Leverandører kan være den største sikkerhedsrisiko

Leverandører udgør ofte en af de største sikkerhedsrisici for virksomheder. Eksterne partnere får adgang til systemer og data, og angribere kan misbruge den adgang, hvis sikkerheden halter. Risikoen stiger markant, når leverandørernes sikkerhedsniveau ikke matcher virksomhedens egne standarder. Statistikker viser, at mange danske virksomheder har oplevet brud på informationssikkerheden via leverandører. Det gør det afgørende at skærpe krav, styrke kontrol og arbejde systematisk med sikkerhed hos alle eksterne samarbejdspartnere.

Key takeaways

• Utilstrækkelig leverandørsikkerhed kan åbne døren for alvorlige hackerangreb, selv i virksomheder med stærke interne it-forsvar. Vi anbefaler, at virksomheder kortlægger alle leverandørers adgang til data og systemer og indfører klare minimumskrav til sikkerhed. Det skaber et ekstra lag forsvar, som beskytter forretningen, også når angrebet starter hos en partner.
• Ofte benytter angribere svagheder såsom phishing mod leverandør-medarbejdere, inficerede softwareopdateringer og stjålne adgangsdata for at trænge ind. Vi ser, at simple tiltag som multifaktorgodkendelse, sikker udviklingsproces og træning i it-sikkerhed hos leverandører reducerer risikoen markant. Det giver en mere sikker samlet kæde fra leverandør til virksomhed.
• Almindelige fejl inkluderer manglende risikovurdering, uklare sikkerhedskrav i kontrakterne og forældede autorisationer for tidligere samarbejdspartnere. Vi anbefaler systematiske risikovurderinger, faste sikkerhedsbilag i alle kontrakter og regelmæssig oprydning i rettigheder og adgange. Det skaber overblik, mindsker fejl og gør det lettere at dokumentere sikkerhedsniveauet.
• Effektiv leverandørsikkerhed kræver løbende kontrol, klare exit-procedurer og inddragelse af leverandører i virksomhedens it-sikkerhedsarbejde. Vi anbefaler faste kontroller, for eksempel årlige audits, rapportering på sikkerhed og tekniske test. Samtidig bør alle aftaler have definerede exit-processer, som sikrer hurtig lukning af adgange og sikker sletning eller tilbagelevering af data, når samarbejdet stopper.
• Virksomheden har det juridiske ansvar for datasikkerheden og skal dokumentere due diligence over for både myndigheder og kunder. Vi hjælper typisk med at opbygge dokumenteret leverandørstyring, herunder politikker, retningslinjer, standardkrav og revisionsspor. Det styrker tilliden hos kunder og partnere og gør det lettere at efterleve krav fra GDPR, tilsyn og branchestandarder.

Leverandørsikkerhed er ofte det svageste led i virksomhedens sikkerhedskæde

Når leverandører får adgang til systemer, data eller netværk, udstiller det virksomheder for potentielle angreb, hvis leverandørsikkerheden bliver forsømt. Cyberkriminelle opsøger ofte svagheder i eksterne samarbejdspartnere, fordi de ved, at sikkerhedsniveauet her ikke altid matcher virksomhedens egne standarder. Eksempler som Target i 2013 og Maersk i 2017 viser, at kompromitterede leverandører kan åbne døren for angreb, der rammer kerneforretningen direkte.

Erhvervsstyrelsen rapporterer, at 60% af danske virksomheder har oplevet brud på informationssikkerheden gennem leverandører. Vores anbefaling er at prioritere leverandørsikkerhed lige så højt som intern beskyttelse. IT-sikkerhed skal omfatte grundige krav, løbende overvågning og klare aftaler med alle eksterne partnere, så du undgår at blive ofre for indirekte hackerangreb. Læs mere om hackerangreb og hvordan du styrker forsvarskæden.

Hvordan cyberangreb via leverandører foregår i praksis

Cyberkriminelle løber typisk udenom virksomheders solide it-forsvar ved at rette angrebet mod svagheder hos deres leverandører. Ofte udnytter hackerne mangelfulde sikkerhedsforanstaltninger, stjålne adgangsdata eller utilstrækkelige systemopdateringer hos samarbejdspartnere for at finde vej ind. Deres indgang kan ligge i alt fra et sårbart login til en uopmærksom medarbejder.

De mest udbredte metoder

Her er nogle af de mest udbredte metoder, vi ser i praksis:

• Phishing-angreb rettet mod leverandørernes medarbejdere, hvor medarbejderen narres til at give adgangsoplysninger
• Inficerede softwareopdateringer, hvor angribere indsætter skadelig kode i opdateringer fra leverandøren
• Anvendelse af stjålne legitimationsoplysninger fra tidligere datalæk
• Udnyttelse af åbne netværksforbindelser mellem virksomhed og leverandør

Disse indgange gør forsvar mod hackerangreb ekstra krævende, fordi truslen opstår gennem betroede partnere. Vil du sikre, at du minimerer risikoen fra dine it-leverandører, anbefaler vi at gennemgå vores guide om it-sikkerhed og få konkret rådgivning, der virker i praksis.

De mest almindelige fejl ved leverandørsikkerhed

Mange virksomheder glemmer ofte at foretage en grundig vurdering af leverandørernes sikkerhedsniveau. Det kan give uønskede overraskelser, hvis samarbejdspartnere ikke lever op til de nødvendige standarder. Kun få organisationer udarbejder klare og gennemskuelige kontraktkrav til it-sikkerhed eller databehandling, hvilket efterlader forretningskritiske data udsat for risici.

Et ofte overset problem er forældede autorisationer. Tidligere leverandører bevarer adgang til virksomhedens systemer længe efter samarbejdet er afsluttet, hvilket potentielt åbner døren for utilsigtede hackerangreb eller utilsigtet datalækage.

Under en effektiv tilgang skal virksomheder fokusere på løbende opfølgning og klare sanktionsmuligheder, hvis sikkerhedskravene ikke overholdes.

Anbefalinger til bedre leverandørsikkerhed

En stærk tilgang til leverandørsikkerhed starter med grundige risikovurderinger, før nye partnerskaber etableres. Det anbefales at opstille klare sikkerhedskrav direkte i kontrakterne, hvor aspekter som adgangsstyring, kryptering af data og definerede beredskabsplaner er faste elementer. Dette skaber tydelighed og minimerer tvivl om ansvar.

Vedvarende kontrol og løbende audits skal indgå som en naturlig del af leverandørsamarbejdet. På den måde fastholdes et højt sikkerhedsniveau, og det er muligt hurtigt at reagere på eventuelle svagheder. For at styrke både egne og leverandørens organisation kan uddannelse i moderne sikkerhedspraksis indføres.

Sidst men ikke mindst, bør alle have tydelige exit-procedurer, hvor samtlige digitale adgange straks lukkes ned ved samarbejdets ophør. Læs mere om leverandørsikkerhed her.

Sådan sikrer du samarbejdet om leverandørsikkerhed i praksis

Tillid og åbenhed danner fundamentet for et stærkt leverandørsamarbejde. Det anbefales, at begge parter får en fælles forståelse for, hvorfor leverandørsikkerhed er kritisk. Involvér leverandøren aktivt i din virksomheds overordnede it-sikkerhedsstrategi. Del jævnligt information om nye eller kendte trusler, så hele forsyningskæden er opdateret.

Skab et fælles beredskab, så både din virksomhed og leverandøren ved, hvordan man håndterer og rapporterer sikkerhedsbrud hurtigt. Udpeg kontaktpersoner på begge sider og indgå klare aftaler om eskalering og kommunikation ved hændelser. Det anbefales også at tage leverandøren med ind i relevante træningsaktiviteter eller øvelser, så kunskapen forankres.

Hvilket ansvar har virksomheden for leverandørsikkerhed

Virksomheder bærer juridisk ansvar for datasikkerheden, selv når de samarbejder med eksterne leverandører. Databeskyttelsesforordningen (GDPR) skærper kravene og forpligter den dataansvarlige til at sikre passende sikkerhedsforanstaltninger både internt og hos leverandører. Uanset hvem der forårsager et sikkerhedsbrud, kan det være virksomheden selv, som står med konsekvenserne over for kunder, myndigheder og samarbejdspartnere.

At arbejde systematisk med leverandørsikkerhed betyder, at der skal stilles klare krav, føres løbende kontrol og dokumenteres processer. På den måde demonstrerer vi due diligence og signalerer ansvarlighed over for både myndigheder, investorer og vores kunder. Det styrker virksomhedens tillid og konkurrenceevne i markedet. Læs mere om risikohåndtering af leverandører og forretningskritiske krav.