Third Party Risk Management So behalten Unternehmen Kontrolle über ihre IKT-Drittanbieter

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

Datenabflüsse und Ausfälle bei Drittanbietern nehmen zu und bedrohen die Resilienz von Unternehmen. Wer Sicherheit gewährleisten will, braucht ein strukturiertes Third Party Risk Management, das Selektion, Verträge, Onboarding, Monitoring und Offboarding abdeckt – abgestimmt auf DORA, NIS2 und die steigenden regulatorischen Anforderungen.

„Abfluss von Kundendaten nach Angriff auf den Dienst eines Drittanbieters“, „Systemausfall durch fehlerhaftes update“. Die Häufigkeit solcher oder ähnlicher Ereignisse nimmt zu. Zusätzlich stellt die stetige Veränderung des geopolitischen Lagebilds Organisationen vor zusätzliche Herausforderungen, gepaart mit dem wachsamen Auge staatlicher Regulierung auf den Einsatz von IKT-Drittparteien. Ein (pro)aktives Management wird gefordert - die auslagernde Organisation muss stets führend im Prozess sein.

Innovationsfähigkeit, Geschwindigkeit und Flexibilität - nur 3 Argumente, Leistungen der eigenen Wertschöpfungskette „mal eben“ an Dritte auszulagern. Eine methodisch fundierte Bewertung der Risiken wird „hintenangestellt“. Das Auslagerungsregister, wenn es überhaupt existiert, umfasst nur rudimentäre Informationen, Prozesse für die fortlaufende Bewertung der Inhalte existieren nicht. Ein fortlaufendes Mapping auf kritische oder wichtige Funktionen innerhalb der auslagernden Organisation wird ebenso vernachlässigt. Wie kritisch also die Leistungen des „Entwicklers irgendwo am schwarzen Meer“ ist oder ob die von einem Managed Security Service Provider im Rahmen des Service-Onboardings bereitgestellte „Intellectual Property“ in Form von Detection-Rulesets effektiv vor aktuellen, sektorspezifischen Angriffen schützen, kann oft nur unzureichend sicher beantwortet werden.

Vorteile des Third Party Risk Management (TPRM)

Vorsicht vor Risiken durch Geschäftspartner!

Ziel muss ein, ein wirksames System zum Third-Party-Risiko-Management (TPRM) aufzubauen, dessen Inhalte jederzeit auch für fachlich versierte Dritte (z. B. eigene Kunden, C-Level, Revisoren, Cyberversicherungen, Wirtschaftsprüfer, sektorspezifische staatliche Aufsicht) nachvollzierbar sind. Das in diesem Artikel beschriebene Vorgehen orientiert sich an den Inhalten des Digital Operational Resilience Act (DORA) und seinen Level 2 Dokumenten, kann aber auch sektorübergreifend (Stichwort NIS2, also up- und down-stream) angewendet werden bzw. als Orientierung dienen. Um den tatsächlichen Business-Impact adäquat zu berücksichtigen, sollte die Perspektive aus dem ISMS (3+n Schutzziele) und dem BCMS (Resilienz, RPO und RTO) erfolgen. Entsprechende Tools am Markt unterstützen bei der Implementierung bzw. Betrieb eines TPRM; initial müssen aber Grundlagen für deren zielgerichteten Einsatz geschaffen werden. In einem vorbereitenden Schritt müssen dazu die kritischen oder wichtigen Funktionen der eigenen Organisation initial einmalig bzw. später fortlaufend bewertet werden und bekannt sein.

In der Operationalisierung empfiehlt es sich, zur nachhaltigen Sicherstellung der Wirksamkeit eines TPRM, einen fortlaufenden Prozess mit beispielsweise folgenden Bestandteilen aufzusetzen:

• (Re-)Planung & Selektion

• Vertrags-Gestaltung, -Verhandlung & Anpassung

• Onboarding

• Fortlaufendes Monitoring

• Offboarding

Code-Bibliotheken werden zum Sicherheitsrisiko

Sicherheitslücken in Drittanbieter-Code gefährden Unternehmen

(Re-)Planung & Selektion

Kein Management-System ohne Ziel und Planung. Angefangen beim Top-Management-Support, über klar definierte Verantwortlichkeiten (Stichworte Prozess-, Asset- bzw. Riskowner) bis hin zum zyklischen Hinterfragen der implementierten Strukturen. Das gilt insbesondere auch für die Klassifizierung von IKT-Drittparteien, abhängig von der Kritikalität deren Leistung für die auslagernde Organisation. Davon abhängig ist es ratsam, möglichst früh die dahingehend differenten Bewertungskriterien und Kontrollmechanismen für die spätere Phase „Fortlaufendes Monitoring“ zu definieren. Um eine zielgerichtete Selektion von IKT-Drittanbietern zu ermöglichen, müssen Leistungsumfang und Anforderungen in Form eines standardisierten Kriterienkatalogs erarbeitet und durchgängig angewendet werden. Bereits in dieser Phase muss auch bekannt sein, auf welche Subdienstleister selektierte IKT-Drittparteien wiederum ihrerseits zurückgreifen und ob die definierten Kontrollmechanismen durchgängig angewendet werden können. Hat der Subdienstleister bereits ein TPRM, das diese Informationen zuverlässig und widerspruchsfrei bereitstellt? Im IT-Kontext muss die Lieferkette „bis zum Blech“ jederzeit lückenlos nachvollziehbar und belegbar sein, z. B. nach welchem Standard relevante Datenträger bei einem SaaS-Anbieter entsorgt werden, an welcher postalischen Adresse werden welche Daten vorgehalten? Auch wenn es seltsam klingen mag: Die Selektion beinhaltet neben der Planung der Onboarding-Phase auch bereits die Erarbeitung einer Exit-Strategie inklusive Planung des Offboarding.

Vertrags-Gestaltung, -Verhandlung & Anpassung

Wie steht es tatsächlich um die zugesicherte Transparenz und deren schriftliche Fixierung? Um potenzielle Konflikte in dieser Phase zu vermeiden, gilt es die grundlegende Erwartungshaltung dahingehend gegenüber dem IKT-Drittanbieter möglichst früh deutlich zu machen. Herausfordernd sind erfahrungsgemäß beispielsweise uneingeschränkte Prüfrechte, Leistungsüberwachung oder Zugriff auf Informationen, die seitens des IKT-Drittanbieters als intern klassifiziert sind. Festgehalten werden muss auch, in welcher Art und Umfang IKT-Drittanbieter bei Auditierungen und Prüfungen unterstützen – und wer letztendlich für deren Aufwände aufkommt. Unabhängig der objektiv erarbeiteten Fakten (Verweise auf hochwertige Evidenzquellen als Vertragsbestandteil) ist ratsam, auch subjektive Eindrücke „ist die IKT-Drittpartei tatsächlich in der Lage, meine Organisation über die Laufzeit adäquat zu unterstützen?“ einfließen zu lassen.

Third-Party Risk Management

Cyberrisiken der eigenen Drittanbieter in den Griff bekommen

Onboarding

Im Idealfall ist diese Phase ein Abarbeiten standardisierter Tasks, die im Rahmen der Planung definiert wurden; inclusive dedizierter Maßnahmen, sollten diese Tasks fehlschlagen.

Fortlaufendes Monitoring

In diese Phase fallen typischerweise die Meldung von Incidents oder ein SLA-Monitoring inclusive Sanktionierung bei Schlechtleistung – festgelegt in der Vertrags-Gestaltung. Je nach Klassifizierung des IKT-Drittanbieters muss ein Service-Review im Intervall von 1-12 Monaten mit vorab abgestimmten, an objektiven Kriterien ausgerichteten Inhalten durchgeführt werden. In diese Phase fällt auch das regelmäßige Prüfen der Kritikalität der Leistung von IKT-Drittanbieter für die auslagernde Organisation, idealerweise auch mit Einbeziehung der aktuellen Bedrohungslage bzw. dem geopolitischen Lagebild.

Offboarding

Analog der Onboarding-Phase gilt es auch hier, standardisierte Tasks umzusetzen. Je nach Klassifizierung des IKT-Drittanbieters muss der individuelle Offboarding-Prozess im Intervall von 1-3 Jahren zumindest im Rahmen einer Simulation (tabletop) tatsächlich überprüft werden.

Fazit

Der Aufbau und wirksame Betrieb eines TPRM-Systems ist kein „Schnellschuss“. Es macht daher Sinn, sich risikoorientiert in Stufen dem 100%-Ziel zu nähern und auch auf existierende Managementsysteme innerhalb der auslagernden Organisation zurückzugreifen. Die aufgezeigten exemplarischen Prozessschritte haben einen hohen Grad der Verzahnung mit starkem Fokus auf Planung & Selektion. Eine gesunde Portion Demut und ständiges Hinterfragen unterstützt bei der Zielerreichung.

Third-Party Breach Report

Globaler Anteil an Lieferkettenangriffen steigt

(ID:50526234)