Seine Lieferanten nicht zu kennen, ist wie, seine interne IT nicht zu kennen. In beiden Fällen ist es unmöglich, Sicherheitslücken zu schließen - eben weil man von deren Existenz nichts weiß. Wer aber die richtigen Punkte kennt, die es zu überwachen und zu auditieren gilt, hat ein ganzes Stück Sicherheit dazugewonnen.
Wie die Kontrollmechanismen auszusehen haben, hängt vom jeweiligen Zulieferer ab, von seiner Branche, seiner geografischen Lage, der dort geltenden Gesetzgebung und der Art der Services, die er offeriert. Es gibt Industriestandards wie den Kreditkarten-Security-Standard PCI DSS (Payment Card Industry Data Security Standard) für den Retail-Bereich oder auch das NIST Cybersecurity-Framework für den Sektor Energie und kritische Infrastrukturen, auf dem beispielsweise auch das deutsche IT-Sicherheitsgesetz aufsetzt.
Ein Unternehmen schaut sich am besten die Richtlinien an, an die es sich selbst zu halten hat und legt diese Maßstäbe auch an alle seine externen Lieferanten an - dann könne es wenig falsch machen, rät M. Scott Koller, juristischer Berater in der Kanzlei BakerHostetler: "Beispielsweise müssen sich sowohl der Händler selbst und auch sein Lieferant des Point-of-Sale-Systems beide an den PCI-DSS-Standard halten." Wer die Standards nicht nur einfordert, sondern auch routinemäßig prüft, ist auf der sichere Seite.
Zugriff von außen beschränken
Um den Zugriff von externen Dienstleistern auf die internen Systeme einzuschränken, rät Koller zu Netzwerksegmentierung und dazu, den Netzwerkzugang beispielsweise mithilfe von VLANs ebenfalls aufzuteilen. "Verwenden Sie für Ihr Unternehmen immer denselben Benutzernamen bei einem Zulieferer - wenn dieser ihn dann nicht mehr benötigt, lässt er sich schnell deaktivieren. Der Remote-Zugang in Ihr Netzwerk sollte zudem nur auf einen, über eine Whitelist definierten, Kreis von IP-Adressen möglich sein - benötigen Sie einen externen Service gerade nicht, deaktivieren Sie die Liste einfach", stellt Koller einfache Sicherheitsmechanismen vor.
Die Grundprinzipien lauten:
Zugang für externe Dienste nur auf Anfrage,
automatisches Deaktivieren nach einer gewissen Zeit,
Policies mittels Firewalls und/oder Port-Management durchsetzen.
"Wenn Sie Remote-Zugang via LogMeIn oder RDP zulassen, sollten Sie diese Programme immer dann ausschalten, wenn der Dienstleister sie nicht verwendet", rät Koller. Dazu sei es sinnvoll, den deaktivierten Fernzugriff selbst einmal auszutesten, wenn er gerade nicht anderweitig in Benutzung sei. Auch das sei eine Form des Audits, die regelmäßig vorgenommen werden müsse.
Vertragsbezogene Maßnahmen
Unternehmen müssten laut Koller sicherstellen, dass ihre Dienstleisterverträge auch Bestimmungen darüber enthalten, wie hoch die Rückstellungen für Verbindlichkeiten für Cyber-Vorfälle sein müssen, wer für den Ausfall kritischer Dienste haftet, wo die Grenzen der Verpflichtungen seitens der Zulieferer liegen und wie ein möglicher Schadenersatz aussieht. Je nach Typ des Zulieferers und seines Services sehe solch ein Vertrag anders aus. Wer sich nicht sicher sei, solle sich juristischen Rat bei Experten einholen.
Damit die vereinbarten Regeln auch für beide Seiten nachvollziehbar und langfristig gültig sein können, müssen Unternehmen vor Vertragsunterzeichnung den Wert ihrer zu schützenden Daten und Systeme gegen die drohenden Risiken abwägen, die durch einen Zugriff von außen entstehen. Sie müssen sicherstellen, dass der Zulieferer gut genug versichert ist, um den schlimmstmöglichen Schaden finanziell decken zu können. Wichtig ist auch, dass jeder Zulieferer zum angemessenen Schutz der gefährdeten Systeme verpflichtet ist. "Begrenzungen von verbindlich zu tätigenden Rückstellungen für den Ernstfall senken zwar die Kosten für den Service, im Fall eines Daten-GAUs entsteht aber möglicherweise zusätzlicher finanzieller Schaden", erklärt Koller.
Foto: Adam Vilimek - www.shutterstock.com
Eine entscheidende Rolle bei der Risikoabwägung spielen die Größe des Dienstleisters und der Umfang der Geschäftsbeziehungen, die ein Unternehmen mit ihm eingehen will. Erst wenn diese Indikatoren klar benannt sind, sollte ein Vertrag aufgesetzt werden. Je größer der Zulieferer, desto größer auch seine finanziellen Mittel, um den Auftraggeber im Fall eines Security-Vorfalls zu entschädigen. Berechnen Sie Ihren größtmöglichen finanziellen Schaden in dem betroffenen Bereich und halten Sie diesem Wert die größtmögliche Entschädigungsleistung des Zulieferers entgegen. Wenn der drohende Schaden größer ist als das, was der Dienstleister zu leisten im Stande ist, passt es möglicherweise nicht - der Lieferant ist zu klein. Andersrum stellt das Ganze meist kein Problem dar - dann sind aber eventuell die Kosten für eine Dienstleistung von einem viel größeren Zulieferer von Anfang an zu hoch.
Wer dennoch unbedingt mit einem Dienstleister zusammen arbeiten möchte, der die finanziellen Mittel im Schadensfall nicht aufbringen kann, sollte eine Cyber-Versicherung für Schäden, die durch Zulieferer entstanden sind, ins Auge fassen. Entsprechende Policen gibt es einige am Markt - man müsse laut Koller aber schon genau darauf achten, welche Schäden abgedeckt sind.