Risicobeheer voor leveranciers: hoe u de beveiliging van derden beoordeelt

De meeste bedrijven vertrouwen niet alleen op interne systemen. Ze draaien op cloudplatforms, loonadministratieaanbieders, marketingtools, IT-partners en tientallen SaaS-accounts die het dagelijkse werk gaande houden. Elke leverancier lost een probleem op, en elke leverancier creëert ook een nieuwe vertrouwensrelatie.

Leveranciersrisicobeheer (VRM) is het proces van het beoordelen, goedkeuren, monitoren en herzien van de beveiligingsrisico’s die voortkomen uit samenwerking met derden. Het helpt bedrijven te begrijpen welke leveranciers toegang hebben tot gevoelige systemen of gegevens, welke beheersmaatregelen die leveranciers hebben ingevoerd, of hun beveiligingspraktijken deugdelijk genoeg zijn om die toegang te rechtvaardigen, en hoe snel toegang kan worden gewijzigd als een contract eindigt of er een incident plaatsvindt.

In dit artikel wordt uitgelegd hoe u leveranciersrisicobeheer binnen uw eigen bedrijf aanpakt: hoe u de leveranciers beoordeelt waarmee u al samenwerkt, hoe u risico’s van leveranciers van derden classificeert, wat u opneemt in een beveiligingschecklist voor leveranciers, en hoe u inloggegevens van leveranciers beheert voordat ze een langdurige blootstelling vormen.

Wat leveranciersrisicobeheer omvat

Uw gids voor leveranciersrisicobeheer

Uw beveiligingschecklist voor leveranciers

Hoe Proton Pass for Business toegangsbeheer voor leveranciers ondersteunt

Wat leveranciersrisicobeheer omvat

Leveranciersrisicobeheer is gebaseerd op een eenvoudig principe: elke externe partij die uw gegevens, systemen of bedrijfsprocessen raakt, verandert uw risicoprofiel.

Het meeste leveranciersrisico ontstaat door dagelijks werk. Een extern bureau kan bijvoorbeeld worden toegelaten tot een bedrijfsnetwerk omdat een team snelheid, expertise of software nodig heeft die het bedrijf niet in huis heeft. Toegang wordt verleend, gegevens worden gedeeld en de relatie wordt opgebouwd als onderdeel van het dagelijkse werk.

Risico ontstaat wanneer niet duidelijk is waartoe die leverancier toegang heeft, welke maatregelen tussen die toegang en een schending staan — multi-factorauthenticatie (MFA), accounts op naam, versleuteling — of hoe snel die toegang kan worden gevonden en afgesloten. Het intrekken ervan gebeurt meestal binnen het systeem zelf of via SCIM-provisioning; het moeilijkste voor de meeste bedrijven is weten waar ze precies moeten kijken.

De leverancier kan een grote cloudaanbieder, een niche-SaaS-platform, een freelance ontwikkelaar of een accountantskantoor zijn. De grootte en sector van de leverancier zijn niet het belangrijkste probleem. Hun toegang is dat wel.

Leveranciersrisico komt op verschillende manieren tot uiting:

Datarisico: De leverancier kan bedrijfs- of persoonsgegevens bekijken, opslaan, verwerken, overdragen of verwijderen.
Toegangsrisico: De leverancier kan zich aanmelden bij systemen, instellingen beheren, integraties gebruiken of beheerderspanelen bereiken.
Operationeel risico: Het bedrijf is afhankelijk van de leverancier voor een kritieke workflow, dienst of klantgericht proces.
Nalevingsrisico: De functie van de leverancier beïnvloedt uw verplichtingen op grond van gegevensbeschermingswetten (zoals GDPR-nalevingsvereisten), contractuele of sectorspecifieke vereisten.
Inloggegevensrisico: Toegang van leveranciers wordt gedeeld, hergebruikt, niet gedocumenteerd of is moeilijk in te trekken.

Leveranciersrisico is moeilijk te herkennen omdat het vaak ontstaat door kleine toegangskeuzes die op dat moment logisch lijken: een teamlid deelt inloggegevens die niet gedeeld zouden mogen worden, of een leveranciersaccount behoudt machtigingen voor het gemak, of een machtiging voor een contractor die niemand opnieuw bekijkt nadat het project is afgelopen. Na verloop van tijd worden die uitzonderingen onderdeel van de bedrijfsomgeving, zelfs wanneer niemand ze actief beheert.

Hoe u een proces voor leveranciersrisicobeheer (VRM) opzet

Effectief uitgevoerd maakt leveranciersrisicobeheer niet elke beslissing ingewikkelder. Het creëert een betrouwbaar kader voor hoe uw bedrijf toegang verleent met duidelijkere grenzen. We bekijken de belangrijkste stappen die uw bedrijf kan nemen om uw eigen leveranciersrisico te beoordelen en een risicobeheerstrategie op te bouwen.

1. Stel een inventaris op van uw leveranciers

In plaats van leveranciersrisicobeheer een reactieve taak te laten worden wanneer u wordt gevraagd om beveiligingsbewijs of een contract te verlengen, maak er een proactieve taak van. Begin met het in kaart brengen van de leveranciers die al deel uitmaken van uw activiteiten.

Het opstellen van een leveranciersinventaris hoeft niet complex te zijn. Het moet duidelijk genoeg zijn om het volgende te tonen:

Wie eigenaar is van de relatie
Welke dienst de leverancier levert
Tot welke systemen of gegevens zij toegang hebben
Of er persoonsgegevens bij betrokken zijn
Of er subverwerkers worden gebruikt
Wanneer het volgende contract of de volgende beveiligingsbeoordeling aan de orde is

Toegang is een cruciaal onderdeel om vast te leggen, omdat leveranciers verschillende privileges en toegangsbehoeften hebben. Sommige leveranciers gebruiken accounts op naam. Andere vertrouwen op gedeelde inloggegevens, beheerderstoegang, API-sleutels, gedeelde inboxen of tijdelijke aanmeldingen die actief blijven lang nadat de oorspronkelijke behoefte is verdwenen. Deze verschillen zijn belangrijk omdat ze bepalen hoe snel toegang kan worden gewijzigd tijdens offboarding of een incident.

De inventaris moet ook kleinere leveranciers bevatten die buiten formele inkoop vallen. Een invoegtoepassing, consultant, freelance ontwikkelaar, bureau of gespecialiseerde SaaS-dienst kan aanzienlijke blootstelling veroorzaken als deze gevoelige gegevens of kritieke workflows raakt.

De belangrijkste waarde van een inventaris is het creëren van betere toegangscontroles. Wanneer een leveranciersrelatie eindigt, weet uw bedrijf welke accounts moeten worden uitgeschakeld, welke inloggegevens moeten worden geroteerd, welke integraties moeten worden verwijderd en wat er met opgeslagen gegevens moet gebeuren.

2. Classificeer leveranciers op risico, niet op gemak

Nadat u uw leveranciers in kaart hebt gebracht, groepeert u ze op basis van het risico dat ze vormen. Zo blijft het proces in verhouding en voorkomt u dat elke leverancier als onschadelijk of juist kritiek wordt behandeld.

Leveranciers met een hoog risico verwerken meestal gevoelige gegevens, ondersteunen essentiële activiteiten of hebben bevoorrechte toegang. Dit kan cloudinfrastructuur, identiteitsplatforms, loonadministratie, financiën, HR-systemen, beheerde IT, beveiligingsdiensten of kern-SaaS-platforms omvatten.

Leveranciers met een gemiddeld risico ondersteunen belangrijk werk, maar hebben beperktere toegang. Hieronder vallen samenwerkingsplatforms, analysetools, projectmanagementsystemen, helpdesksoftware of bureaus met beperkte machtigingen.

Leveranciers met een laag risico hebben weinig of geen toegang tot gevoelige gegevens of bedrijfskritische systemen. Ze moeten nog steeds worden vastgelegd, maar hebben niet dezelfde diepgang van beoordeling nodig, tenzij hun functie verandert.

De categorie moet gebaseerd zijn op de werkelijke toegang, niet op de reputatie, grootte of prijs van de leverancier. Een bekend platform kan een hoog risico vormen als er gevoelige gegevens worden opgeslagen. Een kleine contractor kan een hoog risico vormen als deze beheerdersrechten heeft.

Gebruik het risiconiveau om te bepalen hoe diepgaand u de leverancier beoordeelt, hoe vaak u de relatie evalueert en welke minimale maatregelen van toepassing zijn.

3. Stel beveiligingsvereisten vast voordat toegang wordt verleend

Leveranciersbeoordelingen werken het beste wanneer het bedrijf zijn minimale vereisten kent voordat toegang wordt goedgekeurd.

Voor leveranciers met een hoog risico moeten die vereisten betrekking hebben op de maatregelen die gegevens beschermen en toegang controleerbaar houden: MFA, versleuteling tijdens transport en in rust, op rollen gebaseerd toegangsbeheer, auditlogboeken, procedures voor incidentrespons, kwetsbaarheidsbeheer, maatregelen voor subverwerkers, toezeggingen over gegevensverwijdering en bedrijfscontinuïteitsplanning.

Beveiligingsbewijs kan die beoordeling ondersteunen. ISO 27001, SOC 2, nationale regelingen zoals Cyber Essentials in het VK, samenvattingen van penetratietests of beveiligingswhitepapers kunnen allemaal helpen, afhankelijk van de functie van de leverancier en de gevoeligheid van de relatie.

Certificeringen en auditrapporten beschrijven hoe een leverancier te werk gaat. Ze zeggen veel minder over wie de leverancier werkelijk is. Een recent onderzoek naar de veiligheid van Passwork bewijst dat dit onderscheid belangrijk is: een Europese registratie, een gepolijste website en een “gebouwd voor vertrouwen”-boodschap waren genoeg om de lat te halen bij organisaties die nooit de eigendom, jurisdictie of herkomst van de code die ze installeerden hebben nagetrokken.

Voor elke leverancier met gevoelige toegang horen twee vragen naast de controlechecklist: wie is eigenaar van en heeft zeggenschap over het bedrijf, en onder welke nationale wetgeving het opereert; en kunnen onafhankelijke experts de code inspecteren, of vertrouwt het bedrijf op een gesloten systeem op basis van alleen de verklaring van de leverancier?

Leveranciers met een gemiddeld risico hebben misschien een lichtere beoordeling nodig, maar moeten nog steeds kunnen uitleggen hoe ze accounts beschermen, toegang van medewerkers beperken, met gegevens omgaan, klanten op de hoogte stellen van incidenten en toegang verwijderen wanneer de relatie eindigt.

Voor leveranciers met een laag risico is de belangrijkste controle misschien of ze echt geen toegang hebben tot gevoelige systemen of persoonsgegevens. Als dat verandert, moet de leverancier opnieuw worden beoordeeld.

Een goed proces is streng waar het risico hoog is en licht waar het risico echt laag is. Het mag niet van elke leveranciersbeoordeling een bedrijfsbrede audit maken, maar het moet voorkomen dat gevoelige toegang alleen op basis van vertrouwen wordt goedgekeurd.

4. Monitor leveranciers na onboarding

Leveranciers veranderen hun systemen, subverwerkers, beleid, personele bezetting en beveiligingsmaatregelen. Uw bedrijf kan hun in de loop van de tijd ook meer toegang geven. Zonder monitoren raakt uw oorspronkelijke beoordeling verouderd.

Een praktisch monitoringsproces kan jaarlijkse evaluaties voor leveranciers met een hoog of gemiddeld risico omvatten, controles vóór contractverlenging, herbeoordeling wanneer de toegang wordt uitgebreid en evaluatie na elk gemeld incident. Kritieke leveranciers hebben mogelijk frequentere toegangscontroles nodig.

Monitoren moet ook de laag van inloggegevens omvatten. Controleer of leveranciersaccounts nog bij actieve contactpersonen horen, of machtigingen overeenkomen met de huidige reikwijdte, of gedeelde inloggegevens nog bestaan en of integraties of API-sleutels nog nodig zijn.

Hier vinden veel bedrijven vermijdbare blootstelling: oude bureauaccounts, ongebruikte inloggegevens van contractors, gedeelde wachtwoorden die niemand beheert, integraties die voor een eerder project zijn gemaakt en beheerdersmachtigingen die voor het gemak zijn toegekend.

Leveranciersrisico hoort ook bij continuïteitsplanning. Als een kritieke leverancier niet beschikbaar is, een datalek meldt of noodgedwongen wijzigingen in toegang doorvoert, heeft het bedrijf een manier nodig om essentiële werkzaamheden gaande te houden. De gids van Proton over strategieën voor bedrijfscontinuïteit⁠ legt uit waarom veerkracht van meer afhangt dan back-ups, vooral wanneer toegang en inloggegevens in het spel zijn.

5. Beheer inloggegevens van derden

Veel leveranciersrisicoprogramma’s zien er op papier solide uit en falen vervolgens op het niveau van inloggegevens. Een leverancier kan op papier compliant lijken en toch blootstelling veroorzaken door de manier waarop dagelijks met toegang wordt omgegaan.

Het risico zit in de kloof tussen het formele proces en de praktijk: inloggegevens die buiten goedgekeurde systemen zijn opgeslagen, gedeelde accounts zonder duidelijke eigenaar of API-sleutels die actief blijven nadat de leveranciersrelatie verandert.

Als die toegangspaden niet worden beoordeeld en ingetrokken, kan het bedrijf nog lang nadat het oorspronkelijke werk is afgerond leveranciersrisico blijven dragen.

Toegang van derden moet dezelfde discipline volgen en hetzelfde wachtwoordbeleid gebruiken als interne toegang:

Geef leveranciers alleen de toegang die ze nodig hebben
Gebruik waar mogelijk accounts op naam
Vermijd gedeelde inloggegevens, tenzij er geen alternatief is
Sla gedeelde inloggegevens op in een gecontroleerd systeem voor inloggegevensbeheer
Deel bestanden met leveranciers via versleutelde cloudopslag voor bedrijven met verlopende koppelingen, niet via e-mailbijlagen
Controleer toegang regelmatig
Trek toegang in wanneer het werk eindigt
Roteer inloggegevens na personeelswijzigingen bij leveranciers of incidenten
Vereis MFA waar de service dit ondersteunt

Een zakelijke wachtwoordbeheerder maakt deze regels eenvoudig te implementeren. Het geeft teams een veilige plek om inloggegevens van leveranciers op te slaan, toegang te delen zonder wachtwoorden via chat of e-mail te versturen, wachtwoorden te roteren en toegang te verwijderen wanneer een leveranciersrelatie eindigt.

Uw checklist voor leveranciersbeveiliging

Een checklist voor leveranciersbeveiliging moet uw bedrijf helpen nieuwe leveranciers veilig te onboarden.

Gebruik het om de relatie duidelijk te begrijpen:

Tot welke gegevens krijgt de leverancier toegang, welke verwerkt of bewaart deze?
Verwerkt de leverancier persoonsgegevens namens ons?
Ondertekent de leverancier een verwerkersovereenkomst (DPA) en verwijdert deze onze gegevens wanneer het contract eindigt?
Waar worden gegevens opgeslagen en verwerkt?
Gebruikt de leverancier subverwerkers?
Verplicht de leverancier MFA?
Hoe beheert de leverancier de toegang van medewerkers tot klantgegevens?
Kan ons bedrijf functiegebaseerde machtigingen toewijzen?
Kan toegang onmiddellijk worden verwijderd?
Verstrekt de leverancier auditlogboeken of rapporten over beheerdersactiviteiten?
Hoe versleutelt de leverancier gegevens?
Hoe snel informeert de leverancier ons over een beveiligingsincident?
Heeft de leverancier procedures voor bedrijfscontinuïteit of noodherstel?
Kan de leverancier beveiligingsdocumentatie, certificeringen of auditsamenvattingen verstrekken?
Heeft de leverancier een openbaar gemeld beveiligingsincident meegemaakt, en hoe heeft deze dat aangepakt?
Wie is eigenaar van en heeft zeggenschap over het bedrijf, en onder welke jurisdictie opereert het?
Is het product open source of onafhankelijk geaudit, zodat de beveiligingsclaims kunnen worden geverifieerd?

De checklist moet elk risico tonen dat uw bedrijf accepteert. Een leverancier zonder formele certificering kan nog steeds geschikt zijn voor werk met een laag risico. Een leverancier met beheerderstoegang, zwakke verificatie, vage incidenttijdlijnen of geen duidelijk verwijderproces is een heel andere beslissing.

Voor leveranciers die al in gebruik zijn, neemt u de checklist opnieuw door bij verlengingen en geplande evaluaties. De oorspronkelijke goedkeuring weerspiegelt mogelijk niet meer hoe de tool vandaag wordt gebruikt. Een leverancier die voor een klein project is binnengehaald, kan geruisloos onderdeel worden van klantprocessen, financiële workflows of kritieke integraties.

Hoe Proton Pass for Business toegangsbeheer voor leveranciers ondersteunt

Risicobeheer voor leveranciers wordt veel moeilijker wanneer toegang van derden buiten een gecontroleerd systeem wordt beheerd. Een leverancier kan zijn goedgekeurd, gedocumenteerd en contractueel gedekt, maar de werkelijke blootstelling hangt vaak af van alledaagse toegangspaden: gedeelde inloggegevens, machtigingen, passkeys, herstelcodes, API-sleutels en accounts die moeten worden beoordeeld of verwijderd wanneer de relatie verandert.

Een zakelijke wachtwoordbeheerder zoals Proton Pass for Business⁠ helpt bedrijven die toegang onder te brengen in een veiliger en auditbaar proces. Teams kunnen inloggegevens van leveranciers opslaan in end-to-end versleutelde kluizen, sterke en unieke wachtwoorden genereren, automatisch aanvullen gebruiken om handmatige handelingen te beperken, passkeys beheren en toegang delen zonder wachtwoorden via e-mail, chat of projectdocumenten te versturen.

Specifiek voor leverancierstoegang kunnen gedeelde kluizen helpen om inloggegevens te scheiden per leverancier, project, team of gevoeligheidsniveau. Dit maakt het gemakkelijker om toegang georganiseerd te houden, te controleren wie toegang tot wat heeft en toegang te verwijderen wanneer een contract eindigt, een leverancierscontact verandert of een incident snelle indamming vereist.

Een wachtwoordbeheerder voor IT-teams⁠ voegt de beheerslaag toe die nodig is naarmate het proces formeler wordt. Beleid, rapportage, logboeken, functiegebaseerd toegangsbeheer, SCIM-provisioning en integratie met single sign-on helpen bedrijven toegang consistent over teams heen te beheren in plaats van te vertrouwen op individuele gewoonten.

Proton Pass for Business ondersteunt uw bedrijf door de inloggegevens en toegangspaden te beheren die leveranciers gebruiken om met uw bedrijf samen te werken. Het is ook open source en onafhankelijk geaudit, dus het doorstaat dezelfde checklist die wij u aanraden op uw eigen leveranciers toe te passen. Wanneer toegang van leveranciers vanuit een gecontroleerde omgeving wordt opgeslagen, gedeeld, beoordeeld en ingetrokken, wordt leveranciersrisico gemakkelijker te beheren na de eerste beoordeling.

Beheer toegang tot inloggegevens van derden veilig met een zakelijke wachtwoordbeheerder⁠.