Organisaties investeren in hun eigen beveiliging: firewalls, monitoring, training, patchbeheer. Tegelijk verlenen ze toegang tot hun systemen aan tientallen externe partijen, leveranciers, IT-dienstverleners, accountants, marketingbureaus, zonder dezelfde mate van controle toe te passen op die toegang. Dat is een blinde vlek die de afgelopen jaren herhaaldelijk is misbruikt.
Een aantal van de grootste cyberincidenten van de afgelopen jaren begonnen niet bij het uiteindelijke doelwit, maar bij een kleinere partij in de keten. Een IT-dienstverlener, een softwareleverancier, een accountantskantoor. De aanvaller kiest niet altijd het sterkste doelwit direct, maar de meest toegankelijke weg ernaartoe.
Waarom leveranciers een aantrekkelijk doelwit zijn
Een leverancier heeft vaak toegang tot systemen van meerdere klanten. Voor een aanvaller is dat efficiënt: één succesvolle inbraak bij een leverancier kan toegang geven tot tientallen of honderden organisaties die met die leverancier samenwerken.
Daarnaast zijn leveranciers, met name kleinere IT-dienstverleners en gespecialiseerde softwarebedrijven, vaak minder goed beveiligd dan hun grotere klanten. Ze hebben kleinere IT-budgetten, minder dedicated beveiligingspersoneel, en staan minder onder druk van toezichthouders dan grotere, gereguleerde organisaties.
Het resultaat: een aanvaller die het op een grote organisatie heeft voorzien, kijkt eerst naar de leveranciers van die organisatie. Niet omdat de leverancier het doelwit is, maar omdat de leverancier de ingang is.
Wat dit in de praktijk betekent
Dit risico speelt op meerdere manieren.
Directe toegang. Veel leveranciers hebben inloggegevens of een VPN-verbinding tot systemen van hun klant, bijvoorbeeld voor onderhoud op afstand. Als die toegang niet goed wordt beveiligd of gemonitord, is het een directe route naar binnen.
Software-updates als verspreidingskanaal. Een aanvaller die de update-infrastructuur van een softwareleverancier compromitteert, kan kwaadaardige code verspreiden via wat normaal gesproken een vertrouwde, legitieme update is. Dit type aanval, een supply chain attack, is bijzonder schadelijk omdat het vertrouwen in het update-proces zelf misbruikt.
Gedeelde data. Een leverancier die klantdata verwerkt, bijvoorbeeld een salarisadministratiekantoor of een marketingbureau, vormt een risico als die data niet adequaat wordt beveiligd, ook als de eigen systemen van de opdrachtgever volledig in orde zijn.
Indirecte reputatieschade. Zelfs als de eigen organisatie geen directe schade ondervindt, kan een incident bij een leverancier waarmee je publiekelijk wordt geassocieerd, ook jouw reputatie raken.
Waarom dit nu een wettelijke dimensie krijgt
Onder de Cyberbeveiligingswet, de Nederlandse uitwerking van NIS2, wordt ketenverantwoordelijkheid een formele verplichting voor organisaties die onder de wet vallen. Zij moeten niet alleen hun eigen beveiliging op orde hebben, maar ook beoordelen of hun leveranciers voldoende maatregelen treffen.
Dit betekent dat organisaties die onder de wet vallen, in toenemende mate eisen gaan stellen aan hun toeleveranciers. Wie als leverancier niet kan aantonen dat de beveiliging op orde is, loopt het risico contracten te verliezen aan concurrenten die dat wel kunnen.
Hoe je leveranciersrisico in kaart brengt
Maak een overzicht van alle leveranciers met toegang tot systemen of data. Dit klinkt als een eenvoudige stap, maar in de praktijk hebben veel organisaties geen volledig overzicht van wie precies toegang heeft tot wat.
Beoordeel het risiconiveau per leverancier. Niet elke leverancier vormt hetzelfde risico. Een leverancier met directe toegang tot productiesystemen of gevoelige data vormt een groter risico dan een leverancier die alleen kantoorbenodigdheden levert.
Stel minimale beveiligingseisen vast. Voor leveranciers met een hoger risiconiveau is het redelijk om concrete eisen te stellen, zoals het gebruik van MFA, encryptie van gegevens, en een eigen incidentresponsplan.
Beperk toegang tot het minimum. Net als bij interne toegang geldt hier het principe van minimale rechten. Een leverancier die alleen een specifiek systeem onderhoudt, heeft geen toegang nodig tot de rest van het netwerk.
Monitor en evalueer periodiek. Beveiligingsniveaus veranderen. Een jaarlijkse evaluatie van de belangrijkste leveranciers houdt het overzicht actueel.
Leg verantwoordelijkheden contractueel vast. Wie is verantwoordelijk bij een incident dat via de leverancier ontstaat? Welke meldplicht heeft de leverancier richting jouw organisatie? Deze afspraken horen in het contract, niet pas besproken te worden tijdens een crisis.
De spiegel: ben jij de zwakste schakel?
Het risico werkt in twee richtingen. Als jouw organisatie diensten levert aan andere bedrijven, ben jij mogelijk de leverancier waar dit verhaal op slaat. Steeds meer klanten vragen, of zullen gaan vragen, om aantoonbaar bewijs van adequate beveiliging voordat ze een contract aangaan of verlengen. Organisaties die hierop voorbereid zijn, hebben een commercieel voordeel ten opzichte van concurrenten die dat niet zijn.
Wat RiskGuard hierin doet
RiskGuard helpt organisaties leveranciersrisico’s in kaart te brengen en te beheersen, en ondersteunt organisaties die zelf als leverancier moeten aantonen dat hun beveiliging op orde is. We brengen structuur in een proces dat bij veel organisaties nog ad hoc en onvolledig is.
Wil je weten welke risico’s via jouw leveranciers binnenkomen, of hoe je zelf aan de eisen van jouw klanten kunt voldoen? Neem contact op voor een vrijblijvend gesprek.
Benieuwd hoe jouw organisatie scoort?
Doe de gratis zelfscan en ontdek waar de risico's zitten.
