Die „ “-Angriffe auf SolarWinds haben die Aufmerksamkeit praktisch aller Akteure in der Cybersicherheits-Community auf sich gezogen. Es gibt zahlreiche Chief Information Security Officers (CISOs), die zweifellos äußerst dankbar sind, dass ihre Organisation nicht angegriffen wurde. Doch wer kann schon mit Sicherheit sagen, dass er nicht Opfer des nächsten großen Angriffs auf die Lieferkette werden wird? Denn es wird ein nächstes Mal geben.
Unabhängig davon, ob es sich um Software von Drittanbietern, Hardware oder Dienstleister handelt: Unternehmen verlassen sich nach wie vor zu sehr auf Vertrauen und manuelle, auf Tabellenkalkulationen basierende Ansätze, um die Sicherheit im Hinblick auf Cyberrisiken zu gewährleisten. Als Branche müssen wir eine bessere Vorgehensweise entwickeln – eine, die aussagekräftige, quantitative Daten mit seriösen Bestätigungen und Bewertungen durch unabhängige Dritte verbindet.
Die Herausforderung wird natürlich noch größer, wenn es um die durchgängige Steuerung von Lieferketten geht. Können Sie für die Sicherheitsmaßnahmen der Subunternehmer Ihrer Subunternehmer bürgen? Globale Organisationen haben seit Jahren damit zu kämpfen, und es gibt keine einfachen Antworten. Wir können jedoch sagen, dass bewährte Verfahren zur Sicherheit in der Lieferkette stets mit Transparenz beginnen sollten – sowohl hinsichtlich Ihrer eigenen IT-Ressourcen als auch hinsichtlich derjenigen Ihrer Partner.
Nur mit einem solchen Ansatz, der sich auf das Wesentliche konzentriert, können Sie beginnen, jene grundlegenden Fragen zu beantworten, die zur Berechnung des Risikos beitragen: Wer sind Ihre Lieferanten? Wie hoch ist ihr Sicherheitsreifegrad? Auf welche Daten haben sie Zugriff? Und wie nutzen sie es?
Das Problem mit den Lieferketten
Die Komplexität moderner Lieferketten kann dazu führen, dass die Bemühungen im Bereich des Risikomanagements sehr schnell außer Kontrolle geraten. Es ist nicht gerade hilfreich, dass viele Unternehmen jahrzehntelang manuelle Prozesse und Audits auf der Grundlage allzu vereinfachter Fragen nutzten, um das Lieferantenrisiko zu berechnen (z. B.: „Verfügen Sie über ein Programm zur Verwaltung von Patches für den „ “?“). Dieser Ansatz kann zu binären Antworten oder zu äußerst subjektiven Antworten führen, die durch keinerlei Form der Bestätigung durch Dritte überprüft werden können.
Nehmen Sie beispielsweise die Folgen des SolarWinds-Vorfalls. Einige Unternehmen fragten ihre Lieferanten: „Haben Sie die betroffenen Versionen von SolarWinds Orion in Ihrer Umgebung eingesetzt?“ Die dadurch hervorgerufene „Ja/Nein“-Antwort reicht jedoch nicht aus, um wichtige Risikoberechnungen darauf zu stützen. Sollte der betreffende Lieferant über unzureichende Prozesse im Bereich des Anlagen- und Anwendungsverwaltungsmanagements verfügen, könnte er die Antwort möglicherweise nicht einmal mit Sicherheit benennen. Und was nützt eine Zusicherung, die auf unvollständigen oder lückenhaften Daten beruht?
Wie wir noch erläutern werden, stellten etablierte Unternehmen eher offene Fragen (z. B.: Wie geht Ihr Unternehmen bei der Bedrohungsmodellierung vor? Beschreiben Sie Ihren Ansatz beim Patch-Management.) Durch die Beantwortung dieser ganzheitlicheren Fragen können Sie sich ein wesentlich umfassenderes Bild von der Sicherheit Ihrer Lieferanten verschaffen.
Darüber hinaus haben einige Unternehmen versucht, über den manuellen, auf Tabellenkalkulationen basierenden Ansatz hinauszugehen, und technische Lösungen eingeführt, mit denen sich die Sicherheitslage von Lieferanten genauer ermitteln lässt. Viele Dienste werden jedoch lediglich eine unvollständige „Outside-in“-Sicht auf Lieferanten vermitteln, die auf einer begrenzten Anzahl von Kriterien und einer subjektiven Bewertung basiert. Sie sind nicht ganzheitlich genug, um eine nennenswerte Hilfe zu sein.
Das ist nur die Spitze des Eisbergs. Zu den weiteren Herausforderungen im Bereich der Lieferkettensicherheit zählen:
Sicherheits-/Risikoteams wurden zu spät einbezogen:
Die Steuerung der Lieferkette erfolgt häufig erst zu spät im Onboarding-Prozess. Zu diesem Zeitpunkt könnte es bereits zu spät sein, das Risiko zu mindern oder zu beseitigen. Das Sicherheits- und Risikomanagementteam kann von der Geschäftsleitung unter enormen Druck gesetzt werden, dem neuen Geschäft zuzustimmen. Da sie unbedingt vermeiden möchten, als „Abteilung des Neins“ wahrgenommen zu werden, haben CISOs möglicherweise das Gefühl, dass ihnen nichts anderes übrig bleibt, als so zu handeln.
Eine Rezertifizierung findet nicht statt:
So wichtig eine gründliche Sorgfaltsprüfung vor der Aufnahme eines Kunden auch ist, so entscheidend ist auch eine regelmäßige Neubewertung der Geschäftsbeziehung. Es könnte sich um einen SaaS-Anbieter handeln, dessen Dienst ursprünglich nur für eine kleine Anzahl von Entwicklern bereitgestellt wurde, wobei ausschließlich Testdaten verwendet wurden.
Diese App wird möglicherweise mittlerweile von Hunderten von Mitarbeitern genutzt und verarbeitet wichtige Geschäftsdaten. Eine regelmäßige Rezertifizierung ist unerlässlich, um Risiken dynamisch zu steuern, während sie sich weiterentwickeln. Leider wird die Sicherheit der Lieferkette in vielen Unternehmen einmal eingerichtet und dann nicht mehr beachtet.
Durchgängige Transparenz und Sicherheit:
Das Risikomanagement in Bezug auf Drittparteien ist eine Sache, doch je weiter man in der Lieferkette vor- oder zurückgeht, desto schwieriger wird es. Wie sieht es mit den Lieferanten Ihrer Lieferanten aus? Und ihre Lieferanten? Die Herausforderung besteht darin, dass es keine einheitlichen, branchenweiten Best Practices für das Management des durchgängigen Lieferantenrisikos gibt.
Ich bitte meine Lieferanten, detaillierte Daten auf der Grundlage von Bedrohungsmodellen und Risikoanalysen vorzulegen; ihre Verfahren zur Überprüfung ihrer eigenen Partner könnten jedoch nur aus oberflächlichen, flüchtigen Kontrollen bestehen. Wenn sich die einzelnen Komponenten der Lieferkette voneinander unterscheiden, wird es äußerst schwierig, das Gesamtrisiko über die gesamte Lieferkette hinweg zu bewerten.
Wie geht es nun weiter?
Alle Organisationen haben in gewissem Maße mit diesen Herausforderungen zu kämpfen – selbst solche mit relativ ausgereiften Cybersicherheitsprogrammen. Deshalb ist es hilfreich, sich auf das Wesentliche zu besinnen und zunächst einmal zu versuchen, jene grundlegenden Fragen zu beantworten: Wer sind Ihre Lieferanten, wie steht es um deren Sicherheitsreife und inwieweit nutzen sie Ihre Daten, falls überhaupt?
Letztendlich geht es um Transparenz: Sie müssen wissen, über welche IT-Ressourcen Sie verfügen, welche Anwendungen darauf laufen und welche Abhängigkeiten von Drittanbietern bestehen. Das lässt sich leicht sagen, ist aber nicht immer leicht umzusetzen.
Diese Transparenz muss auch auf Ihre Lieferanten ausgeweitet werden. Sie müssen in der Lage sein, eine umfassende und genaue Bestandsaufnahme ihrer IT-Ressourcen vorzulegen, um den Status der Endgeräte sowie die installierten Softwareversionen zu erfassen. Außerdem müssen sie in der Lage sein, umgehend Patches zu installieren, um Risiken dynamisch zu mindern.
Dies sollte Teil eines ganzheitlichen Ansatzes sein, um den Gesamtstand der Sicherheitslage Ihrer Lieferanten zu bewerten – wobei nicht nur punktuelle, oft unvollständige Daten zu Patches und Sicherheitslücken berücksichtigt werden, sondern auch der Ansatz eines Lieferanten in Bezug auf Bedrohungsmodellierung, sichere Softwareentwicklung, Sicherheitsarchitektur und vieles mehr.
Der Schwerpunkt liegt auf präskriptiven Fragen wie „Haben Sie das bösartige SolarWinds-Orion-Update ausgeführt?“ bietet zwar zu einem bestimmten Zeitpunkt eine scheinbare Sicherheit, wird jedoch keine Hilfe sein, wenn der nächste weltweite Cyberangriff erfolgt. Eine wirksame Sicherheit der Lieferkette erfordert einen weitaus umfassenderen Ansatz.
Sobald Ihnen diese quantitativen Daten vorliegen, kombinieren Sie diese mit Bescheinigungen und Bewertungen von Dritten, um sich ein umfassendes Bild der Risiken bei jedem Lieferanten zu verschaffen. Vielleicht möchten Sie sich hierbei auf internationale Normen stützen, wie beispielsweise oder ISO 27001.
Legen Sie Mindestanforderungen fest und nehmen Sie diese in die Verträge auf. Dies wird dazu beitragen, eine einheitlichere, datengestützte Alternative zu jenem willkürlichen, auf Tabellenkalkulationen basierenden Ansatz zur Qualitätssicherung zu schaffen, an dem sich noch immer zu viele von uns festhalten.
Hier sind einige weitere Überlegungen:
- Beziehen Sie die Sicherheits- und Risikoteams so früh wie möglich in den Due-Diligence-Prozess für neue Lieferanten ein. Die Anforderungen sollten sich nach der Sensibilität der erbrachten Dienstleistung richten.
- Die erneute Sicherheitszertifizierung sollte in regelmäßigen Abständen durchgeführt und an die Kritikalität der erbrachten Dienstleistung angepasst werden.
- Führen Sie eine umfassende Bedrohungsmodellierung und Risikoanalyse durch, um ein besseres Verständnis Ihrer wichtigsten Gegner zu erlangen – wo sie zuschlagen könnten und auf welche Weise. Dies wird Ihnen dabei helfen, Ihre Strategie zur Sicherheit in der Lieferkette zu gestalten.
- Stellen Sie sicher, dass Ihre Lieferanten über einen klaren Prozess zur Meldung von Datenschutzverletzungen für den Fall eines Worst-Case-Szenarios verfügen.
- Machen Sie sich mit den Ansätzen der Lieferanten hinsichtlich des Entwicklungszyklus von Sicherheitssoftware (SDLC) vertraut: Wie werden deren Entwickler im Bereich Anwendungssicherheit geschult und zertifiziert? Wie sehen deren Verfahren zur statischen und dynamischen Analyse aus?
- Legen Sie Leitfäden für die Reaktion auf Vorfälle fest, damit Sie wissen, wie eine erfolgreiche Bewältigung aussieht, falls das Schlimmste eintritt.
Dies ist keine vollständige Liste, und Sie werden feststellen, dass sie nicht auf die Herausforderung der lückenlosen Sicherstellung der Lieferkette eingeht. Dies ist ein Thema, über das wir als Branche gründlicher nachdenken müssen.
Möchten Sie einen Überblick über den Zustand Ihrer IT-Umgebung gewinnen? Fordern Sie eine kostenlose Risikobewertung unter an, um sich einen Überblick über den Zustand Ihrer Endgeräte zu verschaffen, kritische Schwachstellen zu identifizieren, Ihren Cyber-Risiko-Score zu ermitteln und zu erfahren, wie Sie Ihre IT-Sicherheit verbessern können.
