De fleste bedrifter er ikke bare avhengige av interne systemer. De drives av skyplattformer, lønnsleverandører, markedsføringsverktøy, IT-partnere og dusinvis av SaaS-kontoer som holder den daglige driften i gang. Hver leverandør løser et problem, og hver enkelt skaper også et nytt tillitsforhold.

Leverandørrisikostyring (VRM) er prosessen med å vurdere, godkjenne, overvåke og gjennomgå sikkerhetsrisikoene som oppstår ved å arbeide med tredjeparter. Det hjelper bedrifter å forstå hvilke leverandører som har tilgang til sensitive systemer eller data, hvilke kontroller disse leverandørene har på plass, om sikkerhetspraksisene deres er gode nok til å rettferdiggjøre den tilgangen, og hvor raskt tilgangen kan endres hvis en kontrakt avsluttes eller en hendelse oppstår.

Vi skal forklare hvordan du kan håndtere leverandørrisikostyring i din egen bedrift: hvordan du vurderer leverandørene du allerede samarbeider med, hvordan du klassifiserer tredjepartsleverandørrisiko, hva du bør inkludere i en sikkerhetssjekkliste for leverandører, og hvordan du kontrollerer leverandørenes påloggingsinformasjon før den blir en langsiktig eksponering.

Hva leverandørrisikostyring dekker

Din guide til leverandørrisikostyring

Sjekklisten din for leverandørsikkerhet

Hvordan Proton Pass for Business støtter tilgangskontroll for leverandører

Hva leverandørrisikostyring dekker

Leverandørrisikostyring bygger på et enkelt prinsipp: enhver ekstern part som berører dataene, systemene eller forretningsprosessene dine, endrer risikoprofilen din.

Det meste av leverandørrisiko skapes av daglig arbeid. For eksempel kan et tredjepartsbyrå bli hentet inn i et forretningsnettverk fordi et team trenger fart, ekspertise eller programvare som bedriften ikke har internt. Tilgang gis, data deles, og forholdet etableres som en del av det daglige arbeidet.

Risiko oppstår når det ikke er klart hva leverandøren har tilgang til, hvilke kontroller som står mellom den tilgangen og et brudd – flerfaktorautentisering (MFA), navngitte kontoer, kryptering – eller hvor raskt den tilgangen kan bli funnet og stengt. Tilbakekalling skjer vanligvis i selve systemet eller gjennom SCIM-provisjonering; det vanskelige for de fleste bedrifter er å vite hvor de faktisk skal lete.

Leverandøren kan være en stor skyleverandør, en nisje-SaaS-plattform, en frilansutvikler eller et regnskapsbyrå. Størrelsen og bransjen til leverandøren er ikke hovedproblemet. Tilgangen deres er det.

Leverandørrisiko viser seg på flere forskjellige måter:

  • Datarisiko: Leverandøren kan se, lagre, behandle, overføre eller slette forretningsdata eller personopplysninger.
  • Tilgangsrisiko: Leverandøren kan logge på systemer, administrere innstillinger, bruke integrasjoner eller nå administratorpaneler.
  • Operasjonell risiko: Bedriften er avhengig av leverandøren for en kritisk arbeidsflyt, tjeneste eller kundevendt prosess.
  • Samsvarsrisiko: Leverandørens rolle påvirker forpliktelsene dine i henhold til personvernlover (som GDPR-krav), kontraktsmessige eller sektorspesifikke krav.
  • Påloggingsrisiko: Leverandørtilgang deles, gjenbrukes, er udokumentert eller vanskelig å tilbakekalle.

Leverandørrisiko er vanskelig å oppdage fordi den ofte bygger seg opp gjennom små tilgangsvalg som gir mening der og da: Et teammedlem deler en pålogging de ikke burde, eller en leverandørkonto beholder tillatelser for enkelhets skyld, eller en tillatelse for en oppdragstaker som ingen går gjennom på nytt etter at prosjektet er avsluttet. Over tid blir disse unntakene en del av forretningsmiljøet, selv når ingen aktivt administrerer dem.

Hvordan bygge en prosess for leverandørrisikostyring (VRM)

Når det gjøres effektivt, gjør ikke leverandørrisikostyring hver beslutning mer komplisert. Den skaper et pålitelig rammeverk for hvordan bedriften din gir tilgang med tydeligere grenser. Vi skal utforske de viktigste trinnene bedriften din kan ta for å vurdere sin egen leverandørrisiko og bygge en risikostyringsstrategi.

1. Lag en oversikt over leverandørene dine

I stedet for å la leverandørrisikostyring bli en reaktiv oppgave når du blir bedt om sikkerhetsbevis eller skal fornye en kontrakt, gjør det til en proaktiv oppgave. Start med å forstå leverandørene som allerede er en del av driften din.

Å ta en leverandøroversikt trenger ikke være komplisert. Den må være tydelig nok til å vise:

  • Hvem som eier relasjonen
  • Hvilken tjeneste leverandøren tilbyr
  • Hvilke systemer eller data de har tilgang til
  • Om personopplysninger er involvert
  • Om underleverandører brukes
  • Når neste kontrakt eller sikkerhetsgjennomgang forfaller

Tilgang er en avgjørende komponent å registrere fordi leverandører har forskjellige privilegier og tilgangsbehov. Noen leverandører bruker navngitte kontoer. Andre er avhengige av delt påloggingsinformasjon, administratortilgang, API-nøkler, delte innbokser eller midlertidige pålogginger som forblir aktive lenge etter at det opprinnelige behovet er borte. Disse forskjellene betyr noe fordi de avgjør hvor raskt tilgangen kan endres under avslutning eller en hendelse.

Oversikten bør også inkludere mindre leverandører som kan falle utenfor formell anskaffelse. Et tillegg, en konsulent, en frilansutvikler, et byrå eller en spesialisert SaaS-tjeneste kan skape betydelig eksponering hvis den berører sensitive data eller kritiske arbeidsflyter.

Hovedverdien av en oversikt er å skape bedre tilgangskontroller. Når et leverandørforhold avsluttes, vet bedriften din hvilke kontoer som skal deaktiveres, hvilken påloggingsinformasjon som skal roteres, hvilke integrasjoner som skal fjernes, og hva som skal skje med lagrede data.

2. Klassifiser leverandører etter risiko, ikke bekvemmelighet

Etter å ha kartlagt leverandørene dine, grupper dem etter risikoen de skaper. Dette holder prosessen proporsjonal og unngår å behandle hver leverandør som enten ufarlig eller kritisk.

Høyrisikoleverandører behandler vanligvis sensitive data, støtter viktige operasjoner eller har privilegert tilgang. Dette kan inkludere skyinfrastruktur, identitetsplattformer, lønn, økonomi, HR-systemer, administrert IT, sikkerhetstjenester eller kjerne-SaaS-plattformer.

Middelsrisikoleverandører støtter viktig arbeid, men har snevrere tilgang. De kan inkludere samarbeidsplattformer, analyseverktøy, prosjektstyringssystemer, programvare for brukerstøtte eller byråer med begrensede tillatelser.

Lavrisikoleverandører har liten eller ingen tilgang til sensitive data eller forretningskritiske systemer. De bør fortsatt registreres, men de trenger ikke samme dybde i gjennomgangen med mindre rollen deres endres.

Nivået bør følge den faktiske tilgangen, ikke leverandørens omdømme, størrelse eller pris. En kjent plattform kan bli høyrisiko hvis den lagrer sensitive data. En liten oppdragstaker kan være høyrisiko hvis de har administratorrettigheter.

Bruk risikonivået til å avgjøre hvor grundig leverandøren skal vurderes, hvor ofte forholdet skal gjennomgås, og hvilke minimumskontroller som gjelder.

3. Sett sikkerhetskrav før tilgang gis

Leverandørvurderinger fungerer best når bedriften kjenner minimumskravene sine før tilgangen godkjennes.

For høyrisikoleverandører bør disse kravene dekke kontrollene som beskytter data og holder tilgangen ansvarlig: MFA, kryptering under overføring og i ro, rollebasert tilgangskontroll, revisjonslogger, prosedyrer for hendelseshåndtering, sårbarhetsstyring, kontroller for underleverandører, forpliktelser om datasletting og planlegging av driftskontinuitet.

Sikkerhetsbevis kan støtte den gjennomgangen. ISO 27001, SOC 2, nasjonale ordninger som Cyber Essentials i Storbritannia, sammendrag av penetrasjonstester eller sikkerhetsdokumenter kan alle hjelpe, avhengig av leverandørens rolle og følsomheten i forholdet.

Sertifiseringer og revisjonsrapporter beskriver hvordan en leverandør opererer. De sier mye mindre om hvem leverandøren faktisk er. En nylig undersøkelse av Passworks sikkerhet beviser at denne forskjellen betyr noe: en europeisk registrering, et polert nettsted og et «bygget for tillit»-budskap var nok til å passere listen hos organisasjoner som aldri sporet eierskapet, jurisdiksjonen eller opprinnelsen til koden de installerte.

For enhver leverandør som har sensitiv tilgang, hører to spørsmål hjemme sammen med kontrollsjekklisten: hvem eier og kontrollerer selskapet, og under hvilke lands lover opererer det; og kan uavhengige eksperter inspisere koden, eller stoler bedriften på et lukket system kun basert på leverandørens ord?

Middelsrisikoleverandører kan trenge en lettere gjennomgang, men de bør fortsatt kunne forklare hvordan de beskytter kontoer, begrenser ansattes tilgang, håndterer data, varsler kunder om hendelser og fjerner tilgang når forholdet avsluttes.

For lavrisikoleverandører kan hovedkontrollen være om de virkelig ikke har tilgang til sensitive systemer eller personopplysninger. Hvis det endrer seg, bør leverandøren vurderes på nytt.

En god prosess er streng der risikoen er høy og lett der risikoen er genuint lav. Den bør ikke gjøre hver leverandørgjennomgang til en bedriftsrevisjon, men den bør forhindre at sensitiv tilgang godkjennes kun basert på tillit.

4. Overvåk leverandører etter onboarding

Leverandører endrer systemene sine, underleverandører, retningslinjer, bemanning og sikkerhetskontroller. Bedriften din kan også gi dem mer tilgang over tid. Uten overvåking blir den opprinnelige vurderingen foreldet.

En praktisk overvåkingsprosess kan omfatte årlige gjennomganger for høyrisiko- og middelsrisikoleverandører, kontroller før kontraktsfornyelse, ny vurdering når tilgangen utvides, og gjennomgang etter en rapportert hendelse. Kritiske leverandører kan trenge hyppigere tilgangskontroller.

Overvåking bør omfatte laget for påloggingsinformasjon. Sjekk om leverandørkontoer fortsatt tilhører aktive kontaktpersoner, om tillatelser samsvarer med gjeldende omfang, om delt påloggingsinformasjon fortsatt eksisterer, og om integrasjoner eller API-nøkler fortsatt er nødvendige.

Det er her mange bedrifter finner unngåelig eksponering: gamle byråkontoer, ubrukte innlogginger for oppdragstakere, delte passord som ingen eier, integrasjoner opprettet for et tidligere prosjekt, og administratorrettigheter gitt for enkelhets skyld.

Leverandørrisiko hører også hjemme i kontinuitetsplanlegging. Hvis en kritisk leverandør blir utilgjengelig, rapporterer et brudd eller tvinger frem hasteendringer i tilgangen, trenger bedriften en måte å holde viktig arbeid gående. Protons guide til strategier for forretningskontinuitet⁠ forklarer hvorfor motstandskraft avhenger av mer enn sikkerhetskopier, spesielt når tilgang og påloggingsinformasjon er involvert.

5. Kontroller tredjeparters påloggingsinformasjon

Mange leverandørrisikoprogrammer ser solide ut på papiret, men svikter på påloggingsinformasjonsnivået. En leverandør kan se samsvarende ut på papiret og likevel skape eksponering gjennom måten tilgangen håndteres på i det daglige.

Risikoen ligger i gapet mellom den formelle prosessen og den realistiske: påloggingsinformasjon lagret utenfor godkjente systemer, delte kontoer uten en klar eier, eller API-nøkler som forblir aktive etter at leverandørforholdet endres.

Hvis disse tilgangsbanene ikke gjennomgås og tilbakekalles, kan bedriften fortsette å bære leverandørrisiko lenge etter at det opprinnelige arbeidet er avsluttet.

Tilgang for tredjeparter bør følge samme disiplin og bruke de samme passordretningslinjene som intern tilgang:

  • Gi leverandører bare den tilgangen de trenger
  • Bruk navngitte kontoer der det er mulig
  • Unngå delt påloggingsinformasjon med mindre det ikke finnes noe alternativ
  • Lagre delt påloggingsinformasjon i et kontrollert system for administrasjon av påloggingsinformasjon
  • Del filer med leverandører via kryptert skylagring for bedrifter med lenker som utløper, ikke e-postvedlegg
  • Gjennomgå tilgangen regelmessig
  • Tilbakekall tilgangen når arbeidet er avsluttet
  • Roter påloggingsinformasjon etter endringer i leverandørens ansatte eller hendelser
  • Krev MFA der tjenesten støtter det

En passordapp for bedrifter gjør disse reglene enkle å implementere. Den gir team et sikkert sted å lagre leverandørers påloggingsinformasjon, dele tilgang uten å sende passord via chat eller e-post, rotere passord og fjerne tilgang når et leverandørforhold avsluttes.

Sjekklisten din for leverandørsikkerhet

En sjekkliste for leverandørsikkerhet bør hjelpe bedriften din med å ta i bruk nye leverandører på en sikker måte.

Bruk den til å forstå forholdet tydelig:

  • Hvilke data vil leverandøren få tilgang til, behandle eller lagre?
  • Vil leverandøren behandle personopplysninger på våre vegne?
  • Vil leverandøren signere en databehandleravtale (DPA) og slette dataene våre når kontrakten utløper?
  • Hvor vil data bli lagret og behandlet?
  • Bruker leverandøren underleverandører?
  • Håndhever leverandøren MFA?
  • Hvordan kontrollerer leverandøren ansattes tilgang til kundedata?
  • Kan bedriften vår tildele rollebaserte tillatelser?
  • Kan tilgang fjernes umiddelbart?
  • Gir leverandøren revisjonslogger eller rapporter om administratoraktivitet?
  • Hvordan krypterer leverandøren data?
  • Hvor raskt vil leverandøren varsle oss om en sikkerhetshendelse?
  • Har leverandøren prosedyrer for forretningskontinuitet eller katastrofegjenoppretting?
  • Kan leverandøren gi sikkerhetsdokumentasjon, sertifiseringer eller revisjonssammendrag?
  • Har leverandøren opplevd en offentlig rapportert sikkerhetshendelse, og hvordan håndterte de den?
  • Hvem eier og kontrollerer selskapet, og under hvilken jurisdiksjon opererer det?
  • Er produktet åpen kildekode eller uavhengig revidert, slik at sikkerhetspåstandene kan verifiseres?

Sjekklisten bør vise hvilken risiko bedriften din aksepterer. En leverandør som mangler formell sertifisering, kan fortsatt være egnet for lavrisikoarbeid. En leverandør med administratortilgang, svak autentisering, vage tidslinjer for hendelser eller ingen klar sletteprosess er en helt annen beslutning.

For leverandører som allerede er i bruk, ta frem sjekklisten igjen ved fornyelser og planlagte gjennomganger. Den opprinnelige godkjenningen gjenspeiler kanskje ikke lenger måten verktøyet brukes på i dag. En leverandør som ble hentet inn for et lite prosjekt, kan stille bli en del av kundeoperasjoner, finansarbeidsflyter eller kritiske integrasjoner.

Hvordan Proton Pass for Business støtter tilgangskontroll for leverandører

Håndtering av leverandørrisiko blir mye vanskeligere når tredjeparters tilgang administreres utenfor et kontrollert system. En leverandør kan være godkjent, dokumentert og dekket av kontrakt, men den reelle eksponeringen avhenger ofte av daglige tilgangsbaner: delt påloggingsinformasjon, tillatelser, passnøkler, gjenopprettingskoder, API-nøkler og kontoer som må gjennomgås eller fjernes etter hvert som forholdet endres.

En passordapp for bedrifter som Proton Pass for Business⁠ hjelper bedrifter med å bringe denne tilgangen inn i en mer sikker og reviderbar prosess. Team kan lagre leverandørers påloggingsinformasjon i ende-til-ende-krypterte hvelv, generere sterke og unike passord, bruke autofyll for å redusere manuell håndtering, administrere passnøkler og dele tilgang uten å sende passord via e-post, chat eller prosjektdokumenter.

For leverandørtilgang spesielt kan delte hvelv bidra til å skille påloggingsinformasjon etter leverandør, prosjekt, team eller følsomhetsnivå. Dette gjør det lettere å holde tilgangen organisert, gjennomgå hvem som har tilgang til hva, og fjerne tilgang når en kontrakt avsluttes, en leverandørkontakt endres, eller en hendelse krever rask inndemming.

En passordapp for IT-team⁠ tilfører det administrative laget som trengs når prosessen blir mer formell. Retningslinjer, rapportering, logger, rollebasert tilgangskontroll, SCIM-provisjonering og integrering av enkeltpålogging hjelper bedrifter med å administrere tilgang konsekvent på tvers av team i stedet for å stole på individuelle vaner.

Proton Pass for Business støtter bedriften din ved å kontrollere påloggingsinformasjonen og tilgangsbanene leverandører bruker for å arbeide med bedriften din. Den er også åpen kildekode og uavhengig revidert, så den består den samme sjekklisten som vi anbefaler at du bruker på dine egne leverandører. Når leverandørtilgang lagres, deles, gjennomgås og tilbakekalles fra et kontrollert miljø, blir leverandørrisiko lettere å håndtere utover den første vurderingen.

Kontroller tredjeparters tilgang til påloggingsinformasjon på en sikker måte med en passordapp for bedrifter⁠.