Leverandører av programvare, skytjenester, drift, infrastruktur og andre tjenester kan ha tilgang til systemer og informasjon eller være avgjørende for at virksomheten kan opprettholde driften. Derfor er leverandørkjeden også en viktig del av sikkerhetsarbeidet.
– Når risikonivået øker, bør virksomheter gå gjennom både egen sikkerhet og avhengighetene de har til andre. De fleste er i dag tett koblet til en rekke leverandører. Det er viktig å vite hvilke av dem som er kritiske, hvilke tilganger de har og hva som skjer dersom en av dem blir rammet, sier Wiggo Wilhelmsen, Director Cyber Security i Advania Norge.
Hvorfor er leverandørkjeden viktig?
NSM peker i tiltakspakken på behovet for helhetlig risikostyring av leverandørkjeder.
Bakgrunnen er blant annet at en leverandør kan være interessant for en angriper uten selv å være det endelige målet. Tilgang til én virksomhet kan gi informasjon eller muligheter til å bevege seg videre mot andre.
Dette er spesielt relevant i verdikjeder knyttet til kritisk infrastruktur og forsvar, der mange virksomheter og underleverandører sammen bidrar til leveranser som er viktige for samfunnet.
– Det er lett å tenke på leverandørrisiko som noe man vurderer når en avtale inngås. Men avhengighetene endrer seg. Nye systemer kommer til, tilganger endres og leverandørene bruker igjen egne underleverandører. Derfor må dette følges opp over tid, sier Wilhelmsen.
Fem spørsmål det er verdt å stille nå
En god start er å se på de viktigste avhengighetene:
Hvilke leverandører er kritiske for driften?
Identifiser tjenestene virksomheten er avhengig av for å kunne opprettholde viktige funksjoner.
Hvem har tilgang til systemer og data?
Gå gjennom leverandørtilganger, særlig administrative tilganger og fjernaksess.
Har dere oversikt over underleverandørene?
En tjeneste kan bestå av flere leverandørledd enn det som er synlig i det daglige.
Vet dere hvordan dere blir varslet dersom noe skjer?
Det bør være tydelig hvordan en leverandør varsler om en sikkerhetshendelse og hvem i egen virksomhet som skal følge den opp.
Hva gjør dere dersom en kritisk leverandør faller bort?
Vurder hvilke tjenester som kan bli berørt og hvilke alternativer som finnes.
NSM sin tiltakspakke understreker ovenfor norske virksomheter at det er nå vi har tid og mulighet til å gjennomføre en grunnleggende herding av norsk digital infrastruktur, samt at dette er høyst nødvendig for å møte trusselbildet vi står ovenfor.
Leverandørkjeden er bare én del av tiltakspakken.
NSM anbefaler blant annet at virksomheter har oppdatert oversikt over enheter og programvare og prioriterer phishing-resistent innlogging for administratorer og fjerntilgang.
Virksomheter bør også ha kontroll på sikkerhetsoppdateringer og sårbarheter, overvåking og planverket for hendelseshåndtering.
– Mye av dette er kjent sikkerhetsarbeid. Forskjellen nå er at NSM ber virksomhetene forsikre seg om at det er gjennomført og fungerer. Det er en viktig påminnelse. Det hjelper lite at et tiltak finnes i en plan dersom det ikke virker når man trenger det, sier Wilhelmsen.
NSMs tiltakspakke er ikke i seg selv et varsel om et konkret, pågående angrep mot den enkelte virksomhet. Det betyr heller ikke at alle virksomheter skal gjøre alt på nytt.
– Poenget er å bruke nivåhevingen til å se på egen status. Hvor er vi godt sikret? Hvor har vi kjente svakheter? Og hvilke avhengigheter kan få store konsekvenser dersom noe skjer? Da får man også et bedre grunnlag for å prioritere, sier Wilhelmsen.
Advania følger utviklingen
Advania er godkjent leverandør i NSMs kvalitetsordning for hendelseshåndtering, og Advania Cyber Defense Center følger utviklingen tett og har dialog med NSM.
For kunder der Advania har ansvar for sikkerhetsovervåking eller hendelseshåndtering, fortsetter de etablerte rutinene for overvåking, varsling og respons.
Samtidig mener Advania at rådene fra NSM er relevante langt utover virksomhetene som kjøper sikkerhetstjenester.
– Dette angår norske virksomheter generelt. Derfor ønsker vi også å dele rådene bredt med både kunder og de som følger oss. Alle virksomheter i Norge har et felles ansvar for å sikre våre digitale verdier, da gjelder det å kjenne sin egen virksomhet, avhengigheten og risikoen man har, sier Wilhelmsen.
