Hantera leverantörsrisk steg för steg
Era leverantörer hanterar era uppgifter, driver era tjänster och är anslutna till era system. Så här bedömer ni deras cybersäkerhet på ett sätt som inte slutar vid ett frågeformulär.
Av TrustSek-redaktionen · Senast granskad
- Regelverk
- NIS2, DORA, ISO 27001
- Steg
- Fem
- Åtkomst som krävs
- Ingen i steg 2
En leverantörs svaghet blir er.
En angripare som inte kommer in i era system kan gå via en leverantör som redan har åtkomst, hanterar era uppgifter eller skickar e-post för er räkning. Därför kräver de stora regelverken att ni hanterar leverantörsrisken, det som också kallas tredjepartsrisk:
- NIS2 och cybersäkerhetslagen räknar säkerhet i leveranskedjan till åtgärderna i artikel 21, i 21.2 d. Se leverantörskrav enligt cybersäkerhetslagen.
- DORA gör finansiella företag fullt ansvariga för sina IKT-leverantörer i artikel 28. Se DORA och tredjepartsrisk för IKT.
- ISO 27001:2022 har fyra kontroller om leverantörer i bilaga A, 5.19 till 5.22: informationssäkerhet i leverantörsrelationer, i leverantörsavtal, i leveranskedjan för IKT samt övervakning och granskning av leverantörernas tjänster.
Inget av dem föreskriver en viss metod. Det de har gemensamt är ett kretslopp: känn era leverantörer, bedöm dem, avtala om krav och följ upp.
1. Lista leverantörerna och dela in dem efter risk.
Ni kan inte bedöma varje leverantör på djupet, och det behövs inte heller. Börja med en lista och tre frågor per leverantör:
- Uppgifter: lagrar eller behandlar leverantören era uppgifter, och hur känsliga är de?
- Beroende: skulle ett avbrott hos leverantören stoppa något viktigt?
- Åtkomst: är leverantören ansluten till ert nätverk, era system eller konton?
Leverantörer med ett ja på någon av frågorna hamnar i den högsta nivån. De får den fullständiga bedömningen och den närmaste uppföljningen. Resten får en enklare kontroll.
2. Samla underlag från mer än en källa.
| Vad det visar | Begränsningar | |
|---|---|---|
| Frågeformulär | Vad leverantören säger om sina kontroller | Självrapporterat; svaren är ofta allmänna |
| Certifikat eller revisionsrapport | Att en revisor har granskat ett avgränsat område, till exempel ISO 27001 eller en SOC 2-rapport | Läs omfattningen: den kanske inte täcker tjänsten ni köper |
| Underlag utifrån | Vad leverantören visar mot internet i dag: e-postautentisering, TLS, publika programversioner, exponering, rykte | Ser ingenting inne i organisationen |
| Avtal | Vad leverantören har åtagit sig | Inte bättre än er uppföljning |
Underlag utifrån är den enda källan ni kan samla in innan leverantören har svarat på något, för varje leverantör på listan. Det är också lättast att stämma av mot de andra tre: när frågeformuläret säger en sak och det öppna underlaget en annan, har ni hittat er första fråga.
3. Fråga om konkreta fynd, och dokumentera beslutet.
Allmänna frågor ger allmänna svar. Konkreta fynd ger konkreta svar:
- ”Er e-postdomän publicerar ingen DMARC-policy. Planerar ni att åtgärda det, och när?”
- ”Er kundportal accepterar fortfarande TLS 1.0. Kan ni stänga av det?”
- ”Er webbserver visar en version med en känd utnyttjad sårbarhet. Är den uppdaterad?”
Godta belägg för att ett fynd är fel eller redan åtgärdat. Skriv sedan ned vad ni beslutade: att godta leverantören, att godta den med villkor och datum eller att välja en annan, och vilken risk som kvarstår.
4. Skriv in kraven i avtalet.
Det som inte står i avtalet är svårt att följa upp. För leverantörer i den högsta nivån bör avtalet åtminstone reglera:
- vilka säkerhetskrav leverantören ska uppfylla, och hur det ska visas;
- hur snabbt leverantören ska meddela er om en incident som påverkar er;
- er rätt att begära underlag, och att granska när risken motiverar det;
- användningen av underleverantörer;
- vad som händer med era uppgifter, och hur ni tar er ur avtalet, när det upphör.
5. Följ upp enligt plan, och när något ändras.
En bedömning är en ögonblicksbild. Bestäm när den ska göras om: till exempel varje år för den högsta nivån, vid varje förnyelse och när leverantörens roll ändras eller den har haft en incident. Gör kontrollen utifrån igen vid samma tillfällen och jämför med det tidigare resultatet. Förändringar åt båda hållen är värda en fråga.
Där TrustSek passar in.
TrustSek täcker den del av steg 2 som handlar om underlag utifrån, och ger steg 3 dess frågor. Tjänsten bedömer en leverantörs domän utifrån öppet underlag, utan åtkomst eller samarbete, visar varje fynd med vad som testades och hur det åtgärdas, och markerar underlag som inte gick att samla in som ej kontrollerat. TrustSek för företag visar hur ni lägger till era leverantörer, och Vad är ett säkerhetsbetyg? förklarar vad sådana bedömningar kan och inte kan visa.
Frågor
Ska vi använda frågeformulär eller underlag utifrån?
Båda. Ett frågeformulär täcker det som sker inne hos leverantören, som ingen kontroll utifrån kan se. Underlag utifrån visar det som syns i dag och ger er ett sätt att pröva svaren.
Hur många leverantörer ska vi bedöma?
Alla översiktligt, den högsta nivån på djupet. En kort lista med leverantörer som hanterar era uppgifter, driver kritiska tjänster eller har åtkomst till era system är en bättre början än en lång lista som bedöms ytligt.
Måste leverantörerna godkänna en kontroll utifrån?
Nej. Den använder bara öppet underlag. Att berätta för leverantörerna att ni bedömer dem på det här sättet, och dela fynden, brukar ändå göra uppföljningen snabbare.
Kontrollera en leverantörs domän
Börja med steg 2 nu: ange en leverantörs domän och se det öppna underlaget. Leverantören kontaktas inte.