringsketens.
Uw beleid hoort zowel over bestaande leveranciers tegaan, via periodieke beoordeling, als over nieuwe, via uw inkoopproces. Fysiekebeveiliging telt daarbij mee, bijvoorbeeld van locaties waar uw systemen staan.
Drie vragen die u vandaag aan uw leveranciers kunt stellen
Uhoeft geen auditor te zijn om te beginnen. Met drie vragen komt u een heeleind.
Wie bij u heeft toegang tot onze systemen, en hoe wordtdie toegang ingetrokken als iemand vertrekt?
Binnen hoeveel uur horen wij het als er bij u ietsmisgaat dat ons raakt?
Wie kunnen wij bereiken buiten kantooruren?
De antwoorden vertellen u meer dan een certificaat. Bij een leverancier die zelf onder de wet valt kunt u bovendien wijzen op zijn eigenverplichting om afnemers te informeren over incidenten die de dienstverleningraken.
Wat als u zelf leverancier bent
Ditwerkt twee kanten op. Levert u aan een organisatie die onder de wet valt, dankomen deze vragen bij u op tafel, ook als u zelf buiten de wet valt. Uw afnemermoet immers de risico’s in zijn keten beheersen.
Leveren aan zo’n organisatie brengt u er overigens nietautomatisch zelf onder. Wel kunt u contractueel vastgelegde afsprakenverwachten over beveiligingsmaatregelen, het melden van incidenten, het omgaanmet kwetsbaarheden en continuïteit. Wie die vragen niet kan beantwoorden,riskeert geen boete maar wel het contract.
Zo brengt CyberPeak uw ketenrisico inbeeld
Wijbeginnen met een overzicht: welke partijen hebben toegang tot welke systemen,via welke verbinding, en met welke rechten. Dat overzicht ontbreekt bij vrijwelelke organisatie waar wij binnenkomen.
Daarna beperken wij die toegang tot wat werkelijk nodigis. Wij scheiden uw productienetwerk van uw kantoor-IT met segmentatie, zodat een probleem bij een leverancier niet doorloopt naaruw lijn. Externe verbindingen krijgen sterke authenticatie en wordengemonitord, zodat u ziet wanneer een onderhoudspartij inlogt en wat daargebeurt.
De vertaling naar prioriteiten leggen wij vast in eenroadmap, in taal die uw directie kan volgen. Uw aanspreekpunt werkt vanuitArnhem en kent uw sector.
In gesprek over uw keten
Planeen adviesgesprek. Wij nemen uw situatie door, kijkenwelke partijen toegang hebben tot uw omgeving en benoemen waar het eerstaandacht nodig heeft. Zonder verplichtingen en zonder dat wij een systeemaanraken.
Veelgestelde vragen over ketenrisico
Wat is ketenrisico in cybersecurity?
Ketenrisicois het risico dat via leveranciers, dienstverleners of afnemers uw eigenorganisatie raakt. Het gaat om digitale koppelingen die u niet zelf beheert, zoals externe onderhoudsverbindingen, gedeelde platformen ensysteemkoppelingen. Een incident bij een leverancier kan daardoor uw productie stilleggen.
Welke eisen stelt de Cyberbeveiligingswetaan leveranciers?
Debeveiliging van de toeleveringsketen is een van de maatregelen die onder dezorgplicht vallen. U beoordeelt de kwetsbaarheden van uw directe leveranciers,kijkt naar de kwaliteit van hun producten en werkwijze, en legt afspraken vastover beveiliging, het melden van incidenten en continuïteit. Dat beleid geldtvoor bestaande leveranciers en voor nieuwe, via uw inkoopproces.
Hoe beoordeelt u een leverancier opsecurity?
Beginmet drie vragen: wie bij hen toegang heeft tot uw systemen en hoe die wordtingetrokken, binnen hoeveel uur zij u informeren bij een incident, en wie ubuiten kantooruren kunt bereiken. Leg de antwoorden vast in het contract. Eenuitgebreide beoordeling volgt daarna, op basis van hoe kritiek de leveranciervoor u is.
Val ik onder de Cyberbeveiligingswet alsik lever aan een bedrijf dat eronder valt?
Nietautomatisch. Wel moet dat bedrijf de risico’s in zijn toeleveringsketenbeheersen, dus krijgt u waarschijnlijk vragen over uw beveiliging encontractuele afspraken over het melden van incidenten.
Wat is third party risk management?
Thirdparty risk management is het beheersen van risico’s die via externe partijen uworganisatie binnenkomen: leveranciers, dienstverleners, onderhoudspartijen ensoftwareleveranciers waarmee u rechtstreeks een relatie heeft. Het Nederlandseequivalent is ketenrisico; in de Cyberbeveiligingswet heet het de beveiligingvan de toeleveringsketen.
Wat is het verschil tussen ketenrisico ensupply chain security?
Hetgaat om hetzelfde onderwerp met een ander accent. Ketenrisico en third partyrisk management richten zich op uw directe leveranciers en dienstverleners.Supply chain security kijkt breder en betrekt ook de leveranciers daarachter.De wet legt de verplichting bij uw directe relaties.
Waar begint u als u geen overzicht hebtvan uw keten?
Meteen inventarisatie: welke partijen hebben toegang tot welke systemen, via welkeverbinding en met welke rechten. Zonder dat overzicht is elke verdere maatregelgiswerk. Pas daarna beperkt u toegang, scheidt u netwerken en richt umonitoring in.
