Nieuws & blogs

Security Spotlight: Leveranciers onder de loep – houd grip op je data

14 nov

Laat ik maar vast met de deur in huis vallen: ga niet zomaar zelfstandig met elke willekeurige tooling aan de slag. Waarom? Stel een van je collega’s wilt een groot bestand versturen en gebruikt daarvoor een tooling die dit mogelijk maakt. Wat gebeurt er dan met dit document? Waar wordt dit document opgeslagen? Blijf jij wel eigenaar van dit document? Zomaar wat vragen waar menig collega niet bij stilstaat, maar die wel belangrijk zijn voor de informatieveiligheid. Als het antwoord op al die vragen namelijk ‘nee’ of ‘ik weet het niet’ is, voldoe je niet aan de regelgevingen en ontstaat er shadow IT. Je collega wilt (waarschijnlijk) met de beste intentie een tooling gebruiken om efficiënter te werken, maar doet dit zonder dat de IT-afdeling daarvan op de hoogte is. Zo loopt je bedrijfscontinuïteit behoorlijk wat risico.

Ik gebruik zelf bijvoorbeeld een populaire clouddienst om bladmuziek voor mijn muziekvereniging online te delen. Voor mij is het niet heel spannend wat daar dan verder mee gebeurt. Maar wanneer je een tooling zakelijk gaat gebruiken, wil je niet dat jouw gegevens op straat belanden. Met goed leveranciersmanagement beperk je die risico’s.

Het begint met het selecteren van de juiste leverancier. Hierbij is het belangrijk om na te gaan of de leverancier wel past bij de doelen van je organisatie. Stel een aantal eisen waaraan de leverancier moet voldoen. Als uitgangspunt kan je bijvoorbeeld de BIV-classificatie nemen: beschikbaarheid, integriteit en vertrouwelijkheid. Wees daarin natuurlijk wel redelijk met hetgeen wat ook daadwerkelijk haalbaar is.

Wanneer je een goede match hebt gevonden, wil je duidelijke afspraken maken en deze contractueel vastleggen. De ene leverancier is de andere niet, dus pas de afspraken aan per leverancier. Als je een kledingwinkel hebt, wil je strengere afspraken maken met de partij die jouw personeelsdossier beheert dan met de leverancier van je kleding.

Een veelvoorkomend misverstand dat ik in de praktijk vaak terugzie, is dat organisaties denken dat leveranciers volledig zelf verantwoordelijk zijn voor een veilige opslag en verwerking van gegevens. Het tegendeel is waar. Als organisatie ben jij altijd eindverantwoordelijke voor de beveiliging van data, ongeacht waar deze zich fysiek bevindt. Dit betekent dat je als organisatie proactief moet zorgen voor een veilige omgang met gegevens.

Intern kan je dit proces versterken door afdelingen of personen verantwoordelijk te maken voor het naleven van de gemaakte afspraken met leveranciers. Betrek je collega’s in informatiebeveiliging en informeer ze over de gevaren van werken met shadow-IT. Heldere communicatie is essentieel: zorg ervoor dat je collega’s weten wie ze kunnen benaderen voor dit soort zaken en welke stappen zij moeten nemen bij het gebruiken van nieuwe tools.

Goed leveranciersmanagement is niet alleen van belang voor je informatiebeveiliging, maar is ook een verplicht onderdeel van de ISO27001-norm. Daarnaast eist de NIS2-wetgeving ook dat organisaties zicht houden op het beveiligingsniveau van je leveranciers. Kortom, genoeg reden om eens een keer in de materie te duiken en je leveranciers onder de loep te nemen.

Dennie Spreeuwenberg

Dennie Spreeuwenberg, CEO van Awaretrain, is sinds 2004 een expert op het gebied van security awareness. Met ruim 20 jaar ervaring is hij gepassioneerd over informatiebeveiliging en deelt hij graag zijn kennis en inzichten over de laatste trends en ontwikkelingen in de branche.

LinkedIn