Öka cybersäkerheten i er leverantörskedja

Cybersäkerhet är en växande oro för många företag – kanske inte så förvånande med tanke på att olika former av cyberbrott, däribland bedrägerier, intrång, spioneri och sabotage har ökat markant. Ett nyligen känt cyberbrott är den så kallade DarkSide-attacken på Colonial Pipeline i maj 2021. Hackarna kom i detta fall över en lösensumma på 5 miljoner dollar. Ett annat exempel är Cloud Hopper, en av de mest uppmärksammade cyberbrotten i modern tid som påverkade flertalet företag och myndigheter här i Sverige. I november förra året slog även en Ransomware-våg till mot retailbolag och det rapporterades om ökade risker för cyberbrott sedan pandemins intåg. Nyheter som dessa börjar bli en skrämmande verklighet för många företag.

Även om det är lätt att kritisera företagen för att de inte har vidtagit tillräckliga åtgärder för att förhindra dessa intrång så är det viktigt att notera hur många risker det finns för hackare att komma förbi säkerhetsåtgärder.

Att gå miste om information eller att den felaktigt sprids kan skada företag avsevärt både ekonomiskt och anseendemässigt. Det är även viktigt att notera att det inte bara är globala företag som utsätts för cyberbrott utan även små och medelstora företag kan var i fara.

Förutom den direkta risken så kan även små och medelstora företag tillkalla sig uppmärksamhet från hackare för att via dem komma åt information till större kunder och leverantörer. På grund av detta så är det många företag som efterfrågar och utför riskbedömningar och kravställningar på alla sina leverantörer. Att uppfylla höga säkerhetskrav blir även en konkurrensfördel då många företag väljer att enbart arbeta med tillförlitliga leverantörer och partners.

Det finns ett antal steg och metoder som ni kan följa för att skydda er data och minimera risken för digitala intrång. Det börjar med en proaktiv strategi för cybersäkerhet.

Tre grundpelare för en säkrare organisation

För att driva en proaktiv strategi för cybersäkerhet så börjar arbetet inom er organisation.

Som en del i leverantörskedjor så hanterar även er organisation känslig information, både egen data såväl som kund- och leverantörsdata, personuppgifter samt immateriell egendom. Det finns tre huvudområden ni bör tänka på när ni upprättar och underhåller ert arbete kring cybersäkerhet:

Säkerhet – Hur hanterar ni säkerhet i er organisation?

Ert nätverk bör inkludera brandväggar, proxyservrar och filter. Data bör krypteras och kontinuerligt övervakas för att säkerställa integritet. Er fysiska hårdvara, så som dataservrar bör finnas på ackrediterade datacenter eller hos er med strikt begränsad åtkomst. Ni bör ha tvåfaktorsautentisering och krav på starka lösenord för åtkomst till alla mjukvarutjänster och system.

Dataskydd – Var lagras er data och följer ni dataskyddsförordningar?

Alla företag måste följa EU:s nya dataskyddsförordning GDPR som trädde i kraft 2018. GDPR innebär bland annat hårdare krav på hantering av personuppgifter. Det ställs idag högre krav på rutiner och processer för säker hantering och lagring av information vilket innebär att man också behöver hålla kolla på vad som händer med sin data i andra system om avtal skulle upphöra. Det är även ert ansvar att veta vilka som har åtkomst och vilka regler som era personuppgifter omfattas av i de tjänster som ni använder.

Efterlevnad av regulatoriska krav – Hur efterföljs och upprätthålls de säkerhetsåtgärder och praxis som ni har satt upp?

Vilka certifieringar eller branschstandarder kring säkerhet, dataskydd och efterlevnad finns? En av de högsta certifieringarna för efterlevnad och den enda internationellt erkända certifieringen för informationssäkerhet är ISO-27001 certifiering. ISO-27001 baseras på att skydda information och eftersom den idag ofta är digitaliserad så omfattar den givetvis även cybersäkerhet. Att jobba systematiskt med en ledningsprocess i kombination med att applicera säkerhetsåtgärder är utgångspunkterna för att uppnå ISO 27001-certifiering.

När ni utvärderar organisationer eller tjänster att arbeta med, så fungerar ISO-certifieringen som en indikation och säkerställning av deras metoder och hantering av säkerhetsinformation.

Öka cybersäkerheten i er leveranskedja

Vilka åtgärder kan man som organisation vidta för att stärka kontrollen inom de tre områdena ovan? Vi har nedan sammanställt några förslag på åtgärder som företag kan vidta för att stärka säkerhetskontrollen i sina leverantörskedjor.

• • Utvärdera säkerheten och risker för säkerhetsbrister löpande i er organisation och även för alla leverantörer i ert nätverk.
  • Kartlägg vilka som är era leverantörer och tredjepartsleverantörer, och vilken information de har tillgång till.
  • Vilka hos era leverantörer har tillgång till informationen. Går det att minimera åtkomsten ytterligare för att minska risker?
  • Etablera bra relationer till alla leverantörer för att få inblick i deras säkerhetsarbete och för att ha möjlighet att ställa säkerhetskrav.

• Säkra era mest värdefulla tillgångar. Om er organisations säkerhet skulle bli hotad, vad är då den mest värdefulla informationen som hackare kan komma åt? Säkerhetsklassificera er information för att definiera och prioritera era säkerhetsrutiner.
• Utgå från en Zero Trust policy, vilket innebär att man antar att all data inte är säker förrän motsatsen har bevisats.
• Slutligen – hoppas på det bästa men förbered er för det värsta. Det finns ingen garanti för att uppnå full cyberssäkerhet. Alla företag bör därför implementera en handlingsplan i händelse av säkerhetsöverträdelse. Säkerställ att både ni och era leverantörer har en uppdaterad incidenthanteringsplan om ett cyberbrott skulle bli verklighet.

Att upprätthålla en bra informationssäkerhet är ett dagligt arbete och alla anställdas ansvar. Det är därför viktigt att varje organisation ser till att man effektivt och tydligt kommunicerar säkerhetsrutiner till alla berörda parter, och att den finns lättillgängligt för alla berörda parter.

Att arbeta strukturerat och metodiskt med informationssäkerhet är en förutsättning för att kunna bedriva en säker verksamhet, och för att kunder och leverantörer ska känna sig trygga.

Informationssäkerhet är av största vikt för oss på EazyStock då vi är en viktig del i våra kunders hantering av leverantörsdata och affärskritisk information. Vår ISO 27001-certifiering är en bekräftelse och kvalitetsstämpel på at vi kontinuerligt arbetar med vår informationssäkerhet för att uppfylla krav inom certifieringen.

Ni kan läsa mer om hur vi på EasyStock arbetar med vår datasäkerhet och vår ISO27001: 2013 certifiering här.