Supply chain blijft hét security-zorgenkindje, ondanks NIS2
Supply chain-aanvallen zijn helaas aan de orde van de dag. Wanneer een organisatie slachtoffer is van een hack of datalek, ligt de grondoorzaak zelfs vaker bij een partij elders in de toeleveringsketen, dan bij de organisatie zelf. In dat licht is het heel logisch dat Europese cybersecurity-wetgeving, zoals NIS2, organisaties nadrukkelijk verplicht om hun gehele toeleveringsketen te beheren als het gaat om hun cyberweerbaarheid.
Die papieren logica vertaalt zich echter nog niet naar de praktijk, blijkt uit de onderzoeksresultaten en interviews uit
Afhankelijkheid van externe partijen is hoog
Dat de cyberweerbaarheid van je organisatie vooral wordt bepaald door de kwaliteit van de zwakste schakel in je toeleveringsketen, is geen nieuw inzicht. Al jaren, zo niet decennia, is de supply chain voor organisaties de meest voorkomende bron van cyber-ellende. Dat is ook niet zo gek, want kleine bedrijven in Nederland hebben al gauw tientallen verschillende leveranciers. En bij grote organisaties of overheden gaat het al vlug over honderden, of zelfs duizenden, leveranciers die samen de supply chain vormen.
Nu is niet elke leverancier die ergens ‘een vinkje mist’ direct een bedreiging voor alle andere partijen in die supply chain. Feit is echter wel dat de afhankelijkheid van externe partijen als het gaat om je cyberweerbaarheid hoog is. Maar leveranciersmanagement is, vanwege de omvang van supply chains, niet iets wat je even snel inregelt. Het kost veel tijd en is bovendien een doorlopend proces, niet iets wat je eenmalig uitvoert.
‘Excel-sheet-exercitie’
“Heel veel bedrijven vervallen in een Excel-sheet-exercitie”, vertelt Jeroen Prinse, over de meest voorkomende valkuil waar organisaties in de praktijk in trappen bij het inrichten van hun leveranciersmanagement. “Ze stellen vragen over interne beheersing, maar dat zegt niets over de producten en diensten die geleverd worden. Je kan een assurance rapport hebben, maar als jouw SaaS-dienst vol kwetsbaarheden zit, heb je daar weinig aan.”
Jeroen ziet dat organisaties bijvoorbeeld eenmalig een platte audit uitvoeren, waarbij driftig lijstjes worden afgevinkt, maar dat dat vervolgens niet leidt tot daadwerkelijk inzicht in de weerbaarheid van de supply chain. “We moeten weten met wie we samenwerken, wat ze precies leveren en hoe dat in de praktijk veilig blijft. Security moet terug naar de inhoud. Niet meer meten op vinkjes, maar op vertrouwen en begrip.”
In kaart brengen is nog geen samenwerken
Fleur van Leusden, CISO bij de Kiesraad, herkent dat beeld maar al te goed en legt eveneens de nadruk op het belang van samenwerking. Fleur ziet dat organisaties van alles contractueel afspreken en ondertekenen, maar dat échte samenwerking er lang niet altijd is. “We zijn nu vooral bezig met het in kaart brengen welke leveranciers we hebben. Maar we zouden een stap verder moeten gaan: doen ze wat ze ons hebben beloofd?”
Dat vraagt om iets anders dan lijstjes afvinken, legt Fleur uit. Het vraagt om structureel contact met de belangrijke partijen uit je toeleverketen, zodat je weet wat er speelt en waar er mogelijk risico’s ontstaan. “In plaats van eindeloze audits kan je ook elk jaar met een paar leveranciers koffie drinken. Gewoon vragen: hoe doen jullie pentesten? Waar monitoren jullie op? Dat zegt vaak veel meer dan een formulier.”
Supply chain management is mensenwerk
Als het om hun cyberweerbaarheid gaat, zijn de meeste organisaties in de praktijk vooral naar binnen gekeerd. Ze proberen hun eigen boel op orde te krijgen en hebben weinig tot geen aandacht voor wat er bij andere partijen gebeurt. Maar die aanpak helpt de weerbaarheid van de gehele toeleverketen niet, ziet Fleur. “Wat we nu doen, is eigenlijk niks. We hebben een contract, en als er een keer ellende is, spreken we elkaar. In de tussentijd zien we elkaar nooit.”
Wil je je toeleverketen écht gaan beheren, dan zul je op de eerste plaats aan relatiemanagement moeten doen. Fleur: “Bedrijven willen alles dichtregelen, maar vergeten dat security vooral een mensenvak is. Een telefoontje of een gesprek lost soms meer op dan een clausule.”
Is het dan onbelangrijk om leveranciers beveiligingseisen op te leggen en daar structureel op te auditen? Zeker niet, maar dat is niet het einde van het verhaal – maar slechts het begin. Na zo’n audit begint het gesprek pas, in plaats van dat het eindigt. Want supply chain management is, zoals zoveel aspecten van cybersecurity, uiteindelijk vooral mensenwerk. En als je de mensen aan de andere kant niet kent en ze nooit spreekt, dan komt het effectief managen van je onderlinge afhankelijkheden ook nooit van de grond.
