Trust-Ratings in der Security Wie man die Zuverlässigkeit eines Anbieters beurteilt

Sicherheitsmängel bei Zulieferern und Dienstleistern dürfen Unternehmen nicht hinnehmen. Zum einen können sich die Mängel auf die eigene Datensicherheit auswirken. Zum anderen sieht der Datenschutz vor, dass ein Unternehmen Verantwortung für Datenschutzverletzungen der Auftragsverarbeiter übernehmen muss. Benötigt werden Trust Ratings für die Sicherheit bei Geschäftspartnern.

Anbieter zum Thema

FTAPI Software GmbH

TXOne Networks

Specops Software GmbH

Stellen Sie sich vor, Ihr Einkauf beschafft neue Hardware, die für ein wichtiges Kundenprojekt eingesetzt werden soll. Diese Hardware erweist sich später als mangelhaft, die Firmware hat Sicherheitslücken, die unerlaubte Zugriffe auf die Kundendaten ermöglichen könnten. Wenn die neue Hardware genutzt wird und Daten des Kunden missbraucht werden können, wird dies Ihrem Projekt und dem Ruf Ihres Unternehmens schaden können, womöglich auch Ihnen, wenn Sie für die Sicherheit im Projekt verantwortlich sind. Hätte die Stelle, die für Einkauf und Beschaffung zuständig ist, besser aufpassen müssen? Eigentlich schon, doch wie sollen Einkauf und Beschaffung wissen, ob eine Hardware sicher ist oder nicht?

Auch wenn jedes Qualitätsmanagementsystem (QMS) vorschreibt, dass Lieferanten auditiert werden müssen und Zulieferungen einen Eingangstest bestehen müssen, fehlen in vielen Unternehmen das Know-how und die Werkzeuge, um die IT-Sicherheit von eingekauften Produkten und Services zu beurteilen.

Security-Ratings

Sicherheit als als Einkaufsbedingung

Der Datenschutz macht es vor

Die möglichen Folgen von IT-Sicherheitsmängeln, die bei Lieferanten und Dienstleister bestehen, sind wahrlich keine Unbekannten. Trotzdem werden weiterhin Bestellungen getätigt und Aufträge vergeben, ohne einen Nachweis über die IT-Sicherheit der Geschäftspartner, Produkte und Services zu haben.

Im Datenschutz begegnet man diesem Problem bereits seit langem durch die Klärung der Verantwortung im Fall einer Auftragsverarbeitung. Nicht erst seit der Datenschutz-Grundverordnung (DSGVO / GDPR) bleibt der Auftraggeber in der Verantwortung, wenn der beauftragte Dienstleister eine Datenschutzverletzung im Rahmen des Auftrags begeht. Die DSGVO fordert deshalb, dass Unternehmen nur dann einen Auftrag zur Verarbeitung personenbezogener Daten vergeben, wenn der Datenschutz bei dem Auftragnehmer sichergestellt ist.

Da es auch im Datenschutz nicht einfach ist, die Eigenschaften eines Dienstleisters zuverlässig und im Vorfeld zu beurteilen, sind Datenschutz-Zertifikate heiß begehrt, bei den Auftraggebern und bei den Auftragnehmern. Unabhängig davon, wie es gegenwärtig um die Datenschutzzertifizierung nach DSGVO und die Akkreditierung der Zertifizierungsstellen steht, das Konzept der Verantwortung für den Datenschutz und die Zertifizierung als möglicher Nachweis sind gesetzliche Vorgaben, sprich: eines Tages werden diese Instrumente vollständig greifen.

Die IT-Sicherheit braucht neue Formen des Nachweises

Natürlich gibt es eine ganze Reihe an Zertifizierungen für die IT-Sicherheit, für Unternehmensprozesse, für Produkte, für Services und für Personen und deren Qualifikation. Trotzdem fließt die IT-Sicherheit und der Nachweis darüber noch deutlich zu wenig in die Einkaufsbedingungen und Lieferantenkriterien von Unternehmen ein. Einzelne Branchen wie Automobil und Banken sowie Bereiche wie Kritische Infrastrukturen (KRITIS) haben bereits bestimmte Anforderungen in Branchenstandards geschaffen, die die Zulieferer und Dienstleister einhalten müssen.

Entscheidend ist es aber, dass IT-Sicherheitsvorgaben als Einkaufsbedingung und Lieferantenkriterium branchenübergreifend und auf ganzer Breite eingeführt werden. Datenschutz und Sicherheit können nur über die ganze Lieferkette gewährleistet werden. Dabei muss auch an einzelne Komponenten gedacht werden, wie an Router, die in einem Projekt eingesetzt werden sollen.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die Technischen Richtlinie „Secure Broadband Router“ (TR-03148) veröffentlicht. Die Technische Richtlinie richtet sich vor allem an die Hersteller von Breitband-Routern und definiert ein Mindestmaß an IT-Sicherheitsmaßnahmen, die für Router im Endkundenbereich umgesetzt sein sollten.

Ziel der TR ist es damit auch, die Sicherheitseigenschaften für Verbraucherinnen und Verbraucher transparent zu machen. Dies können Hersteller durch eine geeignete Kennzeichnung am Gerät unterstützen. Das BSI wird auch für weitere Geräte des Internets der Dinge und des Smart Homes Mindestanforderungen an deren IT-Sicherheit formulieren.

Zweifellos müssen auch Produkte und Services für den B2B-Bereich entsprechende IT-Sicherheitskennzeichungen bekommen, die den Einkauf bei der Auswahl von Produkten und Diensten unterstützen.

Trust Ratings für Security müssen und werden kommen

Security-Anbieter wie Forcepoint sehen in Trust Ratings bereits einen Trend für 2019: Branchenweite Security Trust Ratings seien notwendig, wenn Unternehmen nach Zusicherungen suchen, dass Partner und Wertschöpfungsketten vertrauenswürdig und ausreichend gesichert sind. So suchten schon jetzt 58 Prozent der befragten Forcepoint-Kunden aktiv nach vertrauenswürdigen Cloud-Anbietern mit einem guten Ruf für Sicherheit.

Es wäre erfreulich, wenn es in 2019 mit solchen Trust Ratings für die Security von Lieferanten und Dienstleistern klappen würde. Ganz gleich, wie man die Security-Nachweise nennt: Es müssen Kriterien für Produkte und Services definiert werden, es müssen Zertifizierungsstellen gefunden und akkreditiert werden, nach anerkannten Richtlinien. Die Nachweise müssen als Forderungen in die Einkaufsbedingungen Eingang finden.

All dies wird Zeit brauchen. Doch der Datenschutz kann hier zeigen, wie der Weg aussieht: Über sogenannten Verhaltensregeln, wie es die DSGVO nennt, lassen sich Branchenstandards entwickeln. Akkreditierungsregeln für Zertifizierer werden verabschiedet, Zertifikate werden vergeben und die Einhaltung kontrolliert.

Die Rolle der Datenschutzaufsichtsbehörden wird das BSI übernehmen und die IT-Sicherheitskennzeichnung vorantreiben. Diese Kennzeichnungen jedoch müssen auch bei der Beschaffung eingefordert werden, bei den Lieferanten und Dienstleistern, über die Einkaufsbedingungen. Im Datenschutz wird genau das geschehen.

(ID:45761635)