NCSC Cybercheck: beveiliging van de toeleveringsketen

Organisaties zijn voor hun dienstverlening sterk afhankelijk van leveranciers en partners. Het Nationaal Cyber Security Centrum besteedt daarom expliciet aandacht aan de beveiliging van de toeleveringsketen. Inzicht in ketenrisico's is geen luxe meer, maar een basisvoorwaarde voor weerbaarheid. Een keten is immers maar zo sterk als de zwakste schakel erin.

Uitleg

Ketenbeveiliging draait om de vraag welke leveranciers toegang hebben tot uw data en systemen, en hoe goed zij hun eigen beveiliging op orde hebben. Een cybercheck of risicobeoordeling van de keten helpt om die afhankelijkheden en zwakke schakels in kaart te brengen, zodat u gericht maatregelen kunt nemen. Het gaat daarbij niet alleen om directe leveranciers, maar ook om de partijen waarvan zij zelf afhankelijk zijn.

Risico

Aanvallers kiezen vaak de weg van de minste weerstand. Een minder goed beveiligde leverancier of softwarepakket kan de ingang vormen tot uw organisatie. De aanvallen op SolarWinds en Kaseya lieten zien hoe één zwakke schakel honderden organisaties tegelijk kan raken. Doordat zo'n aanval via een vertrouwde leverancier binnenkomt, omzeilt hij vaak de verdediging die op externe dreigingen is gericht.

Aandachtspunten

• Een actueel overzicht van leveranciers en hun toegang.
• Contractuele beveiligingseisen en meldplicht.
• Heldere afspraken over wat er gebeurt bij een incident bij een leverancier.
• Periodieke beoordeling en monitoring van derden.

Aanpak

Gebruik een ketenrisicobeoordeling als startpunt en vertaal de uitkomsten naar concreet beleid: leveranciersinventarisatie, contractuele eisen en periodieke toetsing met pentestrapporten en audits. Combineer dit met segmentatie en strak toegangsbeheer voor externe partijen. Houd het overzicht actueel, want leveranciers, koppelingen en rechten veranderen voortdurend.

Conclusie

Ketenbeveiliging begint met inzicht. Wie zijn leveranciers en hun risico's kent, kan gericht sturen en voorkomt dat de zwakste schakel het niveau van de hele organisatie bepaalt. Zo voorkomt u dat een onzichtbare afhankelijkheid uitgroeit tot een onverwacht risico.

Contact

Wilt u weten hoe dit binnen uw eigen omgeving speelt? Neem contact op met de specialisten van DeepBlue Security & Intelligence via info@deepbluesecurity.nl of +31 (0) 70 290 6 290.