De flesta företag förlitar sig inte bara på interna system. De drivs av molnplattformar, lönetjänster, marknadsföringsverktyg, IT-partner och dussintals SaaS-konton som håller det dagliga arbetet igång. Varje leverantör löser ett problem och skapar samtidigt en ny förtroenderelation.
Leverantörsriskhantering (VRM) är processen att bedöma, godkänna, övervaka och granska de säkerhetsrisker som uppstår när man arbetar med tredje parter. Den hjälper företag att förstå vilka leverantörer som kan få åtkomst till känsliga system eller data, vilka kontroller leverantörerna har på plats, om deras säkerhetsrutiner är tillräckligt robusta för att motivera den åtkomsten, och hur snabbt åtkomsten kan ändras om ett avtal upphör eller en incident inträffar.
Här förklaras hur du kan arbeta med leverantörsriskhantering i ditt eget företag: hur du bedömer de leverantörer du redan arbetar med, hur du klassificerar risker med tredjepartsleverantörer, vad en säkerhetschecklista för leverantörer bör innehålla och hur du kontrollerar leverantörers inloggningsuppgifter innan de blir en långsiktig exponering.
Vad leverantörsriskhantering omfattar
Din guide till leverantörsriskhantering
Din säkerhetschecklista för leverantörer
Hur Proton Pass for Business stöder åtkomstkontroll för leverantörer
Vad leverantörsriskhantering omfattar
Leverantörsriskhantering bygger på en enkel princip: varje extern part som kommer i kontakt med dina data, system eller affärsprocesser förändrar din riskprofil.
De flesta leverantörsrisker uppstår i det dagliga arbetet. Till exempel kan en tredjepartsbyrå bjudas in i ett företagsnätverk eftersom ett team behöver snabbhet, expertis eller mjukvara som företaget inte har internt. Åtkomst beviljas, data delas och relationen etableras som en del av det dagliga arbetet.
Risk uppstår när det inte är tydligt vad leverantören kan få åtkomst till, vilka kontroller som står mellan den åtkomsten och ett intrång, till exempel multifaktorautentisering (MFA), namngivna konton och kryptering, eller hur snabbt åtkomsten kan hittas och stängas av. Att återkalla den sker vanligtvis i själva systemet eller via SCIM-provisionering; det svåra för de flesta företag är att veta var man faktiskt ska leta.
Leverantören kan vara en stor molnleverantör, en nischad SaaS-plattform, en frilansande utvecklare eller en redovisningsbyrå. Leverantörens storlek och bransch är inte huvudproblemet. Deras åtkomst är det.
Leverantörsrisk visar sig på flera olika sätt:
- Datarisk: Leverantören kan se, lagra, behandla, överföra eller ta bort affärsdata eller personuppgifter.
- Åtkomstrisk: Leverantören kan logga in i system, hantera inställningar, använda integrationer eller nå adminpaneler.
- Operativ risk: Företaget är beroende av leverantören för ett kritiskt arbetsflöde, en tjänst eller en kundvänd process.
- Efterlevnadsrisk: Leverantörens roll påverkar dina skyldigheter enligt dataskyddslagar, till exempel krav på GDPR-efterlevnad, avtalskrav eller sektorsspecifika krav.
- Inloggningsrisk: Leverantörens åtkomst delas, återanvänds, saknar dokumentation eller är svår att återkalla.
Leverantörsrisk är svår att upptäcka eftersom den ofta byggs upp genom små åtkomstval som verkar logiska just då: en teammedlem delar en inloggning som hen inte borde, eller ett leverantörskonto behåller behörigheter för enkelhetens skull, eller en konsultbehörighet som ingen går igenom igen när projektet är slut. Med tiden blir undantagen en del av företagsmiljön, även när ingen aktivt hanterar dem.
Så bygger du en process för leverantörsriskhantering (VRM)
När leverantörsriskhantering görs effektivt behöver den inte göra varje beslut mer komplicerat. Den skapar ett tillförlitligt ramverk för hur företaget beviljar åtkomst med tydligare gränser. Här beskrivs de viktigaste stegen ditt företag kan ta för att bedöma sin egen leverantörsrisk och bygga en strategi för riskhantering.
1. Skapa en förteckning över dina leverantörer
Låt inte leverantörsriskhantering bli en reaktiv uppgift när du ombeds visa säkerhetsbevis eller förnya ett avtal. Gör den i stället till en proaktiv uppgift. Börja med att förstå de leverantörer som redan finns i verksamheten.
Att göra en leverantörsförteckning behöver inte vara komplicerat. Den behöver vara tillräckligt tydlig för att visa:
- Vem som äger relationen
- Vilken tjänst leverantören tillhandahåller
- Vilka system eller data de kan få åtkomst till
- Om personuppgifter ingår
- Om underbiträden används
- När nästa avtals- eller säkerhetsgranskning ska ske
Åtkomst är en avgörande komponent att dokumentera eftersom leverantörer har olika privilegier och åtkomstbehov. Vissa leverantörer använder namngivna konton. Andra förlitar sig på delade inloggningsuppgifter, adminåtkomst, API-nycklar, delade inkorgar eller tillfälliga inloggningar som förblir aktiva långt efter att det ursprungliga behovet har upphört. Dessa skillnader spelar roll eftersom de avgör hur snabbt åtkomsten kan ändras vid avveckling eller en incident.
Förteckningen bör även omfatta mindre leverantörer som kan ligga utanför formell upphandling. Ett insticksprogram, en konsult, en frilansande utvecklare, en byrå eller en specialiserad SaaS-tjänst kan skapa betydande exponering om den kommer i kontakt med känsliga data eller kritiska arbetsflöden.
Det främsta värdet med en förteckning är att skapa bättre åtkomstkontroller. När en leverantörsrelation upphör vet företaget vilka konton som ska inaktiveras, vilka inloggningsuppgifter som ska roteras, vilka integrationer som ska tas bort och vad som ska hända med lagrad data.
2. Klassificera leverantörer efter risk, inte efter bekvämlighet
När du har kartlagt dina leverantörer grupperar du dem efter den risk de skapar. Det håller processen proportionerlig och undviker att varje leverantör behandlas som antingen ofarlig eller kritisk.
Högriskleverantörer behandlar vanligtvis känsliga data, stöder verksamhetskritiska processer eller har privilegierad åtkomst. Det kan omfatta molninfrastruktur, identitetsplattformar, lönehantering, ekonomi, HR-system, hanterad IT, säkerhetstjänster eller centrala SaaS-plattformar.
Medelriskleverantörer stöder viktigt arbete men har mer begränsad åtkomst. De kan omfatta samarbetsplattformar, analysverktyg, projektledningssystem, helpdesk-programvara eller byråer med begränsade behörigheter.
Lågriskleverantörer har liten eller ingen åtkomst till känsliga data eller affärskritiska system. De bör fortfarande dokumenteras, men de behöver inte samma djupgående granskning om inte deras roll förändras.
Nivån bör följa den faktiska åtkomsten, inte leverantörens rykte, storlek eller pris. En välbekant plattform kan bli hög risk om den lagrar känsliga data. En liten konsult kan utgöra hög risk om konsulten har adminprivilegier.
Använd risknivån för att avgöra hur djupt leverantören ska bedömas, hur ofta relationen ska granskas och vilka minimikontroller som gäller.
3. Fastställ säkerhetskrav innan åtkomst beviljas
Leverantörsbedömningar fungerar bäst när företaget känner till sina minimikrav innan åtkomst godkänns.
För högriskleverantörer bör kraven omfatta de kontroller som skyddar data och gör åtkomsten spårbar: MFA, kryptering under överföring och i vila, rollbaserad åtkomstkontroll, granskningsloggar, rutiner för incidenthantering, sårbarhetshantering, kontroller för underbiträden, åtaganden om radering av data och kontinuitetsplanering.
Säkerhetsbevis kan stödja den granskningen. ISO 27001, SOC 2, nationella system som Cyber Essentials i Storbritannien, sammanfattningar av penetrationstester eller säkerhetswhitepapers kan alla vara till hjälp, beroende på leverantörens roll och relationens känslighet.
Certifieringar och revisionsrapporter beskriver hur en leverantör arbetar. De säger mycket mindre om vem leverantören faktiskt är. En nyligen genomförd undersökning av Passworks säkerhet visar att denna skillnad spelar roll: en europeisk registrering, en polerad webbplats och ett budskap om att vara ”byggd för förtroende” räckte för att klara ribban hos organisationer som aldrig spårade ägandet, jurisdiktionen eller ursprunget till koden de installerade.
För alla leverantörer med känslig åtkomst hör två frågor hemma bredvid kontrollistan: vem äger och kontrollerar företaget, och enligt vilket lands lagar verkar det; och kan oberoende experter granska koden, eller litar företaget på ett slutet system enbart på leverantörens ord?
Medelriskleverantörer kan behöva en lättare granskning, men de bör fortfarande kunna förklara hur de skyddar konton, begränsar anställdas åtkomst, hanterar data, meddelar kunder om incidenter och tar bort åtkomst när relationen upphör.
För lågriskleverantörer kan den viktigaste kontrollen vara om de verkligen inte har någon åtkomst till känsliga system eller personuppgifter. Om det ändras bör leverantören bedömas på nytt.
En bra process är strikt där risken är hög och enkel där risken verkligen är låg. Den bör inte förvandla varje leverantörsgranskning till en företagsrevision, men den bör förhindra att känslig åtkomst godkänns enbart på förtroende.
4. Övervaka leverantörer efter att de har tagits in
Leverantörer ändrar sina system, underbiträden, policyer, bemanning och säkerhetskontroller. Ditt företag kan också ge dem mer åtkomst över tid. Utan övervakning blir den ursprungliga bedömningen inaktuell.
En praktisk övervakningsprocess kan omfatta årliga granskningar för högriskleverantörer och medelriskleverantörer, kontroller före avtalsförnyelse, ny bedömning när åtkomsten utökas och granskning efter varje rapporterad incident. Kritiska leverantörer kan behöva tätare åtkomstkontroller.
Övervakningen bör omfatta skiktet för inloggningsuppgifter. Kontrollera om leverantörskonton fortfarande tillhör aktiva kontaktpersoner, om behörigheter matchar nuvarande omfattning, om delade inloggningsuppgifter fortfarande finns och om integrationer eller API-nycklar fortfarande behövs.
Det är här många företag hittar exponering som hade kunnat undvikas: gamla byråkonton, oanvända inloggningar för entreprenörer, delade lösenord som ingen ansvarar för, integrationer som skapats för ett tidigare projekt och adminbehörigheter som beviljats för enkelhetens skull.
Leverantörsrisk hör också hemma i kontinuitetsplaneringen. Om en kritisk leverantör blir otillgänglig, rapporterar ett intrång eller tvingar fram akuta åtkomständringar behöver verksamheten ett sätt att hålla det viktigaste arbetet igång. Protons guide till strategier för verksamhetskontinuitet förklarar varför motståndskraft beror på mer än säkerhetskopior, särskilt när åtkomst och inloggningsuppgifter är inblandade.
5. Kontrollera inloggningsuppgifter för tredje part
Många program för leverantörsrisk ser stabila ut på papper men misslyckas sedan på inloggningsuppgiftsnivå. En leverantör kan verka regelefterlevande på papper och ändå skapa exponering genom hur åtkomsten hanteras i vardagen.
Risken finns i gapet mellan den formella processen och den som fungerar i praktiken: inloggningsuppgifter som förvaras utanför godkända system, delade konton utan tydlig ägare eller API-nycklar som förblir aktiva efter att leverantörsrelationen ändras.
Om dessa åtkomstvägar inte granskas och återkallas kan verksamheten fortsätta bära leverantörsrisk långt efter att det ursprungliga arbetet har avslutats.
Åtkomst för tredje part bör följa samma disciplin och använda samma lösenordspolicyer som intern åtkomst:
- Ge leverantörer endast den åtkomst de behöver.
- Använd namngivna konton där det är möjligt.
- Undvik delade inloggningsuppgifter om det inte finns något alternativ.
- Lagra delade inloggningsuppgifter i ett kontrollerat system för hantering av inloggningsuppgifter.
- Dela filer med leverantörer via krypterad molnlagring för företag med länkar som löper ut, inte e-postbilagor.
- Granska åtkomst regelbundet.
- Återkalla åtkomst när arbetet avslutas.
- Rotera inloggningsuppgifter efter ändringar i leverantörens personal eller incidenter.
- Kräv MFA överallt där tjänsten stöder det.
En lösenordshanterare för företag gör reglerna enkla att införa. Den ger team en säker plats att lagra leverantörers inloggningsuppgifter, dela åtkomst utan att skicka lösenord via chatt eller e-post, rotera lösenord och ta bort åtkomst när en leverantörsrelation avslutas.
Din checklista för leverantörssäkerhet
En checklista för leverantörssäkerhet bör hjälpa ditt företag att introducera nya leverantörer på ett säkert sätt.
Använd den för att få en tydlig förståelse för relationen:
- Vilka data kommer leverantören att få åtkomst till, behandla eller lagra?
- Kommer leverantören att behandla personuppgifter för vår räkning?
- Kommer leverantören att underteckna ett personuppgiftsbiträdesavtal (DPA) och ta bort våra uppgifter när avtalet upphör?
- Var kommer data att lagras och behandlas?
- Använder leverantören underbiträden?
- Kräver leverantören MFA?
- Hur kontrollerar leverantören anställdas åtkomst till kunddata?
- Kan vårt företag tilldela rollbaserade behörigheter?
- Kan åtkomst tas bort omedelbart?
- Tillhandahåller leverantören granskningsloggar eller rapporter om adminaktivitet?
- Hur krypterar leverantören data?
- Hur snabbt meddelar leverantören oss om en säkerhetsincident?
- Har leverantören rutiner för verksamhetskontinuitet eller katastrofåterställning?
- Kan leverantören tillhandahålla säkerhetsdokumentation, certifieringar eller sammanfattningar av granskningar?
- Har leverantören varit med om en offentligt rapporterad säkerhetsincident, och hur hanterade leverantören den?
- Vem äger och kontrollerar företaget, och under vilken jurisdiktion verkar det?
- Är produkten öppen källkod eller oberoende granskad, så att dess säkerhetspåståenden kan verifieras?
Checklistan bör visa vilken risk ditt företag accepterar. En leverantör som saknar formell certifiering kan fortfarande vara lämplig för lågriskarbete. En leverantör med adminåtkomst, svag autentisering, otydliga tidslinjer för incidenter eller ingen tydlig raderingsprocess är ett helt annat beslut.
För leverantörer som redan används, ta fram checklistan igen vid förnyelser och planerade granskningar. Det ursprungliga godkännandet speglar kanske inte längre hur verktyget används i dag. En leverantör som togs in för ett litet projekt kan tyst bli en del av kundverksamheten, ekonomiflödena eller kritiska integrationer.
Hur Proton Pass for Business stöder åtkomstkontroll för leverantörer
Hantering av leverantörsrisk blir mycket svårare när åtkomst för tredje part hanteras utanför ett kontrollerat system. En leverantör kan vara godkänd, dokumenterad och avtalsreglerad, men den verkliga exponeringen beror ofta på vardagliga åtkomstvägar: delade inloggningsuppgifter, behörigheter, passnycklar, återställningskoder, API-nycklar och konton som behöver granskas eller tas bort när relationen ändras.
En lösenordshanterare för företag som Proton Pass for Business hjälper företag att få in den åtkomsten i en säkrare och granskningsbar process. Team kan lagra leverantörers inloggningsuppgifter i end-to-end-krypterade valv, generera starka och unika lösenord, använda autofyll för att minska manuell hantering, hantera passnycklar och dela åtkomst utan att skicka lösenord via e-post, chatt eller projektdokument.
För just leverantörsåtkomst kan delade valv hjälpa till att separera inloggningsuppgifter efter leverantör, projekt, team eller känslighetsnivå. Det gör det enklare att hålla åtkomsten organiserad, granska vem som har åtkomst till vad och ta bort åtkomst när ett avtal upphör, en leverantörskontakt ändras eller en incident kräver snabb begränsning.
En lösenordshanterare för IT-team lägger till det administrativa lager som behövs när processen blir mer formell. Policyer, rapportering, loggar, rollbaserad åtkomstkontroll, SCIM-provisionering och integration med enkel inloggning hjälper företag att hantera åtkomst konsekvent över team i stället för att förlita sig på individuella vanor.
Proton Pass for Business stöder ditt företag genom att kontrollera de inloggningsuppgifter och åtkomstvägar som leverantörer använder för att arbeta med ditt företag. Det är också öppen källkod och oberoende granskat, så det klarar samma checklista som vi rekommenderar att du tillämpar på dina egna leverantörer. När leverantörsåtkomst lagras, delas, granskas och återkallas från en kontrollerad miljö blir leverantörsrisk lättare att hantera utöver den inledande bedömningen.
Kontrollera åtkomst till inloggningsuppgifter för tredje part på ett säkert sätt med en lösenordshanterare för företag.
