Supply chain aanvallen behoren tot de snelst groeiende cyberrisico's. Elk bedrijf dat toegang heeft tot uw systemen, is ook een potentiële ingang voor hackers.
U hebt uw firewall op punt. Uw medewerkers hebben sterke wachtwoorden. Toch wordt uw bedrijf gehackt — via de boekhoudsoftware van uw accountant. Dit scenario wordt steeds vaker werkelijkheid.
Elke leverancier of partner die toegang heeft tot uw systemen, data of netwerk is ook een potentiële ingang voor cybercriminelen. Uw eigen beveiliging kan sterk zijn — maar als uw IT-partner, payroll-systeem of cloudleverancier gecompromitteerd raakt, bent u ook in gevaar.
Hoe groot de afhankelijkheid van één leverancier kan zijn, zagen we bij de CrowdStrike-storing van juli 2024. Dat was geen cyberaanval maar een foutieve software-update — en toch vielen volgens Microsoft zo'n 8,5 miljoen Windows-apparaten wereldwijd uit. Stel u voor wat een kwaadwillige aanval via zo'n leverancier kan aanrichten.
Wist u dat?
Gartner voorspelde in 2022 dat tegen 2025 45% van alle organisaties wereldwijd een aanval via hun software supply chain zou meemaken — drie maal meer dan in 2021.
Niet elke leverancier vormt hetzelfde risico. Identificeer per leverancier het niveau:
Stel uzelf dit per kritische leverancier:
Lijst alle externe partijen op die toegang hebben tot uw systemen of data. Veel bedrijven schrikken van hoeveel leveranciers ze zijn vergeten: de CRM-koppeling van 2019, de externe helpdesk die ooit een account had, de cloudstorage van een vertrokken medewerker.
Voor elke leverancier die niet meer actief is: blokkeer de accounts, verwijder toegangsrechten en wijzig gedeelde wachtwoorden. Dit kost weinig tijd maar elimineert een grote attack surface.
Vraag uw top-5 leveranciers naar hun beveiligingsniveau. Een professionele leverancier heeft hier kant-en-klare antwoorden op. Wie niet kan antwoorden, is zelf hoogrisicolopend.
Een supply chain cyberaanval is wanneer hackers via een vertrouwde leverancier of partner toegang krijgen tot uw systemen. Uw eigen beveiliging wordt daarbij omzeild.
Begin met een inventaris. Heeft deze leverancier toegang tot uw systemen of data? Beschikt hij over ISO 27001 of SOC 2? Wat zijn zijn meldingsprocedures bij een datalek?
Vraag naar hun incident response plan, meldingsprocedures bij een datalek, beveiligingscertificaten, data-encryptie en penetratietests.
Maak een lijst van leveranciers met systeemtoegang, verwijder toegang van ex-leveranciers, vraag certificaten op, en leg meldingsplicht contractueel vast.
Eagle IT voert leveranciersrisicoanalyses uit en helpt u blinde vlekken wegwerken. Laat u verrassen door ons — niet door een aanvaller.
Risicoanalyse Bespreken Onze dienstenVerwante artikelen: Wat de CrowdStrike-storing ons leerde · Zero-Trust beveiliging voor KMO's