Trust-Ratings in der Security

Wie man die Zuverlässigkeit eines Anbieters beurteilt

| Autor / Redakteur: Oliver Schonschek / Peter Schmitz

IT-Sicherheitsvorgaben müssen als Einkaufsbedingung und Lieferantenkriterium branchenübergreifend und auf ganzer Breite eingeführt werden.
IT-Sicherheitsvorgaben müssen als Einkaufsbedingung und Lieferantenkriterium branchenübergreifend und auf ganzer Breite eingeführt werden. (© strichfiguren.de – stock.adobe.com)

Sicherheitsmängel bei Zulieferern und Dienstleistern dürfen Unternehmen nicht hinnehmen. Zum einen können sich die Mängel auf die eigene Datensicherheit auswirken. Zum anderen sieht der Datenschutz vor, dass ein Unternehmen Verantwortung für Datenschutzverletzungen der Auftragsverarbeiter übernehmen muss. Benötigt werden Trust Ratings für die Sicherheit bei Geschäftspartnern.

Stellen Sie sich vor, Ihr Einkauf beschafft neue Hardware, die für ein wichtiges Kundenprojekt eingesetzt werden soll. Diese Hardware erweist sich später als mangelhaft, die Firmware hat Sicherheitslücken, die unerlaubte Zugriffe auf die Kundendaten ermöglichen könnten. Wenn die neue Hardware genutzt wird und Daten des Kunden missbraucht werden können, wird dies Ihrem Projekt und dem Ruf Ihres Unternehmens schaden können, womöglich auch Ihnen, wenn Sie für die Sicherheit im Projekt verantwortlich sind. Hätte die Stelle, die für Einkauf und Beschaffung zuständig ist, besser aufpassen müssen? Eigentlich schon, doch wie sollen Einkauf und Beschaffung wissen, ob eine Hardware sicher ist oder nicht?

Auch wenn jedes Qualitätsmanagementsystem (QMS) vorschreibt, dass Lieferanten auditiert werden müssen und Zulieferungen einen Eingangstest bestehen müssen, fehlen in vielen Unternehmen das Know-how und die Werkzeuge, um die IT-Sicherheit von eingekauften Produkten und Services zu beurteilen.

Sicherheit als als Einkaufsbedingung

Security-Ratings

Sicherheit als als Einkaufsbedingung

01.11.17 - Sicherheitskriterien spielen bei der Auswahl von IT-Lösungen eine große Rolle. Doch wie kann man die IT-Sicherheit bei einem Angebot bewerten? Professionelle und transparente Security-Ratings mit ihren Kennzahlen können bei der Lösungssuche und Anbieterauswahl helfen. So können Unternehmen schon vor der Angebotsphase die für sie optimal passende Shortlist erstellen. lesen

Der Datenschutz macht es vor

Die möglichen Folgen von IT-Sicherheitsmängeln, die bei Lieferanten und Dienstleister bestehen, sind wahrlich keine Unbekannten. Trotzdem werden weiterhin Bestellungen getätigt und Aufträge vergeben, ohne einen Nachweis über die IT-Sicherheit der Geschäftspartner, Produkte und Services zu haben.

Im Datenschutz begegnet man diesem Problem bereits seit langem durch die Klärung der Verantwortung im Fall einer Auftragsverarbeitung. Nicht erst seit der Datenschutz-Grundverordnung (DSGVO / GDPR) bleibt der Auftraggeber in der Verantwortung, wenn der beauftragte Dienstleister eine Datenschutzverletzung im Rahmen des Auftrags begeht. Die DSGVO fordert deshalb, dass Unternehmen nur dann einen Auftrag zur Verarbeitung personenbezogener Daten vergeben, wenn der Datenschutz bei dem Auftragnehmer sichergestellt ist.

Da es auch im Datenschutz nicht einfach ist, die Eigenschaften eines Dienstleisters zuverlässig und im Vorfeld zu beurteilen, sind Datenschutz-Zertifikate heiß begehrt, bei den Auftraggebern und bei den Auftragnehmern. Unabhängig davon, wie es gegenwärtig um die Datenschutzzertifizierung nach DSGVO und die Akkreditierung der Zertifizierungsstellen steht, das Konzept der Verantwortung für den Datenschutz und die Zertifizierung als möglicher Nachweis sind gesetzliche Vorgaben, sprich: eines Tages werden diese Instrumente vollständig greifen.

Die IT-Sicherheit braucht neue Formen des Nachweises

Natürlich gibt es eine ganze Reihe an Zertifizierungen für die IT-Sicherheit, für Unternehmensprozesse, für Produkte, für Services und für Personen und deren Qualifikation. Trotzdem fließt die IT-Sicherheit und der Nachweis darüber noch deutlich zu wenig in die Einkaufsbedingungen und Lieferantenkriterien von Unternehmen ein. Einzelne Branchen wie Automobil und Banken sowie Bereiche wie Kritische Infrastrukturen (KRITIS) haben bereits bestimmte Anforderungen in Branchenstandards geschaffen, die die Zulieferer und Dienstleister einhalten müssen.

Entscheidend ist es aber, dass IT-Sicherheitsvorgaben als Einkaufsbedingung und Lieferantenkriterium branchenübergreifend und auf ganzer Breite eingeführt werden. Datenschutz und Sicherheit können nur über die ganze Lieferkette gewährleistet werden. Dabei muss auch an einzelne Komponenten gedacht werden, wie an Router, die in einem Projekt eingesetzt werden sollen.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die Technischen Richtlinie „Secure Broadband Router“ (TR-03148) veröffentlicht. Die Technische Richtlinie richtet sich vor allem an die Hersteller von Breitband-Routern und definiert ein Mindestmaß an IT-Sicherheitsmaßnahmen, die für Router im Endkundenbereich umgesetzt sein sollten.

Ziel der TR ist es damit auch, die Sicherheitseigenschaften für Verbraucherinnen und Verbraucher transparent zu machen. Dies können Hersteller durch eine geeignete Kennzeichnung am Gerät unterstützen. Das BSI wird auch für weitere Geräte des Internets der Dinge und des Smart Homes Mindestanforderungen an deren IT-Sicherheit formulieren.

Zweifellos müssen auch Produkte und Services für den B2B-Bereich entsprechende IT-Sicherheitskennzeichungen bekommen, die den Einkauf bei der Auswahl von Produkten und Diensten unterstützen.

Trust Ratings für Security müssen und werden kommen

Security-Anbieter wie Forcepoint sehen in Trust Ratings bereits einen Trend für 2019: Branchenweite Security Trust Ratings seien notwendig, wenn Unternehmen nach Zusicherungen suchen, dass Partner und Wertschöpfungsketten vertrauenswürdig und ausreichend gesichert sind. So suchten schon jetzt 58 Prozent der befragten Forcepoint-Kunden aktiv nach vertrauenswürdigen Cloud-Anbietern mit einem guten Ruf für Sicherheit.

Es wäre erfreulich, wenn es in 2019 mit solchen Trust Ratings für die Security von Lieferanten und Dienstleistern klappen würde. Ganz gleich, wie man die Security-Nachweise nennt: Es müssen Kriterien für Produkte und Services definiert werden, es müssen Zertifizierungsstellen gefunden und akkreditiert werden, nach anerkannten Richtlinien. Die Nachweise müssen als Forderungen in die Einkaufsbedingungen Eingang finden.

All dies wird Zeit brauchen. Doch der Datenschutz kann hier zeigen, wie der Weg aussieht: Über sogenannten Verhaltensregeln, wie es die DSGVO nennt, lassen sich Branchenstandards entwickeln. Akkreditierungsregeln für Zertifizierer werden verabschiedet, Zertifikate werden vergeben und die Einhaltung kontrolliert.

Die Rolle der Datenschutzaufsichtsbehörden wird das BSI übernehmen und die IT-Sicherheitskennzeichnung vorantreiben. Diese Kennzeichnungen jedoch müssen auch bei der Beschaffung eingefordert werden, bei den Lieferanten und Dienstleistern, über die Einkaufsbedingungen. Im Datenschutz wird genau das geschehen.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Kontaktieren Sie uns über: support.vogel.de/ (ID: 45761635 / Compliance und Datenschutz )