In der komplexen Welt der Informationssicherheit stehen CISOs vor der Herausforderung, nicht nur die eigenen Systeme, sondern auch die der Lieferanten im Griff zu haben. Daher sind standardisierte Lieferantenprüfungen mithilfe eines Tools für CISOs kein Luxus, sondern eine dringende Notwendigkeit. Denn sie helfen dabei, das unsichtbare Risiko in der Lieferkette sichtbar zu machen und zu minimieren.
Das Dilemma der CISOs: Lieferanten als Risikofaktor
Es ist kein Geheimnis: Der Chief Information Security Officer (CISO) gehört sicher zu den stressigsten Jobs im modernen Business. CISOs jonglieren mit Risikomanagement, Compliance und dem ständigen Druck, alles unter Kontrolle zu haben. Aber seien wir ehrlich: Kontrolle ist eine Illusion. Man kann nicht alle Bereiche des Unternehmens überwachen und stets über jedes Risiko informiert werden. Insbesondere außerhalb der Unternehmensgrenze lässt die Transparenz merklich nach. Zum Beispiel bei den Zulieferern, welche oft Zugang zu sensiblen Daten wie Kundendaten, Finanzinformationen oder geistigem Eigentum haben. Auf einmal wird man abhängig von Sicherheitsstandards und -maßnahmen, die man jedoch kaum beeinflussen kann. Mit gravierenden Folgen: Immer mehr Vorfälle werden durch Schwachstellen bei den Bezugsquellen ausgelöst. Daher wird klar: Standardisierte Lieferantenprüfungen sind nicht nur sinnvoll, sie sind unverzichtbar. Bei deren Umsetzung sind Sie aber nicht allein, sondern können auf die Unterstützung durch effiziente Tools wie ibi systems iris zählen.
Die Unsichtbarkeit des Risikos
Das Problem mit Zulieferern ist, dass sie häufig unsichtbare Risikofaktoren sind. Sie sind nicht täglich präsent, und doch könnten sie jederzeit eine Schwachstelle in der Sicherheitsarchitektur eines Unternehmens darstellen. Es ist wie ein unsichtbares Damoklesschwert, das ständig über den Auftraggebern schwebt. Dies wird noch verstärkt durch die Komplexität moderner Lieferketten. In einer globalisierten Welt ist es nicht ungewöhnlich, dass ein Lieferant selbst mehrere Unterlieferanten hat, die wiederum ihre eigenen Lieferanten haben – die sogenannten „Fourth Parties“. Und seien Sie ehrlich, kennen Sie zum Beispiel jeden Sub-(Sub-(Sub-)) Lieferanten für die Anwendungen Ihres Unternehmens? Jede dieser Beziehungen birgt potenzielle Risiken, die sich wie ein Spinnennetz durch die gesamte Lieferkette ziehen.
Die Lösung: Softwaregestützte standardisierte Lieferanten-Assessments
Wenn Sie als CISO ruhig schlafen wollen, kommen Sie um toolgestützte, standardisierte Prüfungen ihrer Lieferanten nicht herum, die Transparenz in das Dunkel der Beziehungen bringen. Sie bieten eine strukturierte, vergleichbare Grundlage, um Sicherheitsmaßnahmen in der Lieferkette zu bewerten. Und das ist Gold wert. Die Schönheit einer solchen Prüfung liegt in seiner Konsistenz. Es ermöglicht Ihnen, Äpfel mit Äpfeln zu vergleichen. Sie können die Sicherheitsmaßnahmen verschiedener Bezugsquellen auf der gleichen Skala bewerten und so eine fundierte Entscheidung treffen.
In ibi systems iris haben Sie die Möglichkeit, entweder eigene Prüfkataloge anzulegen oder vorgefertigte Prüfkataloge (beruhend auf ISO/IEC 27001:2022) zu nutzen, die eine einheitliche Basis für Ihre Lieferantenprüfungen bilden. Alle daraus abgeleiteten Prüfungen für Ihre Lieferanten beinhalten die gleichen Kontrollen sowie Bewertungsmöglichkeiten. Sie können die Prüfkataloge jedoch variabel gestalten, indem Sie beispielsweise eine Auswahl von Prüfkatalogen mit einer unterschiedlichen Anzahl an Fragen definieren.
Die Anzahl der Fragen ist somit zum Beispiel abhängig vom Schutzbedarf der während der Lieferantenbeziehung verwendeten Informationen. Das bedeutet, dass ein Lieferant, der lediglich mit öffentlichen Informationen, welche keine besonderen Anforderungen an die Verfügbarkeit oder Integrität haben, nur sehr wenige Fragen beantworten muss. Wohingegen ein kritischer Lieferant einer kompletten Prüfung unterzogen wird. Durch dieses Vorgehen wird dafür gesorgt, dass der Aufwand und somit ggf. die Frustration bei Lieferanten möglichst gering bleiben.
Bei der Prüfungsdurchführung können zu den einzelnen Kontrollen sowohl identifizierte Feststellungen, Risiken oder Maßnahmen direkt aufgenommen als auch Kommentare und Dokumente hinterlegt werden. Bezüglich der Risiken können sowohl Risikobewertungen durchgeführt als auch eine Risikobehandlungsstrategie inkl. Maßnahmen festgelegt werden. Die Maßnahmen können jederzeit gesteuert und überwacht werden.
Wenn Sie die Prüfung regelmäßig durchführen, kann die Veränderung im Zeitverlauf verfolgt und proaktiv gehandelt werden, bevor aus kleinen Problemen große Krisen entstehen. Zudem lässt sich feststellen, an welchen Punkten der Zulieferer noch keinen ausreichenden Schutz ergriffen hat und wo gemeinsam Maßnahmen zur Abhilfe festgelegt werden müssen.
Auch bei der regelmäßigen Durchführung der Prüfung unterstützt Sie ibi systems iris mithilfe der Funktionalität der Prüfaktivitäten. Hierbei kann festgelegt werden, auf Basis welcher Prüfkataloge in welchem Zeitintervall automatisch Prüfungen erstellt werden sollen. Und das Beste daran: Sie können gleich für mehrere Lieferanten die zeitgesteuerte, automatische Erstellung von Prüfungen planen.
Warum ein Tool unverzichtbar ist
Können diese Prüfungen und die Steuerung aller Lieferanten auch manuell durchgeführt werden? Theoretisch ja, praktisch ist es jedoch ineffizient und führt häufig zu kleineren Fehlern. Ein Tool bietet hier eine Effizienz und Genauigkeit, die manuell einfach nicht zu erreichen ist. So können mit der ISMS- und GRC-Software ibi systems iris Lieferanten nicht nur initial geprüft werden, sondern die Software vereinfacht auch die Überwachung von Lieferanten, identifizierten Risiken und festgelegten Maßnahmen. Das Tool ermöglicht es somit, Prüfungen zu skalieren, Risiken zu priorisieren und schnelle Entscheidungen zu treffen. Und in einer Welt, in der Zeit oft gleichbedeutend mit Sicherheit ist, sollten diese Argumente nicht unterschätzt werden.
Fazit
Wenn Sie als CISO mehr Kontrolle über Ihre Lieferanten erhalten möchten, dann führt kein Weg an softwaregestützten, standardisierten Lieferantenprüfungen vorbei. Sie sind der Schlüssel zu einer effektiven, transparenten und sicheren Lieferkette. Und in einer Welt voller Risiken ist das kein Luxus, sondern eine Notwendigkeit.
Sie sind CISO und wollen ihre Lieferkette absichern, um die Kontrolle zurückzugewinnen? Dann informieren Sie sich jetzt über die Möglichkeiten standardisierter Lieferantenprüfungen mit ibi systems iris. Wir können Ihnen die Umsetzung dieses Use Cases gemeinsam mit unserem Partner, der metafinanz Informationssysteme GmbH, anbieten. Dadurch können wir Sie mit unserem spezialisierten Know-how sowohl fachlich als auch funktional bestens unterstützen. Wie der Gesamtprozess rund um die Lieferantenprüfung bei Ihnen aussehen könnte, sehen Sie in folgender Grafik.
_____________________
