Leistungen zur Sicherheit der Lieferkette

Zum Lieferkettenmanagement gehört die Festlegung klarer Richtlinien und Verfahren zur Bewältigung von Cybersecurity-Risiken. Dies ist der erste wichtige Schritt, um die Risiken, die von Ihrer Lieferkette ausgehen, unter Kontrolle zu bringen. Cybersecurity in der Lieferkette sollte in den gesamten Prozess integriert werden, beginnend mit dem ersten Onboarding der Lieferanten.

Ein weiterer wesentlicher Bestandteil des Lieferkettenmanagements ist der Überwachungsprozess. Cybersecurity ist keine einmalige Aktivität, sondern sollte tief in den gesamten Beschaffungsprozess integriert werden. Das Lieferkettenmanagement umfasst die Klassifizierung von Lieferanten auf der Grundlage von Risiken, die Festlegung von Sicherheitsanforderungen, die Überwachung der Compliance und Audits. Das Ergebnis ist ein strukturierter Rahmen zur Verwaltung und Reduzierung von Schwachstellen in der gesamten Lieferkette.

Wir nutzen die Anforderungen bestehender Rahmenwerke wie ISO 27001, NIST CSF und IEC 62443 und bereiten entsprechende Fragebögen vor, die mit den bestehenden Tools für die Lieferkette weiter integriert werden können.

Auf der Grundlage der zugewiesenen Risikostufe führen wir anhand von vorbereiteten Fragebögen für Lieferanten mit hohem Risiko ein Risk Assessment und für Lieferanten mit geringem Risiko eine Überprüfung durch. Der Hauptunterschied liegt in der Tiefe des Assessments; Lieferanten mit höheren Risiken erfordern ein tieferes Assessment.

Eine Lieferantenbewertung konzentriert sich auf die Bewertung der Cybersecurity-Praktiken eines einzelnen Lieferanten und die Compliance mit den Anforderungen. Der Schwerpunkt liegt auf der Analyse aller relevanten cyber security Anforderungen und der Bewertung der vorgelegten Nachweise für die Compliance. Das Ergebnis ist ein detaillierter Bericht, der die Ergebnisse der Prüfung für den jeweiligen Lieferanten zusammenfasst und auf Risiken oder verbesserungswürdige Bereiche hinweist. Dieser Service richtet sich an Lieferanten mit hohem Risiko.

Bei einer Lieferantenüberprüfung werden Lieferanten mit geringem Risiko anhand definierter Cybersecurity-Kriterien bewertet und ihre Compliance sowie potenzielle Risiken beurteilt. Der Schwerpunkt liegt auf der Überprüfung des vorgelegten Compliance-Status; Nachweise werden nur stichprobenartig überprüft. Der Prozess schließt mit einem kombinierten Bericht ab, der die Ergebnisse der Überprüfung für alle Lieferanten zusammenfasst und einen klaren Einblick in die Sicherheitslage Ihrer Lieferkette bietet.

Wir können auch eine Bewertung des Lebenszyklus der Softwareentwicklung (SDLC) Ihrer Drittanbieter durchführen. Wir bewerten, wie sicher die Entwicklung in deren Prozesse eingebettet ist, vom Design und der Kodierung bis hin zu den Tests und der Freigabe. Der Schwerpunkt liegt dabei auf der Identifizierung von Schwachstellen, die durch unsicheren Code, unzureichende Nutzung von Drittanbieter-Bibliotheken oder fehlende Validierungsschritte ein Risiko für Ihre Organisation darstellen könnten.

Wir untersuchen Schlüsselbereiche wie sichere Entwurfspraktiken, Bedrohungsmodellierung, Richtlinien für die Code-Überprüfung, statische und dynamische Tests sowie das Abhängigkeitsmanagement. Die Ergebnisse werden mit den Standards für sichere Entwicklung abgeglichen. Sie erhalten einen strukturierten Bericht mit Risikobewertungen, umsetzbaren Erkenntnissen und anbieterspezifischen Empfehlungen. Dies hilft Ihnen, den Überblick zu behalten, das Risiko in der Software-Lieferkette zu verringern und die Anforderungen von Vorschriften wie DORA und NIS2 zu erfüllen.