Bescherm je organisatie tegen supply chain aanvallen

Elk bedrijf dat een product maakt of een dienst levert, gebruikt hierbij (deel)producten of diensten van toeleveranciers. Deze toeleverancier maakt daarbij ook weer gebruik van andere toeleveranciers. Als we alle toeleveranciers zouden uittekenen, ontstaat er een wereldwijd web van verbanden. Dit web wordt ook wel de ‘keten’ of de 'supply chain‘ genoemd. Ketens kunnen lineair zijn (waarin producten van A naar B worden doorgegeven) of bestaan uit complexe netwerken waarbij terugkoppeling tussen partijen plaatsvindt. Een bedrijf dat deel uitmaakt van een keten, kan een rol hebben als leverancier of afnemer (of beide), maar ook als toezichthouder of als brancheorganisatie.

Ook jouw bedrijf of organisatie is, misschien zonder dat je je daarvan bewust bent, in sterke mate afhankelijk van een groot aantal toeleveranciers. Als deze niet meer (kunnen) leveren, komt ook jouw productie of dienstverlening in gevaar. Naast de afhankelijkheid van fysieke deelproducten, zijn de klanten en toeleveranciers vaak ook digitaal nauw met elkaar verbonden. Dit maakt de samenwerking makkelijker, maar creëert ook sterke afhankelijkheden.

Waarom moet ik mij zorgen maken over mijn supply chain?

Er zijn grote verschillen in digitale weerbaarheid tussen bedrijven, sectoren en ketens. Het kan zijn dat de digitale weerbaarheid van jouw bedrijf op orde is, maar je toch aanzienlijke risico’s loopt omdat jouw toeleverancier of (IT-)dienstverlener kwetsbaar is voor cyberrisico’s. Dit is een risico voor de beschikbaarheid, de vertrouwelijkheid en de integriteit van je bedrijfsprocessen, informatie en daarmee jouw hele bedrijf.

Er zijn meerdere soorten digitale supply chain risico’s die jouw bedrijf kunnen aantasten. Deze worden toegelicht aan de hand van een drietal scenario’s:

1. Een toeleverancier levert niet meer als gevolg van een digitale aanval;
2. Je (IT-)dienstverlener is gehackt en hierdoor heeft de aanvaller mogelijk ook toegang tot jouw (digitale) systemen;
3. Er is een kritieke kwetsbaarheid ontdekt in één van de (digitale) producten of diensten die je gebruikt in je bedrijfsproces.

Scenario 1 - Een toeleverancier levert niet meer als gevolg van een digitale aanval

De kans is groot dat je organisatie afhankelijk is van bepaalde toeleveranciers. Als leveranciers niet kunnen leveren komt de continuïteit van je organisatie in gevaar. Een voorbeeld hiervan is de zogenaamde “kaashack”.

Checkvragen om je afhankelijkheid van toeleveranciers in kaart te brengen:

• Weet je van welke toeleverancier(s) je afhankelijk bent?
• Heb je zicht op welke risico’s jouw organisatie loopt in relatie tot deze afhankelijkheden? Begin bij de toeleveranciers en dienstverlener waarvan jij denkt de grootste afhankelijkheid te hebben en die essentieel zijn voor jouw productieprocessen.
• Welke alternatieven heb je bij het uitvallen van een toeleverancier?
• Heb je jouw belangrijkste gegevens beschikbaar als de toeleverancier de gegevens kwijtraakt?

Scenario 2 - Je (IT-)dienstverlener is gehackt en hierdoor heeft de aanvaller mogelijk ook toegang tot jouw (digitale) systemen

Veel organisaties besteden hun IT uit aan gespecialiseerde IT-dienstverleners of maken gebruik van specifieke diensten voor bijvoorbeeld de financiële administratie of personeelszaken. Hierdoor ontstaat er een grote afhankelijkheid van deze dienstverleners. Via deze afhankelijkheden kunnen kwaadwillende actoren toegang krijgen tot gevoelige informatie of ze kunnen de processen van jouw organisatie verstoren.

Checkvragen om in kaart te brengen in hoeverre jij afhankelijk bent van je (IT-)dienstverlener(s):

• Wie is jouw (IT-)dienstverlener? Is het er één of zijn het er meerderen? Denk hierbij alle diensten waarvan jouw organisatie afhankelijk is. Dit gaat niet alleen om IT, maar ook om diensten die je bijvoorbeeld gebruik voor HR, financiële administratie of voorraadbeheer.
• Heb je afspraken gemaakt met je (IT-)dienstverlener over wie waar verantwoordelijke voor is? Zo ja, weet jij ook wat jouw verantwoordelijkheden zijn?
• Heeft de (IT-)dienstverlener een bepaalde certificering als bewijs van haar volwassenheidsniveau op het gebied van digitale weerbaarheid?

Scenario 3 - Er is een kritieke kwetsbaarheid ontdekt in één van de (digitale) producten of diensten die gebruikt worden binnen van jouw organisatie

Organisaties maken gebruik van meerdere digitale producten en diensten zoals e-mail, chat applicaties, HR-systemen, CRM-systemen, videoconferentie programma’s en financiële systemen. Deze worden vaak door andere organisaties ontwikkeld en onderhouden, maar bevatten ook geregeld kwetsbaarheden. Indien er in één van deze componenten een kwetsbaarheid wordt ontdekt, kunnen criminelen deze kwetsbaarheid misbruiken. In het ergste geval kan dit leiden tot diefstal of versleuteling van gevoelige data waardoor je er geen toegang meer tot hebt totdat je losgeld betaalt. Dit fenomeen is beter bekend als een ransomware-aanval.

Checkvragen om risico’s met betrekking tot kritieke kwetsbaarheden in kaart te brengen:

• Heb je in beeld welke (digitale) producten en diensten er binnen jouw organisatie in gebruik zijn? Denk hierbij aan software op laptops en smartphones, maar ook aan productiemachines en toegangssystemen.
• Is er altijd iemand beschikbaar die updates kan uitvoeren buiten werktijd of zorgt jouw dienstverlener ervoor dat kritische kwetsbaarheden vrijwel direct worden geïnstalleerd?
• Zijn de producten allemaal geüpdatet met de laatste beschikbare versie?
• Gebruik je ook digitale producten of diensten waarvan de leverancier geen updates meer levert (end-of-life)? Als een product end-of-life is en er geen updates meer krijgt, start dan tijdig vervanging naar een alternatief product.