Senken Sie das Cyberrisiko bei Lieferanten, Dienstleistern und Partnern

Über 85 Prozent der Cyberangriffe beginnen heute an Endgeräten oder über Drittanbieter. Unser Lieferkettenschutz (Third-Party Risk Management) überwacht laufend die Sicherheitspraxis Ihrer Partner und Lieferanten, damit aus einer Schwachstelle in deren Systemen kein Sicherheitsvorfall in Ihren wird.

Eine Rating-Plattform endet etwa dort, wo das hier beginnt. Sie liefert eine Bewertung je Lieferant; hier kommt die Arbeit dazu, die das Risiko tatsächlich senkt: Analysten, die den digitalen Fußabdruck jedes Lieferanten kuratieren, damit die Befunde wirklich zum richtigen Unternehmen gehören; Eskalation nach Schwellenwerten, die Sie setzen, und nicht nach der Voreinstellung eines Anbieters; ein Portal, das Ihre Lieferanten selbst nutzen; und in der analystengeführten Stufe Analysten, die anstelle Ihres Teams nachhalten. Ihre eigene Organisation wird auf dieselbe Weise bewertet — meist das erste Nützliche, das ein Kunde zu sehen bekommt.

Nichts geht hinaus, was Sie nicht freigegeben haben. Die Ankündigung ist so geschrieben, dass sie in Ihrem Namen versandt wird, nicht in unserem: Sie haben eine laufende externe Überwachung eingeführt, sie ändert nichts an dem, was der Lieferant bereits tut, sie ist ein zusätzliches Paar Augen, und Sie bezahlen sie. Viele Kunden schicken diese Einführung lieber selbst und weisen darauf hin, dass wir ab dann auf den Lieferanten zukommen. Danach erhält der Lieferant Zugang zu seinem eigenen Portal, einen benannten Kontakt und Befunde mit empfohlenen Maßnahmen — niemals eine Rechnung und niemals eine Forderung. Mit ungarischen und deutschen Lieferanten korrespondieren wir in deren Sprache.

Dann bleibt der Befund offen, und das sagen wir Ihnen lieber jetzt als nach der Unterschrift. Der Service verpflichtet sich auf Identifizieren, Validieren und Eskalieren; er kann sich nicht darauf verpflichten, was ein Dritter entscheidet, und der Vertrag sagt das ausdrücklich: Die Behebung hängt von der Mitwirkung des Lieferanten ab, und niemand kann garantieren, dass ein Dritter reagiert oder etwas behebt. Was das Programm leistet: Es legt den validierten Befund samt konkreter Maßnahme der richtigen Person vor, hält nach und zeigt Ihnen genau, wo es stehen geblieben ist. Darüber hinaus ist der Hebel Ihre Geschäftsbeziehung — und bei einem nicht reagierenden Lieferanten müssen Sie ihn vielleicht einsetzen.

Nein, aber die kritischen müssen Sie benennen — und das ist eine Woche Arbeit, kein Projekt. Für den Start genügt eine Liste mit Firmennamen und Hauptdomains; die kritische Gruppe zu bestimmen, Lieferanten in Portfolios zu gruppieren und die Eskalationsschwellen zu setzen kostet Sie einige Stunden, und das Feinjustieren läuft nach dem Start weiter, statt ihn zu blockieren. Für die vielen kleineren Lieferanten, die Sie noch nicht einordnen können, liefert High Volume Monitoring aus kaum mehr als einer Domain eine einzige Risikostufe je Unternehmen — und sobald klar ist, welcher Lieferant zählt, heben Sie ihn in den vollen Service. Ist die Einordnung selbst das Problem, machen wir dazu einen Workshop.

Zwei Mechanismen, und sie adressieren genau die zwei Stellen, an denen es üblicherweise schiefgeht. Zuordnung: Der digitale Fußabdruck jedes Lieferanten entsteht automatisiert und wird dann von Analysten kuratiert sowie bei jeder Eskalation erneut gegen den Befund geprüft — was doch nicht zu ihm gehört, fällt heraus, statt eine weitere Diskussion zu erzeugen. Validierung: Jeder zu Ihnen eskalierte Befund wird vorher manuell geprüft, und die zwei klassischen Quellen für Fehlalarme — Gastnetze und die Sicherheitsgeräte des Lieferanten selbst, die von außen wie schädliche Infrastruktur aussehen — werden automatisch erkannt und unterdrückt.

Ihr Vertrag besteht mit Spirity. BlueVoyant arbeitet unter uns und stellt die Überwachungsplattform und die Analysten des Risk Operations Center; Plattform, Befunde und Analysteninhalte sind in englischer Sprache. Lokalisierung, Client Success und die lokale Expertenbank sind unsere — Sie und Ihre ungarisch- oder deutschsprachigen Lieferanten haben damit einen Spirity-Kontakt, der in ihrer Sprache arbeitet, und die Lieferantenkorrespondenz geht auf Ungarisch oder Deutsch hinaus, wenn das die Sprache ist, die dort gelesen wird. Wo Kontakt mit Lieferanten in der Landessprache eine feste Anforderung ist, schneiden wir das Mandat so zu, dass die Ansprache bei uns liegt und nicht beim Analystenzentrum.

Die Zahl der überwachten Lieferanten — und, für diesen Markt unüblich, nichts daran, wie groß diese Lieferanten sind. Der Preis bewegt sich nicht mit der Größe eines Lieferanten, mit seiner Anzahl an IP-Adressen oder Domains, und ihr Portalzugang ist nicht auf eine Nutzerzahl begrenzt. Die Variablen sind also: wie viele Lieferanten, in welcher Servicestufe jeweils, über welche Laufzeit, und ob Fragebogen-Management dazukommt. Die praktische Folge ist die entscheidende: Ein Lieferant mit vierzig Beschäftigten kostet so viel wie einer mit vierzigtausend — und genau das macht die Überwachung auch der vielen kleinen Lieferanten überhaupt bezahlbar.