Leverandører kan være virksomhedens største sikkerhedsrisiko

Leverandører kan have adgang til virksomhedens systemer, data og netværk. Hvis adgangen ikke bliver begrænset og kontrolleret, kan den give cyberkriminelle en vej ind i virksomheden. Leverandørsikkerhed handler derfor både om at vælge de rette samarbejdspartnere, stille klare krav og følge op gennem hele aftalens løbetid.

Hvorfor skaber leverandører en sikkerhedsrisiko?

Virksomheder er afhængige af mange eksterne parter. Det kan være it-leverandører, softwareudbydere, bogholdere, konsulenter og virksomheder, der håndterer support eller data.

Nogle leverandører har kun adgang til få oplysninger, mens andre har administratorrettigheder eller direkte forbindelse til forretningskritiske systemer. Hvis en leverandørs konto bliver kompromitteret, kan angriberen forsøge at misbruge den etablerede adgang.

Risikoen handler ikke kun om leverandørens egen sikkerhed. Virksomhedens opsætning har også betydning. En leverandør bør ikke have bredere adgang end nødvendigt, og adgangen bør ikke være permanent, hvis den kun bruges til enkelte opgaver.

Sådan kan angreb ske gennem en leverandør

Angribere kan stjæle en leverandørmedarbejders loginoplysninger gennem phishing eller tidligere datalæk. Hvis kontoen ikke er beskyttet med multifaktorgodkendelse, kan oplysningerne måske bruges direkte.

En fjernsupportløsning eller netværksforbindelse kan også blive misbrugt, hvis den er forkert konfigureret eller ikke bliver opdateret. Særligt konti med administratorrettigheder er attraktive, fordi de kan give adgang til flere systemer.

En anden risiko er kompromitteret software. Hvis en angriber får adgang til en leverandørs udviklings- eller distributionsmiljø, kan skadelig kode i værste fald blive sendt ud til kunderne gennem en tilsyneladende legitim opdatering.

Virksomheden kan ikke forhindre alle hændelser hos sine leverandører. Den kan derimod begrænse, hvor meget skade en kompromitteret leverandør kan forårsage.

Vurder leverandørens betydning

Ikke alle leverandører skal gennemgå den samme kontrol. Kravene bør afhænge af, hvilke data og systemer leverandøren kan tilgå, og hvor vigtig ydelsen er for driften.

En leverandør med adgang til følsomme oplysninger eller kritiske systemer kræver en grundigere vurdering end en leverandør uden digital adgang. Virksomheden bør også undersøge, om leverandøren benytter egne underleverandører.

Risikovurderingen kan blandt andet omfatte adgangsstyring, opdateringer, backup, overvågning og beredskab. Virksomheden bør desuden vurdere, hvor hurtigt den kan fortsætte driften eller skifte løsning, hvis leverandøren bliver ramt af et længere nedbrud.

Certificeringer kan bidrage med dokumentation, men de erstatter ikke en vurdering af den konkrete ydelse og adgang.

Stil tydelige krav i kontrakten

Sikkerhedskrav bør være aftalt, før leverandøren får adgang til systemer eller data. Mundtlige forventninger er ikke tilstrækkelige, når en alvorlig hændelse skal håndteres.

Aftalen bør beskrive, hvordan leverandøren beskytter adgange, installerer opdateringer og håndterer sikkerhedshændelser. Det skal også fremgå, hvornår leverandøren skal underrette virksomheden, og hvilke oplysninger der skal leveres.

Hvis leverandøren behandler personoplysninger på virksomhedens vegne, skal parternes roller og forpligtelser efter databeskyttelsesreglerne afklares. En relevant databehandleraftale skal passe til den faktiske behandling og må ikke blot være et standardbilag, som ingen følger op på.

Kravene skal være realistiske og mulige at kontrollere. En formulering om, at leverandøren skal have ”tilstrækkelig sikkerhed”, giver begrænset værdi, hvis ingen har defineret, hvad det betyder.

Begræns og kontrollér adgangen

Leverandører skal kun have adgang til de systemer og oplysninger, der er nødvendige for opgaven. Personlige konti er bedre end fælles login, fordi aktiviteter kan knyttes til den enkelte bruger.

Adgangen bør beskyttes med multifaktorgodkendelse, og administrative handlinger skal logges, hvor det er relevant. Midlertidig adgang bør udløbe automatisk frem for at fortsætte, indtil nogen husker at lukke den.

Rettighederne skal gennemgås jævnligt. Leverandørens medarbejdere kan skifte rolle eller forlade virksomheden, uden at kunden får besked. Gamle konti og unødvendige forbindelser skaber en risiko, som er forholdsvis enkel at fjerne.

Forbered håndteringen af sikkerhedshændelser

Virksomheden og leverandøren skal kende deres roller, hvis en hændelse opstår. Der bør være navngivne kontaktpersoner og en klar proces for eskalering, undersøgelse og kommunikation.

Beredskabet kan testes gennem en øvelse, hvor parterne gennemgår et realistisk scenarie. Det kan afsløre manglende kontaktoplysninger, uklart ansvar eller oplysninger, som ikke kan fremskaffes hurtigt nok.

Når samarbejdet ophører, skal adgange lukkes, udstyr leveres tilbage, og data slettes eller returneres efter aftalen. Det bør kunne dokumenteres.

Leverandørsikkerhed er ikke en kontrol, der kun udføres ved kontraktens indgåelse. Leverandørens systemer, medarbejdere og underleverandører kan ændre sig. Derfor skal virksomhedens it-sikkerhed også omfatte løbende vurdering af de eksterne parter, som får adgang til dens vigtigste værdier.