De fleste virksomheder er ikke kun afhængige af interne systemer. De kører på skyplatforme, lønudbydere, marketingværktøjer, IT-partnere og snesevis af SaaS-konti, der holder den daglige drift i gang. Hver leverandør løser et problem, og hver enkelt skaber også et nyt tillidsforhold.

Leverandørrisikostyring (VRM) er processen med at vurdere, godkende, overvåge og gennemgå de sikkerhedsrisici, der følger med at arbejde sammen med tredjeparter. Det hjælper virksomheder med at forstå, hvilke leverandører der kan få adgang til følsomme systemer eller data, hvilke kontroller de pågældende leverandører har på plads, om deres sikkerhedspraksis er solid nok til at retfærdiggøre den adgang, og hvor hurtigt adgangen kan ændres, hvis en kontrakt udløber, eller en hændelse opstår.

Vi forklarer, hvordan du griber leverandørrisikostyring an i din egen virksomhed: hvordan du vurderer de leverandører, du allerede arbejder med, hvordan du klassificerer tredjepartsleverandørers risiko, hvad du bør medtage i en leverandørsikkerhedstjekliste, og hvordan du kontrollerer leverandørers legitimationsoplysninger, før de bliver en langsigtet eksponering.

Hvad leverandørrisikostyring dækker

Din guide til leverandørrisikostyring

Din leverandørsikkerhedstjekliste

Sådan understøtter Proton Pass for Business kontrol med leverandøradgang

Hvad leverandørrisikostyring dækker

Leverandørrisikostyring bygger på et enkelt princip: Enhver ekstern part, der berører dine data, systemer eller forretningsprocesser, ændrer din risikoprofil.

De fleste leverandørrisici opstår i det daglige arbejde. For eksempel kan et tredjepartsbureau blive trukket ind i virksomhedens netværk, fordi et team har brug for hastighed, ekspertise eller software, som virksomheden ikke har internt. Der gives adgang, data deles, og relationen etableres som en del af det daglige arbejde.

Risiko opstår, når det ikke er klart, hvad den pågældende leverandør kan få adgang til, hvilke kontroller der står mellem den adgang og et databrud – multifaktorgodkendelse (MFA), navngivne konti, kryptering – eller hvor hurtigt adgangen kan findes og afskæres. Tilbagekaldelse sker normalt i selve systemet eller via SCIM-provisionering; det svære for de fleste virksomheder er at vide, hvor man faktisk skal kigge.

Leverandøren kan være en stor skyudbyder, en niche-SaaS-platform, en freelanceudvikler eller et revisionsfirma. Leverandørens størrelse og branche er ikke det centrale problem. Det er deres adgang.

Leverandørrisici viser sig på flere forskellige måder:

  • Datarisiko: Leverandøren kan se, lagre, behandle, overføre eller slette forretnings- eller persondata.
  • Adgangsrisiko: Leverandøren kan logge ind på systemer, administrere indstillinger, bruge integrationer eller nå adminpaneler.
  • Operationel risiko: Virksomheden er afhængig af leverandøren for en kritisk arbejdsgang, tjeneste eller kundevendt proces.
  • Compliance-risiko: Leverandørens rolle påvirker dine forpligtelser i henhold til databeskyttelseslove, f.eks. GDPR-krav, kontraktlige eller sektorspecifikke krav.
  • Risiko for legitimationsoplysninger: Leverandøradgang deles, genbruges, er udokumenteret eller vanskelig at tilbagekalde.

Leverandørrisici er svære at få øje på, fordi de ofte opstår gennem små adgangsvalg, der giver mening i øjeblikket: Et teammedlem deler et login, som de ikke burde, eller en leverandørkonto beholder rettigheder af bekvemmelighed, eller en konsulenttilladelse, som ingen vender tilbage til, efter projektet er slut. Over tid bliver disse undtagelser en del af virksomhedens miljø, selv når ingen aktivt administrerer dem.

Sådan opbygger du en proces til leverandørrisikostyring (VRM)

Når det gøres effektivt, gør leverandørrisikostyring ikke hver beslutning mere kompliceret. Det skaber en pålidelig ramme for, hvordan din virksomhed giver adgang med klarere grænser. Vi ser på de vigtigste trin, din virksomhed kan tage for at vurdere sin egen leverandørrisiko og opbygge en risikostyringsstrategi.

1. Opbyg en fortegnelse over dine leverandører

I stedet for at lade leverandørrisikostyring blive en reaktiv opgave, når du bliver bedt om sikkerhedsdokumentation eller skal forny en kontrakt, skal du gøre den til en proaktiv opgave. Start med at forstå de leverandører, der allerede er en del af din drift.

At lave en leverandørfortegnelse behøver ikke være komplekst. Den skal være klar nok til at vise:

  • Hvem der ejer relationen
  • Hvilken service leverandøren leverer
  • Hvilke systemer eller data de kan få adgang til
  • Om der er persondata involveret
  • Om der bruges underdatabehandlere
  • Hvornår den næste kontrakt- eller sikkerhedsgennemgang skal finde sted

Adgang er en afgørende komponent at registrere, fordi leverandører har forskellige privilegier og adgangsbehov. Nogle leverandører bruger navngivne konti. Andre er afhængige af delte legitimationsoplysninger, adminadgang, API-nøgler, delte indbakker eller midlertidige logins, der forbliver aktive længe efter, at det oprindelige behov er ophørt. Disse forskelle er vigtige, fordi de afgør, hvor hurtigt adgangen kan ændres under offboarding eller en hændelse.

Fortegnelsen bør også omfatte mindre leverandører, der kan ligge uden for den formelle indkøbsproces. Et plugin, en konsulent, en freelanceudvikler, et bureau eller en specialiseret SaaS-tjeneste kan skabe betydelig eksponering, hvis den berører følsomme data eller kritiske arbejdsgange.

Den største værdi af en fortegnelse er at skabe bedre adgangskontroller. Når en leverandørrelation ophører, ved din virksomhed, hvilke konti der skal deaktiveres, hvilke legitimationsoplysninger der skal roteres, hvilke integrationer der skal fjernes, og hvad der skal ske med lagrede data.

2. Klassificér leverandører efter risiko, ikke bekvemmelighed

Når du har kortlagt dine leverandører, skal du gruppere dem efter den risiko, de skaber. Det holder processen proportional og forhindrer, at enhver leverandør behandles som enten harmløs eller kritisk.

Højrisikoleverandører behandler normalt følsomme data, understøtter væsentlige operationer eller har privilegeret adgang. Det kan omfatte skyinfrastruktur, identitetsplatforme, løn, finans, HR-systemer, administreret IT, sikkerhedstjenester eller centrale SaaS-platforme.

Mellemrisikoleverandører understøtter vigtigt arbejde, men har mere begrænset adgang. Det kan omfatte samarbejdsplatforme, analyseværktøjer, projektstyringssystemer, helpdesk-software eller bureauer med begrænsede tilladelser.

Lavrisikoleverandører har ringe eller ingen adgang til følsomme data eller forretningskritiske systemer. De bør stadig registreres, men har ikke brug for samme dybde i gennemgangen, medmindre deres rolle ændrer sig.

Niveauet bør følge den faktiske adgang, ikke leverandørens omdømme, størrelse eller pris. En velkendt platform kan blive højrisiko, hvis den lagrer følsomme data. En lille konsulent kan være højrisiko, hvis vedkommende har adminprivilegier.

Brug risikoniveauet til at beslutte, hvor grundigt leverandøren skal vurderes, hvor ofte relationen skal gennemgås, og hvilke minimumskontroller der skal anvendes.

3. Fastlæg sikkerhedskrav, før der gives adgang

Leverandørvurderinger fungerer bedst, når virksomheden kender sine minimumskrav, før adgangen godkendes.

For højrisikoleverandører bør disse krav dække de kontroller, der beskytter data og holder adgangen ansvarlig: MFA, kryptering under transmission og i hvile, rollebaseret adgangskontrol, revisionslogfiler, procedurer for hændelseshåndtering, sårbarhedsstyring, kontroller for underdatabehandlere, forpligtelser om sletning af data og planlægning af forretningskontinuitet.

Sikkerhedsdokumentation kan understøtte den gennemgang. ISO 27001, SOC 2, nationale ordninger som Cyber Essentials i Storbritannien, resuméer af penetrationstests eller white papers om sikkerhed kan alle hjælpe, afhængigt af leverandørens rolle og følsomheden i relationen.

Certificeringer og revisionsrapporter beskriver, hvordan en leverandør arbejder. De siger meget mindre om, hvem leverandøren faktisk er. En nylig undersøgelse af Passworks sikkerhed beviser, at denne forskel er vigtig: en europæisk registrering, et poleret websted og en besked om at være »bygget til tillid« var nok til at bestå kravene hos organisationer, der aldrig sporede ejerskabet, jurisdiktionen eller oprindelsen af den kode, de installerede.

For enhver leverandør med følsom adgang hører to spørgsmål sammen med kontroltjeklisten: Hvem ejer og kontrollerer virksomheden, og under hvilket lands love opererer den; og kan uafhængige eksperter inspicere koden, eller stoler virksomheden på et lukket system alene ud fra leverandørens ord?

Mellemrisikoleverandører kan have brug for en lettere gennemgang, men de bør stadig kunne forklare, hvordan de beskytter konti, begrænser medarbejderes adgang, håndterer data, underretter kunder om hændelser og fjerner adgang, når relationen ophører.

For lavrisikoleverandører kan hovedkontrollen være, om de reelt ikke har adgang til følsomme systemer eller persondata. Hvis det ændrer sig, bør leverandøren vurderes igen.

En god proces er streng, hvor risikoen er høj, og let, hvor risikoen er reelt lav. Den bør ikke gøre enhver leverandørgennemgang til en virksomhedsrevision, men den bør forhindre, at følsom adgang godkendes alene på tillid.

4. Overvåg leverandører efter onboarding

Leverandører ændrer deres systemer, underleverandører, politikker, bemanding og sikkerhedskontroller. Din virksomhed kan også give dem mere adgang over tid. Uden overvågning bliver din oprindelige vurdering forældet.

En praktisk overvågningsproces kan omfatte årlige gennemgange for højrisiko- og mellemrisikoleverandører, kontrol før kontraktfornyelse, revurdering når adgangen udvides, og gennemgang efter en rapporteret hændelse. Kritiske leverandører kan have brug for hyppigere adgangskontroller.

Overvågning bør omfatte legitimationslaget. Kontrollér, om leverandørkonti stadig tilhører aktive kontaktpersoner, om tilladelser svarer til det aktuelle omfang, om delte legitimationsoplysninger stadig findes, og om integrationer eller API-nøgler stadig er nødvendige.

Det er her, mange virksomheder finder undgåelig eksponering: gamle bureaukonti, ubrugte login fra underleverandører, delte adgangskoder som ingen ejer, integrationer oprettet til et tidligere projekt og admin-tilladelser givet for nemheds skyld.

Leverandørrisiko hører også til i kontinuitetsplanlægning. Hvis en kritisk leverandør bliver utilgængelig, rapporterer et databrud eller tvinger akutte ændringer af adgang, har virksomheden brug for en måde at holde det essentielle arbejde i gang. Protons guide til forretningskontinuitetsstrategier⁠ forklarer, hvorfor robusthed afhænger af mere end sikkerhedskopier, især når adgang og legitimationsoplysninger er involveret.

5. Kontrollér tredjepartslegitimationsoplysninger

Mange leverandørrisikoprogrammer ser solide ud på papiret og fejler derefter på legitimationniveau. En leverandør kan se compliant ud på papiret og stadig skabe eksponering gennem den måde, adgang håndteres på i hverdagen.

Risikoen ligger i kløften mellem den formelle proces og den realistiske: legitimationsoplysninger lagret uden for godkendte systemer, delte konti uden en klar ejer, eller API-nøgler, der forbliver aktive, efter at leverandørforholdet ændrer sig.

Hvis disse adgangsstier ikke gennemgås og tilbagekaldes, kan virksomheden fortsætte med at bære leverandørrisiko længe efter, at det oprindelige arbejde er afsluttet.

Tredjepartsadgang bør følge samme disciplin og bruge samme adgangskodepolitikker som intern adgang:

  • Giv kun leverandører den adgang, de har brug for
  • Brug navngivne konti, hvor det er muligt
  • Undgå delte legitimationsoplysninger, medmindre der ikke er noget alternativ
  • Opbevar delte legitimationsoplysninger i et kontrolleret system til legitimationsstyring
  • Del filer med leverandører via krypteret skylagerplads til virksomheder med udløbende links, ikke e-mailvedhæftninger
  • Gennemgå adgang regelmæssigt
  • Tilbagekald adgang, når arbejdet slutter
  • Roter legitimationsoplysninger efter ændringer i leverandørens personale eller hændelser
  • Kræv MFA, hvor tjenesten understøtter det

En adgangskodeadministrator til virksomheder gør disse regler nemme at implementere. Den giver teams et sikkert sted at opbevare leverandørlegitimationsoplysninger, dele adgang uden at sende adgangskoder via chat eller e-mail, rotere adgangskoder og fjerne adgang, når et leverandørforhold ophører.

Din leverandørsikkerhedstjekliste

En tjekliste til leverandørsikkerhed bør hjælpe din virksomhed med at onboarde nye leverandører sikkert.

Brug den til at forstå forholdet klart:

  • Hvilke data vil leverandøren få adgang til, behandle eller opbevare?
  • Vil leverandøren behandle personoplysninger på vores vegne?
  • Vil leverandøren underskrive en databehandleraftale (DPA) og slette vores data, når kontrakten udløber?
  • Hvor vil data blive lagret og behandlet?
  • Bruger leverandøren underleverandører?
  • Håndhæver leverandøren MFA?
  • Hvordan kontrollerer leverandøren medarbejderes adgang til kundedata?
  • Kan vores virksomhed tildele rollebaserede tilladelser?
  • Kan adgang fjernes med det samme?
  • Giver leverandøren revisionslogs eller rapporter om admin-aktivitet?
  • Hvordan krypterer leverandøren data?
  • Hvor hurtigt vil leverandøren underrette os om en sikkerhedshændelse?
  • Har leverandøren procedurer for forretningskontinuitet eller katastrofeberedskab?
  • Kan leverandøren levere sikkerhedsdokumentation, certificeringer eller revisionsresuméer?
  • Har leverandøren oplevet en offentligt rapporteret sikkerhedshændelse, og hvordan håndterede de den?
  • Hvem ejer og kontrollerer virksomheden, og under hvilken jurisdiktion opererer den?
  • Er produktet open source eller uafhængigt revideret, så dets sikkerhedspåstande kan verificeres?

Tjeklisten bør vise enhver risiko, din virksomhed accepterer. En leverandør, der mangler formel certificering, kan stadig være egnet til lavrisikoarbejde. En leverandør med admin-adgang, svag godkendelse, uklare tidslinjer for hændelser eller ingen klar sletningsproces er en helt anden beslutning.

For leverandører, der allerede er i brug, skal du tage tjeklisten frem igen ved fornyelser og planlagte gennemgange. Den oprindelige godkendelse afspejler måske ikke længere den måde, værktøjet bruges på i dag. En leverandør, der blev hentet ind til et lille projekt, kan stille og roligt blive en del af kundedrift, økonomiarbejdsgange eller kritiske integrationer.

Hvordan Proton Pass for Business understøtter kontrol med leverandøradgang

Leverandørrisikostyring bliver meget sværere, når tredjepartsadgang administreres uden for et kontrolleret system. En leverandør kan være godkendt, dokumenteret og dækket af en kontrakt, men den reelle eksponering afhænger ofte af daglige adgangsstier: delte legitimationsoplysninger, tilladelser, adgangsnøgler, gendannelseskoder, API-nøgler og konti, der skal gennemgås eller fjernes, efterhånden som forholdet ændrer sig.

En adgangskodeadministrator til virksomheder som Proton Pass for Business⁠ hjælper virksomheder med at bringe den adgang ind i en mere sikker og reviderbar proces. Teams kan opbevare leverandørlegitimationsoplysninger i end-to-end-krypterede bokse, generere stærke og unikke adgangskoder, bruge autofyld til at reducere manuel håndtering, administrere adgangsnøgler og dele adgang uden at sende adgangskoder via e-mail, chat eller projektdokumenter.

For leverandøradgang specifikt kan delte bokse hjælpe med at adskille legitimationsoplysninger efter leverandør, projekt, team eller følsomhedsniveau. Det gør det lettere at holde adgang organiseret, gennemgå, hvem der har adgang til hvad, og fjerne adgang, når en kontrakt udløber, en leverandørkontakt skifter, eller en hændelse kræver hurtig inddæmning.

En adgangskodeadministrator til IT-teams⁠ tilføjer det administrative lag, der er nødvendigt, efterhånden som processen bliver mere formel. Politikker, rapportering, logs, rollebaseret adgangskontrol, SCIM-provisionering og integration med single sign-on hjælper virksomheder med at administrere adgang konsekvent på tværs af teams i stedet for at stole på individuelle vaner.

Proton Pass for Business understøtter din virksomhed ved at kontrollere de legitimationsoplysninger og adgangsstier, som leverandører bruger til at arbejde med din virksomhed. Den er også open source og uafhængigt revideret, så den består den samme tjekliste, som vi anbefaler, at du anvender på dine egne leverandører. Når leverandøradgang lagres, deles, gennemgås og tilbagekaldes fra et kontrolleret miljø, bliver leverandørrisiko lettere at administrere ud over den oprindelige vurdering.

Kontrollér tredjepartslegitimationsadgang sikkert med en adgangskodeadministrator til virksomheder⁠.