Cyber beveiliging in de toeleveringsketen: hoe beperk je risico's?

De toeleveringsketen is een van de meest benutte aanvalsroutes geworden. Software, hardware en diensten van derden zijn diep verweven met de eigen omgeving. De vraag is dan ook niet of u afhankelijk bent van de keten, maar hoe u de bijbehorende risico's concreet beperkt. Het gaat er niet om die afhankelijkheid weg te nemen, maar om er bewust grip op te houden.

Uitleg

Ketenrisico ontstaat overal waar een externe partij toegang heeft tot uw systemen, data of software. Een leverancier met zwakke beveiliging, een gecompromitteerde software-update of een te ruime koppeling vormt een directe ingang tot uw organisatie. Hoe dieper een externe partij in uw omgeving is gekoppeld, hoe groter de mogelijke gevolgen van een zwakke plek bij die partij.

Risico

Supply chain-aanvallen zijn aantrekkelijk omdat één gecompromitteerde schakel toegang geeft tot veel doelen tegelijk. Bekende voorbeelden laten zien dat de impact zich snel door honderden organisaties kan verspreiden, vaak zonder dat de getroffen partijen er zelf iets aan deden. Bovendien verloopt zo'n aanval via een vertrouwde route, waardoor hij vaak laat wordt opgemerkt.

Aandachtspunten

• Inzicht in welke leveranciers toegang hebben en waartoe.
• Validatie van software-updates en herkomst, denk aan een Software Bill of Materials.
• Strikte segmentatie en beperkte rechten voor externe partijen.
• Monitoring van leveranciersactiviteit.
• Een exitstrategie en duidelijke afspraken bij beëindiging van een samenwerking.

Aanpak

Beperk ketenrisico's met een vendor risk management aanpak: beoordeel leveranciers, leg contractuele eisen vast en vraag periodieke pentestrapporten op. Leg ook vast hoe en binnen welke termijn een leverancier een incident bij u moet melden. Scheid externe toegang via segmentatie en just-in-time rechten, valideer software-integriteit en bewaak leveranciersactiviteit via monitoring en threat intelligence.

Conclusie

Ketenrisico's verdwijnen niet, maar zijn wel beheersbaar. Met inzicht, contractuele afspraken en technische maatregelen voorkomt u dat een externe partij de zwakke plek in uw verdediging wordt. Ketenbeveiliging is daarmee een doorlopend proces van toetsen en bijsturen, geen eenmalige controle.

Contact

Wilt u weten hoe dit binnen uw eigen omgeving speelt? Neem contact op met de specialisten van DeepBlue Security & Intelligence via info@deepbluesecurity.nl of +31 (0) 70 290 6 290.