Dine leverandører er din attack surface
Modern virksomhet er avhengig av leverandører — skytjenester, IT-partnere, konsulenter, underleverandører. Hver slik kobling er en potensiell inngang for angripere. NIS2 anerkjenner dette og gjør leverandørsikkerhet til et eksplisitt krav.
Realiteten: Når du gir en leverandør tilgang til dine systemer eller data, deler du din risiko med dem. Men ansvaret forblir hos deg.
Hva krever NIS2?
NIS2 Artikkel 21 — Leverandørsikkerhet:
Organisasjoner skal iverksette passende tiltak vedrørende:
- Sikkerhetsaspekter i forholdet til leverandører
- Sikkerhetskvaliteten hos leverandørenes produkter/tjenester
- Cybersikkerhetsmetoder hos leverandører, inkludert utviklingsprosesser
- Leverandørenes sårbarhetshåndtering og rapportering
Konsekvens: Du kan ikke skylde på leverandøren ved en hendelse. Du er ansvarlig for å ha håndtert risikoen.
Vanlige risikoer i leverandørkjeden
Leverandøren har ikke tilstrekkelig sikkerhet på plass. Deres svakheter blir dine svakheter.
Leverandøren har mer tilgang enn nødvendig. Større attack surface ved innbrudd.
Leverandøren melder ikke fra ved hendelser. Du vet ikke at du er eksponert.
Leverandørens underleverandører er ukjente. Risikokjeden forlenges ukontrollert.
Hvem har ansvar for hva ved hendelse? Uklare avtaler fører til forsinkelser og konflikter.
Kritisk avhengighet av én leverandør. Hvis de feiler, feiler du.
5 steg for effektiv vendor compliance
- Inventér og klassifiser List alle leverandører med systemtilgang, datahåndtering eller virksomhetskritisk betydning. Klassifiser etter risikonivå: Kritisk, Høy, Middels, Lav. Fokuser ressursene på de kritiske.
- Definer sikkerhetskrav Opprett kravnivåer tilpasset klassifisering. Kritiske leverandører: ISO 27001 eller tilsvarende, penetrasjonstester, hendelsesrapportering. Lavere risiko: grunnleggende sikkerhetspolicyer.
- Gjennomfør vurdering Bruk standardiserte spørreskjemaer. Be om dokumentasjon. For kritiske leverandører: vurder on-site eller virtuell audit. Verifiser svar, stol ikke blindt.
- Oppdater avtaler Sørg for at avtaler inneholder: sikkerhetskrav, hendelsesrapporteringsplikt, revisjonsrett, krav til underleverandører, ansvar ved sikkerhetsbrist, exit-vilkår.
- Overvåk kontinuerlig Vendor compliance er ikke et engangsprosjekt. Årlig omgranskning av kritiske leverandører. Følg med på nyheter om innbrudd. Reager på endringer.
Spørsmål å stille leverandører
Grunnleggende spørsmål (alle leverandører)
- Har dere en dokumentert informasjonssikkerhetspolicy?
- Hvordan håndterer dere sikkerhetshendelser?
- Har dere noen sikkerhetssertifisering (ISO 27001, SOC 2)?
- Hvor raskt kan dere melde fra til oss ved en hendelse?
- Hvilke underleverandører bruker dere som berører oss?
Fordypende spørsmål (kritiske leverandører)
- Kan vi se deres siste penetrasjonstestrapport?
- Hvor ofte gjennomfører dere sikkerhetsrevisjoner?
- Hvilken opplæring får personalet deres i sikkerhet?
- Hvordan håndterer dere patching og sårbarheter?
- Hva er deres RTO/RPO for tjenester til oss?
- Hvordan sikrer dere sikkerhet hos deres underleverandører?
Avtalecheckliste
Må finnes:
- Referanse til deres sikkerhetskrav
- Plikt til å opprettholde sikkerhetsstandard
- Hendelsesrapportering innen [X] timer
- Rett til sikkerhetsrevisjon
- Krav om godkjenning av underleverandører
Bør finnes:
- SLA for sikkerhetsrelaterte problemer
- Ansvar ved sikkerhetshendelse
- Plikt til å informere om endringer
- Krav til backup og disaster recovery
- Exit-vilkår og datahåndtering ved avslutning
Røde flagg
"Det er konfidensielt" er ikke et akseptabelt svar på grunnleggende sikkerhetsspørsmål.
Hvis de ikke kan vise policyer og prosedyrer, har de sannsynligvis ikke modne prosesser.
"Vi har aldri hatt hendelser" er sjelden sant. Enten undersøker de ikke, eller er de ikke ærlige.
Hvis de ikke vet hvilke underleverandører som håndterer deres data, er det et alvorlig varselsignal.
Praktiske tips
Prioriter riktig
Alle leverandører trenger ikke samme granskning. En skyleverandør som håndterer kundedata krever dypere granskning enn en leverandør av kontormateriell.
Bruk standarder
Spørreskjemaer som SIG (Standardized Information Gathering) eller CAIQ (Consensus Assessments Initiative Questionnaire) sparer tid og gir sammenlignbarhet.
Automatiser der det er mulig
Manuell leverandørhåndtering skalerer ikke. Bruk verktøy for å håndtere vurderinger, påminnelser og dokumentasjon.
Vær klar til å handle
Hvis en leverandør ikke oppfyller kravene, ha en plan. Kan de forbedres? Finnes alternativer? Hvilke kompenserende kontroller kan implementeres?
Slik kan Securapilot hjelpe
Securapilots leverandørmodul effektiviserer vendor compliance:
- Leverandørregister — Sentralisert oversikt med klassifisering
- Spørreskjemaer — Standardiserte vurderinger per risikonivå
- Risikobedømming — Automatisk risikoscore basert på svar
- Påminnelser — Automatisk oppfølging av granskninger
- Dokumenthåndtering — Alle sertifikater og rapporter på ett sted
- Dashboard — Oversikt over leverandørlandskapet
Book en demo og se hvordan vi kan hjelpe dere ta kontroll over leverandørrisikoene.
Ofte stilte spørsmål
Hva er vendor compliance?
Vendor compliance er prosessen med å sikre at dine leverandører oppfyller definerte sikkerhetskrav og regulatoriske krav. Det inkluderer innledende vurdering, avtalskrav og løpende oppfølging.
Hvorfor er leverandører min risiko?
Dine leverandører har ofte tilgang til dine systemer eller data. Hvis de rammes av et innbrudd kan det påvirke deg direkte. NIS2 gjør deg ansvarlig for å håndtere denne risikoen.
Hvilke leverandører skal granskes?
Fokuser på kritiske leverandører: de som har tilgang til sensitive systemer/data, leverer virksomhetskritiske tjenester, eller kan påvirke din evne til å levere dine tjenester.
Hvor ofte skal granskning skje?
Innledende granskning før avtale. Kritiske leverandører minst årlig deretter. Viktige leverandører hvert annet år. Alle ved betydelige endringer.
