Bedste praksis for tredjepartsrisikovurdering i 2023

Vurdering af cybersikkerhedsrisikoen fra tredjepartsleverandører og tjenesteudbydere er tidskrævende, operationelt kompleks og ofte fyldt med fejl.

Du skal holde styr på de anmodninger, du sender ud, jagte leverandører, der ikke har svaret, og sikre, at de svarer rettidigt og præcist, når de gør det. Sammen med spørgeskemaer til risikovurdering af leverandører har organisationer brug for en standardiseret informationsindsamlingsproces, der nøjagtigt vurderer leverandørernes eksterne sikkerhedsstilling i forhold til branchestandarder, sikkerhedspolitikker og etableret sikkerhedspraksis.

Ethvert robust tredjeparts risikostyringsprogram skal have etablerede processer og retningslinjer, der omfatter processen med onboarding af leverandører, indsamling af data, gennemgang af svar og anmodning om afhjælpning.

Den gode nyhed er, at der er software, der kan strømline processen. UpGuard Vendor Risk kan hjælpe dig med at overvåge dine leverandørers eksterne sikkerhedsstilling i realtid, automatisere sikkerhedsvurderinger og prioritere og afhjælpe risici.

Uden en klar vurderingsproces bliver CISO'er og leverandørrisikostyringsteams belastet med konstante e-mails og flere regneark, der bruges til at indsamle, analysere og afhjælpe problemer på tværs af forsyningskæden.

Og som du ved, når teams bliver overrendt i operationel kompleksitet, falder due diligence til vejkanten, højrisikoleverandører ignoreres, og effektiviteten af dit sikkerhedsprogram mindskes.

For at hjælpe dig med at udvikle dine processer til risikovurdering af leverandører har vi sammensat en liste over fem bedste fremgangsmåder til gennemførelse af spørgeskemaer til risikovurdering af tredjeparter og leverandørstyring.

Få mere at vide om, hvordan UpGuard forenkler Vendor Risk Management >

Forstå din portefølje af tredjepartsleverandører

Før du kan begynde at sende kreditorvurderinger, skal du have en nøjagtig oversigt over alle dine tredjepartsrelationer. Uden en sådan er det næsten umuligt nøjagtigt at måle niveauet af cyberrisiko, som dine leverandører indfører.

Det er vigtigt at forstå, at sikkerhedshændelser, der involverer leverandører, kan føre til betydelige databrud, selvom de ikke håndterer følsomme data. Som vi så med Target, kan selv en ikke-teknisk leverandør som en HVAC-udbyder føre til eksponering af mere end 110 millioner forbrugeres kreditkort- og personlige data.

Husk, at leverandører ikke nødvendigvis behøver at have de samme informationssikkerhedsforanstaltninger på plads som dig. Du skal bare være tryg ved, at de har tilstrækkelige datasikkerheds- og databeskyttelseskontroller på plads.

Download din skabelon til risikovurdering af leverandører >

Et godt udgangspunkt er at investere i et automatiseret sikkerhedsovervågningsværktøj, som UpGuard Vendor Risk, som kan holde styr på og løbende overvåge dine tredjeparts- og fjerdepartsleverandørers kritiske sikkerhedskontroller. Disse værktøjer kan ikke kun hjælpe dig med at kommunikere med leverandører, men de kan også hjælpe med at skalere dit leverandørrisikostyringsprogram ved at hjælpe dig med at bestemme, hvilke leverandører der udgør den største risiko via automatiserede, altid opdaterede sikkerhedsvurderinger.

Få flere oplysninger om, hvordan du reducerer virkningen af brud fra tredjeparter.

Find en skabelon til kreditorspørgeskema, der fungerer for dig

Når du har en oversigt over dine leverandører, skal du beslutte, hvilken type spørgeskema til styring af leverandørrisiko du vil bruge. Dette kan være et af de bedste spørgeskemaer til leverandørvurdering eller et brugerdefineret spørgeskema.

Standardiserede spørgeskemaer er gode, hvis du har brug for at overholde regler som GDPR, LGPD, CCPA osv. eller specifikke branchetendenser som ISO 27001 og NIST SP 800-171. Nogle organisationer har dog brug for dybere TPRM-indsigt og udvikler brugerdefinerede spørgeskemaer.

Problemet med brugerdefinerede spørgeskemaer er, at de kan være vanskelige at få udfyldt, da leverandører ofte ønsker at udnytte tidligere spørgeskemaer til at besvare spørgeskemaer.

Uanset hvilket spørgeskema du bruger, skal du være opmærksom på, at kreditorer skal udfylde spørgeskemaer meget. Tænk på at investere i et værktøj, der gør det nemt for leverandører at administrere deres svar.

Hvis du ikke er sikker på, hvor du skal starte, omfatter populære skabeloner til risikovurdering af leverandører:

  • CIS Critical Security Controls (CIS First 5/CIS Top 20): CIS-kontrollerne til effektivt cyberforsvar er et prioriteret sæt handlinger, der danner et dybdegående sæt af specifikke og handlingsrettede bedste praksisser for at afbøde de mest almindelige cyberangreb. CIS-kontrollerne kortlægger mange store overholdelsesrammer såsom NIST Cybersecurity Framework, NIST 800-53, ISO 27000-serien og regler som PCI-DSS, HIPAA, NERC CIP og FISMA.
  • Consensus Assessments Initiative Questionnaire (CAIQ): Consensus Assessments Initiative Questionnaire (CAIQ) er en sikkerhedsvurdering leveret af Cloud Security Alliance (CSA), en førende organisation, der er dedikeret til at definere og øge bevidstheden om bedste praksis for sikker cloud computing. CAIQ hjælper cloud-forbrugere og revisorer med at vurdere datacentres og cloud-udbyderes informationssikkerhedskapaciteter.

  • Higher Education Community Vendor Assessment Tool (HECVAT/HECVAT Lite): Higher Education Community Vendor Assessment Tool (HECVAT) er en skabelon til sikkerhedsvurdering, der generaliserer spørgsmål om informationssikkerhed og databeskyttelse på videregående uddannelser samt spørgsmål vedrørende cloud-tjenester for konsistens og brugervenlighed.

    Lær, hvordan du overholder HECVAT->

  • ISO 27001 spørgeskema: ISO/IEC 27001 er en af de mest kendte og velanvendte informationssikkerhedsstandarder og er en del af ISO/IEC 27000-familien af standarder. Den udgives af Den Internationale Standardiseringsorganisation (ISO) og Den Internationale Elektrotekniske Kommission (IEC).
  • NIST SP 800-171:NIST Special Publication 800-171, Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations (NIST SP 800-171) giver føderale agenturer et sæt retningslinjer, der er designet til at sikre, at kontrollerede uklassificerede oplysninger (CUI) forbliver fortrolige, tilgængelige og uændrede i ikke-føderale systemer og organisationer. Ved at overholde NIST SP 800-171 opfylder du også størstedelen af kriterierne for NIST SP 800-53, og overholdelse af NIST SP 800-53 er en vigtig del af FISMA- og FedRAMP-overholdelse.
  • Standardiseret spørgeskema til informationsindsamling (SIG/SIG-Lite): Spørgeskemaet til standardiseret informationsindsamling (SIG) bruges til at udføre en indledende vurdering af leverandører og indsamle oplysninger for at bestemme, hvordan sikkerhedsrisici håndteres på tværs af 18 forskellige risikodomæner. SIG er udviklet af Shared Assessments og er et holistisk værktøj til risikovurderinger af cybersikkerhed, IT, privatliv, datasikkerhed og forretningskontinuitet.
  • VSA-spørgeskema (VSA): Vendor Security Alliance (VSA)-spørgeskemaet blev oprettet af en koalition af virksomheder, der er forpligtet til at forbedre internetsikkerheden. I modsætning til andre spørgeskemaer blev VSA-vurderingsprocessen oprettet med leverandøren i tankerne. Dens fokus er at eliminere irrelevante spørgsmål, hvilket reducerer den tid, det tager for InfoSec og sikkerhedsteams at udfylde spørgeskemaet.
  • Payment Card Industry Data Security Standards (PCI DSS) Spørgeskema: Payment Card Industry Data Security Standards (PCI-DSS) er en informationssikkerheds- og datasikkerhedsstandard for organisationer, der håndterer mærkevarekreditkort fra de store kortordninger.

Læs vores fulde guide til de bedste spørgeskemaer til leverandørvurdering >

Se denne video for at lære, hvordan UpGuard strømliner arbejdsgange for risikovurdering.

Få en rundvisning i UpGuards risikovurderingsfunktioner >

Hold styr på, hvad du sender ud

Tidligere var det nemt for spørgeskemaer at gå tabt i frem og tilbage salven mellem indbakkerne eller simpelthen forlægge udfyldte Excel-filer. Derfor er det vigtigt at udvikle et centraliseret system, hvor du løbende kan overvåge og gennemgå de fremskridt, leverandørerne gør på spørgeskemaer.

>

God software til styring af leverandørrisici vil give leverandører en enkel måde at komme i kontakt med dit team om eventuelle bekymringer på, samt at fremlægge yderligere beviser eller bevis for deres sikkerhedskontrol.

Derudover anbefaler vi, at du sætter en klar deadline og en automatiseret opfølgning, så du og leverandøren ved præcis, hvad du kan forvente og hvornår.

Få mere at vide om, hvordan du kommunikerer tredjepartsrisici til interessenter >

Brug teknologi til at strømline processer

Spørgeskemaer til risikovurdering er ikke nye. Du har sandsynligvis sendt spørgeskemaer ud via e-mail og administreret flere Excel-regneark for at tjekke for svar. Teknologi som UpGuard Vendor Risk kan dog hjælpe dig med at skalere dine processer op ved at give computere mulighed for at holde styr på tingene for dig.

Et godt værktøj vil give dig og dine tredjepartsleverandører:

  • En måde at give svar, beviser og stille eventuelle spørgsmål, de måtte have i et centraliseret miljø
  • En måde at uddelegere svar til nye personer i organisationen, så den rigtige person kan besvare hvert spørgsmål.
  • Midler til løbende overvågning (eller løbende overvågning) af alle risikoniveauer under due diligence-processer og derefter.
  • En måde at afhjælpe og diskutere problemer, gennemgå beviser og bede om yderligere oplysninger eller bevis for specifikke spørgsmål, f.eks. hvilke politikker for adgangskontrol har du på plads?
Din risikostyringsstrategi fra tredjepart skal være i stand til at identificere potentielle risici for nye leverandører, før du onboarder. Overvågning af due diligence-risici bør være en primær målestok i leverandørrisikostyringsprocesser.

Jo bedre værktøjets anvendelighed er, jo mere tid kan du bruge på at afhjælpe risici hos leverandører i stedet for at fokusere på dataindsamlingen.

For at opnå et niveau af tredjepartsstyring, der vinder nye partnerskaber, skal du kigge efter automatiseringsmuligheder inden for områder af en risikostyringsramme, der er kendt for deres ineffektivitet og potentielt negative indvirkning på serviceniveauaftaler (SLA'er). Disruptorer som at bruge Excel-regneark til spørgeskemastyring, operationelle risici og generelt dårlig styring af leverandørlivscyklus belaster leverandørrelationer og kræver negativ opmærksomhed fra den øverste ledelse.

Få mere at vide om, hvordan du administrerer risici for tjenesteudbydere >

UpGuard indeholder mange funktioner, der er designet til at komprimere risikovurderingens livscyklus, herunder AIEnhace - AI-teknologi, der hjælper leverandører med at producere klare og omfattende svar fra et input, der består af enten et groft skrevet udkast eller punktopstillinger.

AIEnhance af UpGuard

Se videoen nedenfor for at lære, hvordan UpGuard håndterer almindelige frustrationer i leverandørforhold.

Stol på, men bekræft

Bare fordi du har modtaget et udfyldt sikkerhedsspørgeskema, betyder det ikke, at dit arbejde er færdigt. Det næste trin er at verificere risikoprofiler for at validere, at det, de siger, er sandt. Selvom du ikke vil være i stand til at gøre dette for interne sikkerhedskontroller, er der en masse eksternt synlige datapunkter, du verificerer.

UpGuards automatiserede scanning og sikkerhedsvurderinger kontrollerer for:

  • Modtagelighed for man-in-the-middle-angreb
  • Usikre SSL/TLS-certifikater
  • SPF-, DKIM- og DMARC-indstillinger
  • HTTP Streng Transport Sikkerhed (HSTS)
  • Risiko for e-mail-spoofing og phishing
  • Sårbarheder
  • Modtagelighed for malware
  • Netværkssikkerhed
  • Unødvendige åbne administration-, database-, app-, e-mail- og fildelingsporte
  • Eksponering for kendte databrud og datalækager
  • Sårbar software
  • HTTP-tilgængelighed
  • Sikker cookie-konfiguration

Til vurdering af dine leverandørers informationssikkerhedskontroller kan UpGuard Vendor Risk minimere den tid, din organisation bruger på at vurdere relaterede og tredjeparts informationssikkerhedskontroller ved at automatisere leverandørspørgeskemaer og levere leverandørspørgeskemaskabeloner.

Vi kan også hjælpe dig med øjeblikkeligt at benchmarke dine nuværende og potentielle leverandører i forhold til deres branche, så du kan se, hvordan de klarer sig.

Til selvevaluering kan UpGuard BreachSight overvåge din organisation for 70+ sikkerhedskontroller ved at give en enkel, letforståelig cybersikkerhedsvurdering og automatisk registrere lækkede legitimationsoplysninger og dataeksponeringer i S3-buckets, Rsync-servere, GitHub-lagre og mere.

Vores ekspertise er blevet omtalt i bl.a. The New York Times, The Wall Street Journal, Bloomberg, The Washington Post, Forbes, Reuters og TechCrunch.

Du kan læse mere om, hvad vores kunder siger på Gartner-anmeldelser.