In der heutigen digitalen Landschaft geht der Schutz der Lieferkette Hand in Hand mit der Cybersicherheit. Da Unternehmen zunehmend auf externe Anbieter und Software von Drittanbietern zurückgreifen, um ihre Anforderungen zu erfüllen, sehen wir uns nun mit einer ganzen Reihe neuer Risiken außerhalb der vier Wände des Unternehmens konfrontiert. Und diese Risiken für die Lieferkette können sich auf alles im Unternehmen auswirken, vom Software-Design bis hin zu den eingesetzten Softwareprodukten.
In diesem Blog lernen wir das Konzept des Lieferkettenrisikomanagements und seine Rolle in der Cybersicherheit kennen. Wir werden auch diskutieren, wie häufige Risiken identifiziert, wie effektive Bewertungsmethoden entwickelt und wie robuste Sicherheitsstrategien etabliert werden können. Außerdem werden wir einige der wichtigsten Frameworks, branchenspezifische Anwendungsfälle und andere Best Practices diskutieren, mit denen Unternehmen die Sicherheit ihrer Lieferkette gewährleisten können.
Was ist Supply Chain Risk Management?
Supply Chain Risk Management (SCRM) umfasst alle Maßnahmen und Prozesse, mit denen Unternehmen Risiken erkennen, bewerten und minimieren können, die ihre externen Partner, Lieferanten und Dienstleister betreffen. Es umfasst digitale Elemente, die zur Bereitstellung eines Produkts oder einer Dienstleistung beitragen.
Das Risikomanagement in der Lieferkette überprüft verschiedene Komponenten auf Schwachstellen, bevor sie in die Unternehmensumgebung gelangen. Außerdem richtet es eine Überwachung ein, um potenzielle Probleme zu erkennen, die später auftreten könnten. Dieser Ansatz zielt auf Sicherheit an jedem Kontaktpunkt zwischen der Außenwelt und internen Systemen ab.
Sicherheit, IT, Beschaffung, Recht und Geschäftsbereiche müssen zusammenarbeiten, damit SCRM effektiv ist. Dieser funktionsübergreifende Ansatz stellt sicher, dass das gesamte Spektrum der Sicherheitsrisiken in Lieferantenbeziehungen abgedeckt ist, von der Auswahl über das Vertragsmanagement bis hin zu regelmäßigen Sicherheitsüberprüfungen.
Warum ist das Risikomanagement in der Lieferkette wichtig?
In einer Zeit, in der Unternehmen zunehmend auf externe Lieferanten und Bibliotheken von Drittanbietern angewiesen sind, hat das Risikomanagement in der Lieferkette an Bedeutung gewonnen. Heute arbeiten die meisten Unternehmen mit Dutzenden oder Hunderten von Drittanbietern zusammen, die sie bei der Führung ihrer Geschäfte unterstützen. Jede Beziehung birgt Sicherheitsrisiken, die die Sicherheitslage eines Unternehmens verändern können.
Viele moderne Softwareanwendungen bestehen aus Komponenten aus vielen verschiedenen Quellen. Der Code in einer Geschäftsanwendung enthält in der Regel Dutzende von Bibliotheken und Frameworks von Drittanbietern. Wenn eine dieser Komponenten eine Sicherheitslücke aufweist, kann die gesamte Anwendung gefährdet sein. Das Problem der Abhängigkeiten gilt auch für Cloud-Dienste, Managed Provider und Hardware-Lieferanten.
Häufige Arten von Risiken in der Lieferkette
Risiken in der Lieferkette können in Form von kompromittierter Software, Angriffen auf Dienste, Insidern oder Zugriffen durch Dritte auftreten, wobei jedes Risiko eigene Methoden zur Erkennung und zum Schutz erfordert. Zu den häufigsten Arten gehören:
Code-Injection-Angriffe
Bei Code-Injection-Angriffen fügt ein Angreifer während der Entwicklung oder Verteilung bösartigen Code in legitime Software ein. Dies kann passieren, wenn ein Angreifer Zugriff auf Quellcode-Repositorys, Build-Systeme oder Update-Server erhält. Ein bekanntes Beispiel ist der SolarWinds-Angriff, bei dem Code für Hintertüren in die Software-Updates eingefügt und an Tausende von Kunden ausgeliefert wurde.
Kompromittierte Software
Ein weiteres erhebliches Risiko geht von kompromittierten Softwarekomponenten aus. Open-Source-Bibliotheken können die Entwicklung beschleunigen und werden von vielen Entwicklern häufig verwendet, aber sie können auch Schwachstellen oder bösartigen Code enthalten. Wenn diese fehlerhaften Teile in Anwendungen eingebaut werden, übertragen sie ihre Sicherheitsmängel.
Sicherheitsverletzungen bei Anbietern
Sicherheitsverletzungen bei Anbietern stellen ein Risiko dar, wenn Lieferanten, die Zugriff auf die Systeme oder Daten eines Unternehmens haben, Sicherheitsvorfälle erleben. Wenn jemand mit Zugriff auf das Netzwerk oder sensible Informationen kompromittiert wird, können Angreifer diese Beziehung ausnutzen und sich seitlich in die Kundenumgebung bewegen.
Manipulation von Hardware
Angriffe auf die Firmware-Lieferkette beinhalten die Kompromittierung der in Hardwarekomponenten eingebetteten Software. Dazu kann das Einschleusen von Schadcode in Firmware-Updates, die Kompromittierung von Gerätetreibern oder die Manipulation von Boot-Prozessen gehören.
Missbrauch von Update-Mechanismen
Der Missbrauch von Aktualisierungsmechanismen zielt auf die Kanäle ab, die für die Bereitstellung echter Software-Updates genutzt werden. Angreifer kompromittieren diese vertrauenswürdigen Verteilungspfade, um Malware zu verbreiten, die als von vertrauenswürdigen Anbietern stammend getarnt ist.
Wichtige Komponenten des Risikomanagements in der Lieferkette
Es gibt wichtige Komponenten des Risikomanagements in der Lieferkette, die in Kombination effektiv sein können. Sie bilden ein umfassendes Ökosystem zur Erkennung, Überwachung und Steuerung von Risiken, die von Drittanbietern und deren Komponenten ausgehen.
Risikobewertung und -management von Anbietern
Die Risikobewertung von Anbietern bildet die Grundlage für die Sicherheit der Lieferkette. Bei diesem Prozess werden die Sicherheitspraktiken neuer und bestehender Lieferanten bewertet, bevor ihnen Zugriff auf Systeme oder Daten gewährt wird. Eine gute Bewertung umfasst die Prüfung technischer Kontrollen und Sicherheitsrichtlinien, die Überprüfung vergangener Vorfälle und die allgemeine Sicherheitsreife. Während der Bewertung sollten Unternehmen über standardisierte Fragebögen und Bewertungssysteme für die Lieferanten verfügen, die einen objektiven Vergleich der Lieferanten ermöglichen.
SCA und Software-Stückliste (SBOM)
SCA-Tools scannen Anwendungscode, um alle verwendeten Komponenten von Drittanbietern zu identifizieren und nach bekannten Schwachstellen in diesen zu suchen. Diese Tools erstellen eine umfassende Liste aller Softwareabhängigkeiten und benachrichtigen Teams, wenn Schwachstellen in diesen Komponenten entdeckt werden. SCA gibt in der Regel eine Software-Stückliste (SBOM) aus, die alle Komponenten einer Anwendung zusammen mit ihren Versionen, Konfigurationen und eventuell vorhandenen Schwachstellen auflistet.
Planung der Reaktion auf Vorfälle bei Angriffen auf die Lieferkette
Angriffe auf die Lieferkette beinhalten einige einzigartige Komponenten, die nicht in jedem Plan zur Reaktion auf Vorfälle berücksichtigt werden. Daher müssen Unternehmen über Aktionspläne verfügen, die speziell auf Kompromittierungen durch vertrauenswürdige Lieferanten ausgerichtet sind. Solche Pläne sollten sich darauf konzentrieren, Geräte zu isolieren, die jeweiligen Anbieter zu kontaktieren, das Ausmaß der Sicherheitsverletzung zu erfassen und den entstandenen Schaden zu mindern. Die Reaktionsteams benötigen klare Anweisungen, wann und wie sie den Zugang zu kompromittierten Anbietern sperren und die Dienste nach Beendigung eines Vorfalls wiederherstellen können.
Wie lassen sich Risiken in der Lieferkette identifizieren und bewerten?
Es gibt einen systematischen Ansatz zur Erkennung und Analyse von Risiken in der Lieferkette, der eine Kombination aus technischen Ressourcen und der Analyse von Geschäftsprozessen umfasst. Unternehmen müssen jedoch über klare Verfahren verfügen, um potenzielle Probleme aufzudecken, bevor sie sich auf den Betrieb auswirken.
Die Identifizierung von Risiken in der digitalen Lieferkette beginnt mit der Erstellung einer umfassenden Software-Stückliste (SBOM) aller in Unternehmen verwendeten Codes von Drittanbietern, Abhängigkeiten, Container und Cloud-Dienste. Dies sollte in Form einer automatisierten Bestandsaufnahme erfolgen, in der detailliert aufgeführt ist, welche Komponenten in jeder Anwendung verwendet werden, welche Versionsinformationen sie haben, welche bekannten Schwachstellen sie aufweisen und wie kritisch sie für den Geschäftsbetrieb sind.
Sicherheitsteams müssen Scan-Tools in CI/CD-Pipelines integrieren und mit Entwicklungs- und IT-Teams zusammenarbeiten, um sicherzustellen, dass keine Abhängigkeiten, APIs oder Microservices übersehen werden.
Techniken zur Minderung von Risiken in der Lieferkette
Es gibt eine Reihe wirksamer Strategien, die Unternehmen einsetzen können, um Sicherheitsrisiken in der Lieferkette zu reduzieren. Zusammen bilden diese Techniken mehrere Verteidigungsebenen, die einen mehrschichtigen Schutz vor externen Bedrohungen bieten.
Sicherheitsanforderungen an Lieferanten
Klar definierte Sicherheitsanforderungen in Lieferantenverträgen bilden eine solide Grundlage für die Sicherheit der Lieferkette. Diese Anforderungen sollten Mindestkontrollen für die Sicherheit, Compliance-Zertifizierungen, Fristen für die Meldung von Verstößen und Audit-Rechte umfassen. In rechtlichen Vereinbarungen sollte die Sicherheit als nicht verhandelbar festgelegt werden, damit Unternehmen Standards für Lieferanten durchsetzen und diese für Sicherheitsverstöße haftbar machen können. Diese Anforderungen sollten konkret und messbar sein und bei Nichteinhaltung Konsequenzen nach sich ziehen.
Überprüfung der Code-Integrität
Die Überprüfung der Code-Integrität stellt sicher, dass jede Software, die in die Umgebung gelangt, nicht manipuliert wurde. Dazu gehört die Überprüfung digitaler Signaturen, die Bestätigung, dass die Hash-Ausgaben den Erwartungen entsprechen, und die Rückverfolgung der Herkunft des eingehenden Codes. Unternehmen müssen automatisierte Tools einsetzen, die Software-Updates, Bibliotheken von Drittanbietern und App-Komponenten vor der Installation auf ihre Integrität überprüfen. Dadurch wird nicht nur verhindert, dass bösartiger Code in die Lieferkette gelangt, sondern es werden auch unbefugte Änderungen an legitimer Software erkannt.
Zugriff mit geringsten Rechten
Jeder Integrationspunkt eines Drittanbieters sollte nur mit den für seine Funktionalität erforderlichen minimalen API-Berechtigungen und Systemzugriffsrechten konfiguriert werden. Dieser Containment-Ansatz begrenzt den Ausbruchsradius einer Sicherheitsverletzung und verhindert, dass kompromittierte Komponenten über den erforderlichen Umfang hinaus auf kritische Systeme zugreifen können.
Redundanz bei Abhängigkeiten
Durch die Implementierung redundanter Quellen für kritische Pakete und Bibliotheken können Unternehmen den Schaden begrenzen, den ein einzelnes kompromittiertes Repository oder eine einzelne Container-Registry verursachen könnte. Diese Strategie ermöglicht einen schnellen Wechsel zu alternativen Abhängigkeiten, wenn in einem bestimmten Paket Sicherheitsprobleme entdeckt werden. Die Pflege mehrerer verifizierter Quellen für wichtige Abhängigkeiten erfordert zusätzliche Entwicklungsressourcen, sodass sich der Aufwand für nicht kritische Komponenten unter Umständen nicht lohnt.
Sicherheitstests
Die ständige Sicherheitsprüfung von Produkten und Dienstleistungen von Drittanbietern dient der Validierung der Sicherheitsaussagen der Lieferanten, beispielsweise durch Penetrationstests, Schwachstellenscans und Codeüberprüfungen der bereitgestellten Software. Da das höchste Risiko häufig von den Verbindungspunkten zwischen den Systemen der Anbieter und den internen Netzwerken ausgeht, sollten die Tests auf diese Integrationspunkte abzielen.
Rahmenwerke und Standards für das Risikomanagement in der Lieferkette
Mehrere etablierte Rahmenwerke und Standards helfen Unternehmen dabei, strukturierte Ansätze für die Sicherheit der Lieferkette zu entwickeln.
Das Cybersicherheits-Rahmenwerk des National Institute of Standards and Technology (NIST)
Das Cybersicherheits-Rahmenwerk des National Institute of Standards and Technology (NIST) enthält spezifische Leitlinien für das Risikomanagement in der Lieferkette. Die NIST Special Publication 800-161 bietet detaillierte Anweisungen zur Identifizierung, Bewertung und Reaktion auf Risiken in der Lieferkette. Dieses Rahmenwerk verwendet einen mehrstufigen Ansatz, der Unternehmen dabei hilft, ihre Sicherheitsmaßnahmen an ihr Risikoniveau und ihre Ressourcenbeschränkungen anzupassen.
ISO/IEC 27036
ISO/IEC 27036 konzentriert sich speziell auf die Informationssicherheit in Lieferantenbeziehungen. Diese internationale Norm enthält Leitlinien für die Sicherheit in Beschaffungsprozessen und das laufende Lieferantenmanagement. Sie hilft Unternehmen dabei, Sicherheitsanforderungen während des gesamten Lieferantenlebenszyklus zu berücksichtigen, von der Auswahl bis zur Beendigung der Geschäftsbeziehung.
Cybersecurity Maturity Model Certification (CMMC)
Das Cybersecurity Maturity Model Certification (CMMC)-Framework umfasst Anforderungen an die Lieferkette für Verteidigungsunternehmen. Es legt spezifische Kontrollen fest, die Lieferanten je nach Sensibilität der von ihnen verarbeiteten Informationen implementieren müssen. Obwohl es für den Verteidigungsbereich konzipiert wurde, nutzen viele Unternehmen CMMC als Modell für ihre eigenen Anforderungen an die Lieferkette.
Software Assurance Forum for Excellence in Code (SAFECode)
Das Software Assurance Forum for Excellence in Code (SAFECode) bietet Best Practices für die sichere Softwareentwicklung in der Lieferkette. Diese von der Industrie geleitete Initiative konzentriert sich auf praktische Techniken, um Sicherheit von Anfang an in Software zu integrieren.
Herausforderungen im Zusammenhang mit dem Risikomanagement in der Lieferkette
Die Umsetzung eines effektiven Risikomanagements in der Lieferkette steht vor einer Reihe großer Herausforderungen. Um sicherzustellen, dass externe Abhängigkeiten gut geschützt sind, müssen Unternehmen diese Herausforderungen bewältigen.
Einschränkungen der Transparenz
Die Sichtbarkeit der Lieferkette für Unternehmen ist unvollständig. Die meisten Anbieter beziehen ihre Waren über ihre eigenen Lieferanten, wodurch viele Ebenen von Abhängigkeiten entstehen, die schwer nachzuverfolgen sind. Sicherheitsteams sind sich möglicherweise nicht der potenziellen Risiken bewusst, die durch Open-Source-Abhängigkeiten oder Beziehungen zwischen Dritten entstehen. Dies führt zu geringer Transparenz und erschwert es, alle Bedrohungspunkte abzubilden.
Ressourcenbeschränkungen
Die effektive Umsetzung der Sicherheit in der Lieferkette erfordert einen hohen Ressourcenaufwand. Sicherheitsteams müssen die Gründlichkeit ihrer Lieferantenüberprüfungen gegen die dafür verfügbare Zeit und das Budget abwägen. Dies veranlasst Unternehmen häufig dazu, ihre Sicherheitsbemühungen auf wichtige Abhängigkeiten und primäre Code-Repositorys zu konzentrieren, während kleinere Komponenten und Microservices, die dennoch erhebliche Sicherheitsrisiken in der Software-Lieferkette darstellen können, vernachlässigt werden.
Sicherheit vs. betriebliche Effizienz
Strenge Kontrollen der Lieferkette können den Geschäftsbetrieb zum Erliegen bringen und wichtige Initiativen verzögern. Sicherheitsüberprüfungen können den Beschaffungsprozess verzögern und zu erheblichen Spannungen mit Geschäftsbereichen führen, die eine schnelle Einbindung von Anbietern benötigen. Unternehmen müssen Sicherheitsanforderungen gegen geschäftliche Anforderungen abwägen. Eine übermäßige Konzentration auf Sicherheit kann zu Engpässen führen, die die Wettbewerbsfähigkeit beeinträchtigen. Andererseits kann die Priorisierung von Geschwindigkeit zu einem zu großen Risiko führen.
Altsysteme
Zahlreiche Unternehmen verwenden noch immer Legacy-Systeme, die nicht über moderne Sicherheitsfunktionen verfügen. Diese Legacy-Anwendungen könnten veraltete Komponenten mit bekannten Schwachstellen verwenden, da der jeweilige Anbieter den Support längst eingestellt hat. Das Problem dabei ist, dass der Austausch dieser Systeme teuer und für das Unternehmen störend ist. Der Austausch von Legacy-Komponenten sollte geplant werden, aber in der Zwischenzeit benötigen Sicherheitsteams Strategien, um diese Risiken zu mindern.
Einheitliche Sicherheitsstandards
Es ist nahezu unmöglich, einheitliche Sicherheitsstandards für verschiedene Anbieter zu schaffen. Es handelt sich um unterschiedliche Branchen mit unterschiedlichen Vorschriften und Sicherheitsreife-Levels. Ein Anbieter von Cloud-Diensten unterscheidet sich möglicherweise von einem Hardware-Hersteller. Die Herausforderung für Unternehmen besteht darin, Bewertungsmethoden zu entwickeln, die agil genug sind, um diese Unterschiede zu berücksichtigen, ohne die Sicherheit zu beeinträchtigen.
Bewährte Verfahren für das Risikomanagement in der Lieferkette
Eine effektive Sicherheit in der Lieferkette hängt von einheitlichen Ansätzen sowie von Aufzeichnungen, Richtlinien und dem Engagement des Unternehmens ab. Die folgenden Best Practices helfen Unternehmen dabei, starke Abwehrmaßnahmen gegen Bedrohungen der Lieferkette zu entwickeln.
Protokolle zur Sicherheitsbewertung von Lieferanten
Es werden standardisierte Testprozesse erstellt, um sicherzustellen, dass alle Lieferanten auf die gleiche Weise bewertet werden. Dazu sollten Protokolle wie Sicherheitsfragebögen, Dokumentationsprüfungen und Verifizierungsschritte gehören, die auf das Risikoniveau des Lieferanten abgestimmt sind. Unternehmen müssen einen risikobasierten Ansatz entwickeln und festlegen, welche Überprüfungen auf welcher Ebene durchgeführt werden sollen, d. h. grundlegende Überprüfungen für Lieferanten mit geringem und mittlerem Risiko und eingehende Überprüfungen für kritische Lieferanten.
Regelmäßige Sicherheitsaudits
Bei Stichprobenprüfungen wird überprüft, ob die Lieferanten ihre Versprechen einhalten. Beispiele für solche Überprüfungen sind automatisierte Code-Scans, dynamische API-Tests und Repository-Zugriffsprüfungen für kritische Abhängigkeiten. Bei den Audits muss die Integrität von CI/CD-Pipelines, Container-Registern und Paket-Repositorys überprüft werden, um die ordnungsgemäße Umsetzung der Sicherheitskontrollen zu bestätigen.
Sicherheitsanforderungen in Verträgen
Durch die vertragliche Verankerung detaillierter Sicherheitsanforderungen für Anbieter entstehen Verpflichtungen, die durchgesetzt werden können. Solche Klauseln sollten Mindestanforderungen an Sicherheitskontrollen, Fristen für die Meldung von Verstößen, Prüfungsrechte und Folgen bei Nichteinhaltung detailliert festlegen. Die Rechtsabteilung sollte mit der Sicherheitsabteilung zusammenarbeiten, um eine technisch korrekte Formulierung auszuhandeln. Die Anforderungen sollten Datenschutz, Zugriffskontrollen, Schwachstellenmanagement und Incident Response umfassen. Verträge sollten auch Kündigungsrechte für Verstöße gegen die Cybersicherheit enthalten.
Code-Signierung und -Verifizierung
Die Verwendung von Code-Signierung für alle Komponenten der Software stellt sicher, dass der Code nach seiner Erstellung nicht verändert wird. Unternehmen müssen von Anbietern verlangen, dass der Code digital signiert ist und Verifizierungsmethoden vorhanden sind. Signaturen sollten vor der Installation von Updates oder neuen Komponenten durch interne Systeme überprüft werden. Dieser Schritt soll die Integrität und Authentizität des Codes gewährleisten. Alle nicht oder nicht ordnungsgemäß signierten Codes sollten Warnmeldungen auslösen und nicht installiert werden dürfen.
Sicherheitsbewusstseinskultur
Die Sensibilisierung der Mitarbeiter in allen Teams und die Interaktion mit Lieferanten verbessern den menschlichen Aspekt der Sicherheit in der Lieferkette. Dazu gehören die Schulung des Personals zu Sicherheitsstandards, die Anweisung an Entwickler, die Herkunft von Komponenten zu überprüfen, und die Warnung von Geschäftsteams vor den Risiken der Lieferantensicherheit. Die Mitarbeiter sollten regelmäßig über neue Bedrohungen für die Lieferkette und Angriffstechniken informiert werden.
Bemerkenswerte Angriffe auf die Lieferkette
Die folgenden Sicherheitsvorfälle spielten bei zwei großen Angriffen auf die Lieferkette eine wichtige Rolle.
SolarWinds-Angriff
Weniger als einen Monat nach dem Vorfall kamen verschiedene Anbieter von Computersicherheitslösungen und staatliche Cybersicherheitsbehörden zu dem Schluss, dass der SolarWinds-Angriff (entdeckt im Dezember 2020) einer der raffiniertesten Angriffe auf die Lieferkette war, die jemals identifiziert oder versucht wurden.
Hacker drangen in die Entwicklungsumgebung des Unternehmens ein und platzierten Waffen im Orion-Netzwerküberwachungsprogramm. Dieses Update der kompromittierten Software wurde digital signiert und an schätzungsweise 18.000 Kunden verteilt. Nach der Installation schuf die Malware (mit dem Namen SUNBURST) eine Hintertür, die dem Angreifer Zugang zum betroffenen Netzwerk verschaffte. Der Angriff blieb monatelang unentdeckt und traf wertvolle Ziele, darunter mehrere US-Regierungsbehörden, Microsoft, FireEye und zahlreiche Fortune-500-Unternehmen.
NotPetya-Angriff
Der NotPetya-Angriff im Juni 2017 begann mit Updates für M.E.Doc, eine ukrainische Buchhaltungssoftware, die für die Steuererklärung verwendet wird. Hacker fanden einen Weg in den Aktualisierungsserver der Software und luden eine Malware hoch, die Terminals zerstörte und sich als echtes Update tarnt.
Obwohl die sich selbst replizierende Malware nur für Angriffe auf ukrainische Organisationen konzipiert war, verbreitete sie sich über Netzwerkverbindungen schnell weltweit. Der Schifffahrtsriese Maersk, das Pharmaunternehmen Merck und der Lieferdienst FedEx erlitten erhebliche Betriebsstörungen. Maersk beispielsweise war gezwungen, 45.000 Computer und 4.000 Server zu ersetzen, wobei sich der Schaden für das Unternehmen auf über 300 Millionen Dollar belief.
KI-gestützte Cybersicherheit
Verbessern Sie Ihre Sicherheitslage mit Echtzeit-Erkennung, maschineller Reaktion und vollständiger Transparenz Ihrer gesamten digitalen Umgebung.
Demo anfordernFazit
Da Unternehmen zunehmend über ihre externen Lieferanten und Softwareabhängigkeiten angegriffen werden, wird die Sicherheit der Lieferkette immer wichtiger. Die Komplexität moderner Lieferketten führt häufig zu Sicherheitslücken, die Angreifer gerne ausnutzen. Unternehmen können sich bis zu einem gewissen Grad vor solchen Cyber-Bedrohungen schützen, jedoch nur, wenn sie über strukturierte Risikomanagementansätze verfügen.
Die Sicherheit der Lieferkette hängt von einer Kombination aus technischen Kontrollen, Lieferantenbewertungsprozessen und dem Bewusstsein innerhalb des Unternehmens ab. Unternehmen müssen Transparenz über ihre externen Abhängigkeiten haben, ohne dabei Kompromisse bei den Sicherheitsanforderungen und geschäftlichen Anforderungen einzugehen. Angriffe auf die Lieferkette werden von Tag zu Tag raffinierter, und Sicherheitsteams benötigen Tools der nächsten Generation, um sie effektiv abzuwehren.
"FAQs
Supply-Chain-Risikomanagement ist der Prozess der Identifizierung, Bewertung und Minderung von Sicherheitsrisiken durch externe Anbieter, Lieferanten und Komponenten von Drittanbietern, die im Betrieb eines Unternehmens verwendet werden.
Unternehmen können Risiken in der Lieferkette durch Lieferantenbewertungen, Sicherheitsfragebögen, Code-Scanning-Tools und die kontinuierliche Überwachung der Lieferantenaktivitäten identifizieren.
Technologie hilft durch automatisiertes Scannen, kontinuierliche Überwachung und Tools zur Erkennung von Bedrohungen, die anfällige Komponenten und ungewöhnliches Verhalten in komplexen Lieferketten identifizieren.
Eine Strategie zum Risikomanagement in der Lieferkette ist ein strukturierter Plan, der Richtlinien zur Lieferantenauswahl, Sicherheitsanforderungen, Bewertungsmethoden und Pläne zur Reaktion auf Vorfälle bei externen Abhängigkeiten umfasst.
Finanzdienstleistungen, Gesundheitswesen, Behörden, kritische Infrastrukturen und Technologiebranchen sind aufgrund ihrer wertvollen Daten und kritischen Funktionen den höchsten Risiken in der Lieferkette ausgesetzt.
Ja, Standards wie ISO/IEC 27036, das NIST Cybersecurity Framework und die ISO 28000-Reihe bieten Richtlinien für das Sicherheitsmanagement in der Lieferkette.
