De gevolgen van een cyberincident
Een beveiligingsincident hoeft tegenwoordig niet meer binnen uw eigen organisatie te ontstaan om toch grote gevolgen te hebben. Het recente cyberincident dat meerdere organisaties trof, ontstond namelijk bij een logistieke dienstverlener. Hoewel de getroffen organisaties zelf niet direct doelwit waren van de aanval, werden zij wel geconfronteerd met de gevolgen doordat gegevens via de leverancier toegankelijk waren geworden.
Dit type incident laat zien hoe sterk organisaties tegenwoordig met elkaar verbonden zijn. Waar bedrijven vroeger vooral afhankelijk waren van hun eigen systemen, maken zij nu gebruik van een uitgebreid netwerk van externe partijen. Denk aan logistieke dienstverleners, softwareleveranciers, cloudproviders en marketingplatformen. Deze samenwerking zorgt voor efficiëntie en schaalbaarheid, maar brengt ook nieuwe risico’s met zich mee.
Eén zwakke schakel kan meerdere organisaties raken
Wanneer een leverancier wordt getroffen door een cyberincident, kan de impact zich snel verspreiden naar alle organisaties die gebruikmaken van dezelfde dienstverlening. Dat maakt ketenrisico’s anders dan traditionele beveiligingsrisico’s. Zelfs wanneer uw eigen beveiligingsmaatregelen op orde zijn, kunt u alsnog worden geconfronteerd met de gevolgen van een incident bij een externe partij.
Voor klanten en relaties maakt het bovendien vaak weinig verschil waar een datalek precies is ontstaan. Zij zien vooral dat hun gegevens mogelijk betrokken zijn bij een beveiligingsincident. Hierdoor kan reputatieschade ontstaan, ook wanneer een organisatie zelf geen directe fout heeft gemaakt.
Ketenbeveiliging wordt steeds belangrijker
De toenemende afhankelijkheid van leveranciers vraagt om een bredere kijk op cybersecurity. Het is niet langer voldoende om alleen inzicht te hebben in uw eigen systemen en processen. Ook de beveiligingsmaatregelen van leveranciers verdienen aandacht.
Daarom is het verstandig om regelmatig te beoordelen welke externe partijen toegang hebben tot gegevens, welke informatie wordt gedeeld en hoe leveranciers omgaan met informatiebeveiliging. Daarnaast is het belangrijk om afspraken vast te leggen over incidentmeldingen, verantwoordelijkheden en beveiligingsstandaarden.
Cyberbeveiligingswet legt nadruk op ketenverantwoordelijkheid
Deze ontwikkeling sluit aan bij de verplichtingen uit de Cyberbeveiligingswet (NIS2). Organisaties die onder deze wetgeving vallen, moeten niet alleen hun eigen digitale weerbaarheid aantoonbaar op orde hebben, maar ook risico’s in de leveranciersketen beheersen. Ketenverantwoordelijkheid betekent in de praktijk dat organisaties inzicht moeten hebben in de partijen waarmee zij samenwerken, welke afhankelijkheden er zijn en welke beveiligingsafspraken zijn vastgelegd. Leveranciersmanagement, risicoanalyses, contractuele afspraken en duidelijke incidentprocedures worden daarmee steeds belangrijker. Ook organisaties die zelf niet rechtstreeks onder de Cbw vallen, kunnen hierdoor indirect met strengere eisen te maken krijgen wanneer zij leveren aan klanten die wel binnen de reikwijdte vallen.
Kijk verder dan uw eigen organisatie
Het incident bij de logistieke dienstverlener laat zien dat cybersecurity steeds vaker een ketenvraagstuk is. Organisaties die actief inzicht hebben in hun leveranciersketen en kritisch kijken naar de digitale weerbaarheid van externe partners zijn beter voorbereid op dit soort situaties. Uiteindelijk wordt de kracht van uw informatiebeveiliging namelijk niet alleen bepaald door uw eigen maatregelen, maar ook door de beveiliging van de partijen waarmee u samenwerkt.
Meer informatie
Wilt u meer informatie over hoe u uw leveranciers kunt beoordelen? Of bent u benieuwd hoe Van Oers u kan ondersteunen bij het inzichtelijk krijgen van deze risico’s? Neem dan contact op met één van onze specialisten via onderstaande button of per e-mail: digitalsolutions@vanoers.nl.
Algemeen - Contact
Neem contact op met Van Oers
Vul hier uw gegevens in en wij nemen binnen 2 werkdagen contact met u op!
"*" geeft vereiste velden aan
