Cybersecurity in digitalen Lieferketten Best Practices gegen Risiken in der Lieferkette

Anbieter zum Thema

FTAPI Software GmbH

TXOne Networks

Infosys Ltd.

Das Lieferkettengesetz besagt, dass jeder Teil der Kette geschützt sein soll – vielen Unternehmen fehlt es aber noch an einer soliden Cybersecurity-Strategie für ihre Lieferketten. Mit welchen Maßnahmen lassen sich diese Herausforderungen adressieren und die Lieferketten vor Risiken und Angriffen schützen?

Im Juni 2021 beschloss die Bundesregierung das neue Lieferkettengesetz. Die Sorgfaltspflicht der Unternehmen erstreckt sich dabei auf die gesamte Lieferkette – vom Rohstoff bis zum fertigen Verkaufsprodukt. Über dieses Gesetz hinaus ist ein weiterer wichtiger Punkt, dass digitale Supply Chains an jedem Teil der Kette geschützt sein sollten. Für viele Unternehmen stellt das Thema Security jedoch eine große Herausforderung dar – auch wenn sie sich der Risiken bewusst sind, denen sie ohne eine solide Cybersecurity-Strategie für ihre Lieferketten ausgesetzt sind.

Die Einführung der Digitalisierung als Teil des Business-Ökosystem eines Unternehmens erhöht auch die Risiken für das Unternehmen insgesamt. Daher reicht es nicht mehr aus, die interne Sicherheitshygiene nur beizubehalten. Die Risiken erstrecken sich auf das gesamte Ökosystem. Dazu gehören nehmen dem Unternehmen selbst auch Partner, Lieferanten und andere Drittanbieter. Das Risikomanagement von Drittanbietern (Third Party Risk Management, TPRM) gehört heute zu den fünf größten Herausforderungen für die Führungsetagen. Das Ergebnis: Das Risikomanagement in der Lieferkette entwickelt sich von einer Compliance- und Checkbox-Übung zu einer strategischen Initiative, um das Risiko für Unternehmen zu reduzieren.

Cyber-Risiken im Zusammenhang mit Lieferanten nehmen zu

Cyber-Angriffe sind heute weitaus ausgefeilter als in der Vergangenheit. Der Grund: Cyber-Kriminelle werden technologisch immer versierter und bösartiger. Auf der anderen Seite lagern viele Firmen aus Kostengründen viele nicht zum Kerngeschäft gehörenden Aktivitäten an externe Anbieter aus. Dies hilft ihnen zwar, wettbewerbsfähiger und flexibler zu werden, setzt sie aber auch neuen Risiken aus.

Es sind aber nicht nur die direkten Lieferanten, um die Firmen sich kümmern müssen. Sondern die Risiken können auch in anderen Teilen der Lieferkette bestehen, zum Beispiel bei Dritt- oder Viertlieferanten. Kauft ein Unternehmen beispielsweise Hardware, in der ungesicherte Komponenten eines Drittanbieters verbaut sind, haben Cyber-Kriminelle leichtes Spiel. Sie können leicht bösartigen Code über die ungeschützten Komponenten einschleusen.

Nehmen wir ein Szenario, in dem ein Einzelhandelsunternehmen einen Teil seines IT-Betriebs an einen externen Partner auslagert. Dieser gibt wiederum bestimmte Aspekte des Projekts an eine kleine lokale Organisation weiter. Jede Verletzung des Datenschutzes durch die lokale Firma könnte Auswirkungen auf das Einzelhandelsunternehmen haben – und zwar sowohl hinsichtlich der Sicherheit von Daten als auch der Reputation.

Die meisten Unternehmen sind jedoch nicht in der Lage, Risiken zu bewerten und Verstöße zu erkennen, die über die Grenzen ihres Unternehmens hinausgehen. Daher ist ein Umdenken erforderlich, wenn es um die Verbesserung der Sicherheit von Lieferanten geht. Neben der Vorgabe von Protokollen müssen Cybersicherheitsteams einen partnerschaftlichen Ansatz verfolgen. Dazu gehört, dass sie ihre Partner schulen und möglicherweise das Security-Perimeter des Unternehmens auf ihre Lieferanten ausweiten.

Best Practices gegen Risiken in der Lieferkette

Es gibt eine Reihe von Best Practices, die Unternehmen befolgen sollten, um sich vor Risiken in der Lieferkette zu schützen. Dazu gehören die folgenden Punkte.

Wasserdichte Lieferantenverträge und -richtlinien

Da die Lieferanten eine wichtige Rolle dabei spielen, die Sicherheit eines Unternehmens zu gewährleisten, ist es wichtig, alle notwendigen Schutzmaßnahmen in den Vertrag aufzunehmen. Dazu gehören beispielsweise Klauseln im Hinblick auf die Durchführung von Audits oder Fristen für die Meldung von Vorfällen. Die Vereinbarung enthält auch detaillierte Richtlinien für die Ausgliederung von Lieferanten. So muss beispielsweise vorgeschrieben werden, dass alle Unternehmensdaten vom Zulieferer vernichtet werden, nachdem sie ihren Zweck erfüllt haben. Praktiken wie die statische Codeanalyse durch Dritte, regelmäßige Sicherheitsscans lokaler und Cloud-basierter Umgebungen, DevSecOps und die Integritätsprüfung von Codes für Zulieferer sind weitere wichtige Punkte, um die Sicherheit zu gewährleisten.

Umfassendes Lieferanten-Profiling

Nicht alle Lieferanten stellen das gleiche Risiko dar. Ein Partner, der Zugang zu sensiblen Daten wie dem Produktdesign hat, stellt ein größeres Risiko dar als einer, der Verpackungsmaterial liefert. Lieferantenprofile müssen unter entsprechenden Risikogesichtspunkten bewertet werden, insbesondere wenn die Zahl der Lieferanten in die Tausende oder mehr geht. Mithilfe von künstlicher Intelligenz (KI) und Machine Learning (ML) können vorhandene Daten von Lieferanten genutzt werden, um das Risikomanagement zu verbessern.

Unterstützen kann hier eine kontextbezogene Analyse, die auf die Risikobereitschaft des Unternehmens abgestimmt ist und einen expliziten Nachweis von Richtlinien verlangt. Er muss selbstverständlich auch mit den Branchenstandards und -vorschriften übereinstimmen.

Kontinuierliche Kontrolle

Die meisten Unternehmen führen circa zweimal im Jahr eine Risikobewertung ihrer Anbieter durch, doch dies reicht angesichts der dynamischen Natur der Risiken möglicherweise nicht mehr aus. Da die Zahl der Geräte und Berührungspunkte zunimmt, wird die betriebliche Sicherheit ebenso wichtig wie Security der Informationstechnologie. In einem solchen Szenario müssen Tools zur kontinuierlichen Kontrolle von nach außen gerichteten Informationen, einschließlich des Dark Web und des internen Risikomanagement-Mechanismus integriert werden, um die Risiken zu reduzieren.

Definierte interne Prozesse für Anbieterbewertungen

Es ist sinnvoll, sämtliche Prozesse im Vorfeld zu definieren. Dazu gehören beispielsweise die Eingangs- und Ausgangskriterien für die Durchführung der Bewertungen oder Pläne, um Probleme zu beheben. Gut definierte Service Level Agreements (SLAs) für die Steuerung und Nachverfolgung tragen zusammen mit standardisierten Vorlagen dazu bei, Lieferanten ebenso wie internen Stakeholdern die Kontrollerwartungen und Risikoerklärungen zu vermitteln.

Darüber hinaus müssen interne Teams geschult werden, um ein einheitliches Verständnis der Kontrollen, der erwarteten Nachweise und der Risiken zu vermitteln. Umsetzbare datenbasierte Erkenntnisse und Anleitungen für Anbieter tragen des Weiteren zu einer besseren Synergie bei. Ein partnerschaftlicher Ansatz ist besonders konstruktiv bei der Bewertung von Drittanbietern.

Silos aufbrechen

Heutzutage haben Cyber-Security-, Rechts-, Beschaffungs- und Risikoteams eine isolierte Sicht auf die Anbieter. Häufig sind die Daten nicht übergreifend verfügbar und werden somit auch nicht gemeinsam genutzt. Unternehmen müssen zu einem einheitlichen und integrierten Ansatz für das Lebenszyklusmanagement von Anbietern übergehen. Dies kann dazu beitragen, risikobehaftete Organisationen auszusortieren und sich auf die Anbieter zu konzentrieren, die die Anforderungen des Unternehmens erfüllen.

Der Angriff auf SolarWinds im Jahr 2020 war der erste von vielen Angriffen auf die Lieferkette, die im Jahr 2021 folgten – und damit deutlich machten, dass Lieferketten ein attraktives Ziel für Cyber-Kriminelle sind. Im August 2021 warnte die Agentur der Europäischen Union für Cybersicherheit (ENISA) in einem Bericht, dass die Zahl der Cyber-Angriffe auf die Lieferkette innerhalb eines Jahres um das Vierfache ansteigen dürfte. Die Lieferkettenlandschaft wird sich kontinuierlich weiterentwickeln. Unternehmen müssen neue Wege gehen, um sich vor den Schwachstellen zu schützen, die sich aus den kontinuierlichen Veränderungen ergeben. Nur dann werden sie ihre Supply Chains schützen und erfolgreich am Markt bestehen.

Über den Autor: Vishal Salvi ist Chief Information Security Officer & Head of Cybersecurity Practice bei Infosys.

(ID:48667113)