Third-Party Risk Management Cyberrisiken der eigenen Drittanbieter in den Griff bekommen

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

Heutzutage nutzen fast alle Unternehmen IT-Drittanbieter, doch nur wenige schützen sich effektiv vor den damit verbundenen Sicherheitsvorfällen. Oft werden lediglich Security Rating Services eingesetzt, die Risiken zwar erkennen, aber kaum beseitigen können. Um diesen Risiken wirksam zu begegnen, ist ein Third-Party Risk Management-System erforderlich.

Seit Jahrzehnten sind Unternehmen im Kontext ihrer IT zahlreichen Risiken ausgesetzt – und schützen sich entsprechend. Ein Bereich jedoch ist und bleibt eine empfindliche Schwachstelle – und gerät deshalb zunehmend ins Fadenkreuz von Cyberkriminellen. Die Rede ist von Software und Dienstleistungen, die von Drittanbietern bereitgestellt werden. Laut dem aktuellen Lagebericht des Bundesamts für Sicherheit in der Informationstechnik (BSI), stellen Schwachstellen innerhalb einer Software-Lieferkette für Angreifer mittlerweile eines der zentralen Einfallstore in die IT-Systeme ihrer Opfer dar.

Strategien für eine sichere Software-Lieferkette

So funktionieren Supply-Chain-Attacks

Supply Chain entwickelt sich für deutsche Unternehmen zu einem echten Risikofaktor

Tatsächlich hat die Zahl der Angriffe hier in den vergangenen Jahren spürbar zugenommen. Laut BlueVoyants aktuellem State of Supply Chain Defense Report hat die durchschnittliche Zahl der Sicherheitsverletzungen bei Lieferketten, mit tatsächlichen negativen Folgen für die angeschlossenen Unternehmen, 2023 um ganze 26 Prozent zugelegt – auch in Deutschland. In einer kürzlich erschienenen Bitkom-Untersuchung gaben 13 Prozent der befragten deutschen IT-Entscheider zu Protokoll, im vergangenen Jahr von mindestens einem Partner oder Zulieferer ihres Unternehmens erfahren zu haben – weitere 13 Prozent sprachen einen Verdacht aus – der oder die Opfer eines Datendiebstahls, einer Industriespionage oder eines Sabotageakts geworden seien. Und dennoch: Gegenmaßnahmen, gar präventive Maßnahmen, hat – zumindest bislang – nur knapp die Hälfte ergriffen. Lediglich 48 Prozent gaben in der von BlueVoyant durchgeführten Umfrage zu Protokoll, ihre Supply Chains mindestens einmal im Monat einer Überprüfung zu unterziehen.

Security Rating Service-Systeme greifen zu kurz

Im Hinblick auf diejenigen Risiken, die Unternehmen durch Partner und Zulieferer entstehen können, kann die derzeitige Sicherheitsarchitektur dementsprechend allenfalls als ‘schwach entwickelt’ bezeichnet werden. Hinzu kommt: die wenigen Unternehmen, die hierbei Tools zur Anwendung bringen, setzen überwiegend auf Security Rating Service (SRS)-Systeme. Diese können Risiken zwar identifizieren und bewerten – nicht aber beheben, wie George Aquila von BlueVoyant in einem Blogbeitrag erklärt. Zudem weisen sie eine hohe False Positive-Rate auf.

Die häufigsten Hacking-Methoden bei Supply-Chain-Angriffen

Supply-Chain-Angriffe und die Rolle von Security Awareness

Die Folge: eine Überlastung der IT-Sicherheitsteams – der eigenen, wie derjenigen der Drittanbieter. Und – was mindestens ebenso schwer wiegt – eine Belastung der Beziehungen zu den Partnern und Zulieferern, sobald die eigene Analyse sich einmal als falsch entpuppt – was viel zu häufig der Fall ist. Zu den zentralen Schwachstellen eines SRS-Systems zählen:

• 1. viele Fehlalarme:
  Effektive Abhilfemaßnahmen erfordern präzise, validierte Daten. Sowohl die Risiken als auch die Angriffsflächen eines Unternehmens müssen genau identifiziert und bewertet werden. SRS-Systeme haben den Nachteil, dass sie sich in aller Regel auf unkuratierte Datenquellen stützen. Die Folge: viele unerwünschte False Positives, die die Aufmerksamkeit der Cyberanalysten von den tatsächlichen Bedrohungen ablenken und die Beziehungen zu den Drittanbietern unnötig belasten, wenn diese von den IT-Sicherheitsteams des Unternehmens zu Unrecht als Sicherheitsrisiko ausgemacht werden.

• 2. unscharfe Diagnosen:
  Eine Schwachstelle, die in der einen IT-Umgebung ein großes Sicherheitsrisiko darstellt, kann in einer anderen Umgebung weit weniger kritisch sein. SRS-Systeme haben hier den Nachteil, dass sie ein allgemeines Bewertungsmodell auf alle Anbieter umlegen. Spezifische Geschäftsprozesse und die kritische Bedeutung bestimmter Anbieter innerhalb einer Lieferkette können dadurch nicht berücksichtigt werden.

• 3. mangelnde Unterstützung bei der Risikobehebung:
  SRS-Systeme versorgen Unternehmen mit Risikofeststellungen, überlassen ihnen aber die Aufgabe, auf diese Informationen angemessen zu reagieren. Was fehlt ist eine Validierung der eskalierten Risiken, die Priorisierung der Feststellungen und die Entwicklung von Aktionsplänen. Handlungsanweisungen zur Risikominderung sucht man vergebens. Ebenso eine effektive Kommunikation mit den Drittparteien zur best- und schnellstmöglichen Beseitigung etwaiger Schwachstellen und Risiken.

Vorteile des Third Party Risk Management (TPRM)

Vorsicht vor Risiken durch Geschäftspartner!

Identifizieren und Beheben – Third-Party Risk Management-Systeme können mehr

Effektiv helfen kann hier mittlerweile eine neue Generation von Cyber-Risikomanagementsystemen – speziell entwickelt für die Identifizierung und Minderung von Risiken, die sich aus der Kooperation mit Drittanbietern ergeben. Die Rede ist von Third-Party Risk Management (TPRM)-Systemen. Mit ihnen lässt sich sicherstellen, dass Drittparteien: Vorschriften einhalten, vertrauliche Informationen schützen, die Sicherheit ihrer Lieferkette stärken, Störungen effektiv bewältigen sowie in Punkto Sicherheit ein hohes Leistungs- und Qualitätsniveau erreichen und beibehalten. Zu den wichtigsten Vorzügen eines TPRM-Systems zählen:

1. aktive Identifizierung und Behebung von Risiken

TPRM-Systeme helfen aktiv bei der Behebung von Schwachstellen. Sie kommunizieren direkt mit Drittanbietern und stellen so sicher, dass Schwachstellen umgehend behoben werden. Das Zeitfenster, das Angreifern für einen erfolgreichen Angriff zur Verfügung steht, kann so bedeutend reduziert werden. Durch die Bereitstellung klarer, umsetzbarer Anleitungen, können Unternehmen ihren Drittanbietern dabei helfen, Schwachstellen zu priorisieren und effektiv zu beheben.

2. individuell definierbare Risikoschwellenwerte

Eine gute Behebung erfordert eine gute Prioritätensetzung, die die individuellen Bedürfnisse und Risikotoleranzen jedes einzelnen Drittanbieters berücksichtigt. TPRM-Systeme bieten die Möglichkeit, maßgeschneiderte Risikoschwellenwerte zu erstellen, die die spezifischen Geschäftsprozesse und die kritische Bedeutung der einzelnen Lieferanten innerhalb einer Lieferkette berücksichtigen. Dadurch liefert eine TPRM-Lösung weit bessere Erkenntnisse zu Schwachstellen und Risiken bei einem Drittanbieter als eine SRS-Lösung.

3. kontinuierliche Überwachung und Updates in Echtzeit

Des Weiteren können TPRM-Systeme Drittanbieter-IT kontinuierlich und präzise überwachen – da Sicherheits-Updates hier in Echtzeit erfolgen. So wird sichergestellt, dass Zero Day-Schwachstellen und neu auftretende Bedrohungen schnell erkannt und behoben werden können. Der proaktive Ansatz verkürzt die SRS-Systemen inhärente Verzögerungszeit spürbar und bietet zudem eine robustere Verteidigung gegen Neu- und Weiterentwicklungen der Cyber-Bedrohungslandschaft.

Wer braucht Third-Party-Risk-Management?

Auch der Mittelstand braucht Risk Management für seine Partner

Fazit

Software und Dienstleistungen von Drittanbietern müssen effektiv vor unerwünschten Fremdzugriffen abgesichert werden. Unternehmen dürfen hier kein Risiko eingehen. Sie müssen lernen, die IT ihrer Partner und Zulieferer besser im Blick und im Griff zu behalten. Auch und gerade in Deutschland setzen hier bislang noch zu wenige Unternehmen auf Technologien, mit denen sich Schwachstellen, Sicherheitslücken und Risiken bei Drittanbietern nicht nur aufspüren, sondern auch effektiv beheben lassen. Hier muss sich dringend etwas ändern. Anders werden sich durch Dritte eingeschleppten Cyberrisiken nicht in den Griff bekommen lassen.

Über den Autor: Andy Fourie ist VP Sales EMEA bei BlueVoyant.

(ID:50215969)