Tredjepartsrisk inom cybersäkerhet: Din största dolda sårbarhet

Verkligheten: Risken är inte bara din egen

Många organisationer fokuserar primärt på intern säkerhet.

Brandväggar, åtkomstkontroller och interna rutiner får mycket uppmärksamhet – och det är rimligt, eftersom de länge varit det naturliga fokuset för säkerhetsarbetet och det område där organisationen har störst direkt kontroll.

Men idag finns en stor del av risken utanför organisationens egna system.

Den moderna verksamheten är sammanflätad med ett nätverk av externa parter, plattformar och tjänster som tillsammans utgör en betydande del av den dagliga driften, ofta utan att det syns tydligt i några styrdokument.

Ni är beroende av:

• SaaS-plattformar
• molntjänster
• analys- och marknadsföringsverktyg
• externa leverantörer

Var och en av dessa relationer för med sig fördelar i form av effektivitet, skalbarhet och specialistkompetens – men också exponering som sällan syns i den vanliga riskredovisningen eller i styrelsens rapportering.

Ett enda svagt led i kedjan kan påverka hela verksamheten, även om organisationens egna system är väl skyddade och internt väl förvaltade.

Detta skapar en utökad attackyta.

Och en risk ni inte fullt ut kan kontrollera.

Det är denna insikt som gör tredjepartsrisk till en ledningsfråga – inte enbart en IT-fråga. Beslut om vilka leverantörer som anlitas, vilken data som delas och hur integrationer byggs upp fattas ofta i verksamheten, långt från säkerhetsfunktionen, och ofta utan att riskkonsekvenserna är tydligt beskrivna för den som fattar beslutet.

Det betyder inte att varje enskilt inköpsbeslut behöver eskaleras till ledningen, utan att ramarna för vilka risker som är acceptabla, och vem som har mandat att fatta beslutet, behöver vara tydliga innan beslutet fattas.

Problemet: Begränsad insyn och kontroll

Många organisationer:

• kartlägger inte sina beroenden fullt ut
• saknar insyn i leverantörers säkerhet
• utgår från att risken hanteras av leverantören

Detta är sällan ett tecken på ovilja. Det handlar oftare om tidsbrist, komplexitet och en organisk tillväxt av leverantörsrelationer över tid, där varje enskilt beslut har varit rimligt men summan har blivit svåröverskådlig för den som ska överblicka helheten.

Det skapar blinda fläckar.

Och blinda fläckar är farliga – inte för att de alltid orsakar skada, utan för att ingen vet var de finns förrän det är för sent att agera proaktivt och styra utvecklingen.

För när en leverantör faller:

• påverkas verksamheten
• exponeras data
• drabbas kunder

Konsekvenserna sprider sig snabbt genom de system och processer som är beroende av leverantörens tjänster, ofta snabbare än organisationen hinner reagera eller ens förstå omfattningen av problemet.

Och ansvaret för att hantera konsekvenserna ligger fortfarande hos er – oavsett var i kedjan problemet uppstod. Kunder, medarbetare och tillsynsmyndigheter skiljer sällan på om det var ni eller er leverantör som brast, och förtroendeskadan landar oftast hos den part som kunden känner till.

Varför tredjepartsrisk ökar

Moderna organisationer bygger på sammanlänkade system.

Digitaliseringen har gjort verksamheter mer effektiva, men också mer beroende av varandra på sätt som inte alltid är synliga i den dagliga driften eller i de beslut som fattas längre ner i organisationen.

Det innebär:

• fler integrationer
• mer datadelning
• fler beroenden

Varje ny integration är en ny ingång in i er verksamhet – och en ny punkt att skydda, oavsett hur väl den egna infrastrukturen i övrigt är säkrad och underhållen.

Samtidigt:

• ökar supply chain-attacker
• riktar angripare in sig på svagare länkar
• blir överblicken svårare

Angripare har förstått detta. De vet att det ofta är enklare att ta sig in via en mindre skyddad leverantör än att attackera en väl försvarad organisation direkt, och de väljer medvetet den vägen eftersom avkastningen på ansträngningen är högre.

Resultatet: Risken ökar snabbare än kontrollen.

Det gapet är precis det som ledningen behöver adressera, innan det blir ett akut problem snarare än ett strategiskt vägval man gjort i god tid.

Ett konkret exempel

Tänk er en organisation som använder en extern molntjänst för att hantera kunddata.

Tjänsten är väl etablerad, har goda referenser och har fungerat utan anmärkning i flera år.

Men en dag drabbas leverantören av ett intrång, helt utanför er kontroll.

Plötsligt är er kunddata exponerad – trots att era egna system aldrig komprometterades.

Det är detta scenario som tredjepartsrisk handlar om: skadan uppstår hos en partner, men konsekvenserna landar hos er.

Samma mönster återkommer med marknadsföringsverktyg som lagrar kunddata, med IT-driftleverantörer som hanterar kritisk infrastruktur, och med mindre underleverantörer som i sin tur anlitar egna underleverantörer ni aldrig själva valt.

Ju längre ner i kedjan ni tittar, desto svårare blir det att se var er egen kontroll faktiskt tar slut.

Detta är anledningen till att många regelverk och standarder idag uttryckligen kräver att organisationer kan visa att de har kontroll, inte bara över sina egna system, utan över hela sin leverantörskedja.

Vad det innebär i praktiken

Att hantera tredjepartsrisk kräver struktur.

Strukturen behöver inte vara komplicerad – men den måste vara konsekvent, förankrad i organisationen och återkommande snarare än en engångsinsats inför en revision.

Många organisationer som är nya på området börjar i fel ände, genom att försöka kontrollera alla leverantörer lika noggrant från dag ett. Det leder oftast till att arbetet rinner ut i sanden, eftersom omfattningen blir för stor för att hålla i längden.

En bättre väg är att börja smalt, med de mest kritiska beroendena, och sedan bygga ut omfattningen i takt med att rutinerna sätter sig.

1. Kartlägg beroenden

Identifiera:

• kritiska leverantörer
• system ni är beroende av
• dataflöden mellan system

Kartläggningen behöver inte vara perfekt från start. Det viktiga är att den påbörjas, dokumenteras och uppdateras löpande i takt med att verksamheten förändras och nya tjänster läggs till.

Utan detta går det inte att förstå risken, eftersom man inte kan skydda eller prioritera det man inte vet att man har.

2. Prioritera utifrån påverkan

Alla leverantörer är inte lika viktiga.

Fokusera på:

• affärskritiska leverantörer
• leverantörer som hanterar känslig data
• system som stödjer kärnverksamheten

Prioritering gör att begränsade resurser läggs där de gör störst skillnad, istället för att spridas tunt över hela leverantörsbasen utan tydlig effekt.

3. Ställ tydliga krav

Definiera krav på:

• säkerhetsnivå
• incidentrapportering
• dataskydd

Gör detta till en del av avtalen, inte till informella förväntningar som aldrig prövas förrän något redan gått fel.

Krav som inte är avtalade är i praktiken önskemål – inte säkerställda förutsättningar. Vid en incident är det avtalet, inte avsikten, som avgör vad ni faktiskt kan kräva av leverantören.

Det är därför värt att se över avtalsmallar och inköpsprocesser, så att säkerhetskrav blir en naturlig del av varje ny leverantörsrelation, snarare än något som läggs till i efterhand.

4. Följ upp löpande

Risk är inte statisk.

Ni behöver:

• kontinuerliga uppföljningar
• återkommande utvärderingar
• uppdaterad riskbild

En leverantör som var säker förra året är inte automatiskt säker idag. Organisationer förändras, personal byts ut och säkerhetsnivåer kan försämras gradvis utan att det märks utåt förrän det är för sent.

5. Förbered för leverantörsproblem

Planera för scenarier som:

• driftstopp
• dataintrång
• leverantörsproblem

Det handlar inte om att förvänta sig det värsta, utan om att vara förberedd om det inträffar, så att organisationen kan agera snabbt, samordnat och utan att improvisera under press.

Ställ frågan: ”Vad händer om denna leverantör faller?”

Den frågan, ställd i förväg och förankrad i en konkret plan, är ofta det som avgör hur snabbt en organisation återhämtar sig efter en incident.

Ledningens roll

Tredjepartsrisk är inte bara en inköpsfråga.

Den berör juridik, säkerhet, IT, verksamhet och varumärke samtidigt, vilket gör den svår att hantera isolerat i en enskild funktion eller avdelning.

Det kräver:

• ägarskap på ledningsnivå
• samordning mellan funktioner
• integration i riskarbetet

Utan tydlig samordning hamnar ansvaret lätt mellan stolarna, och ingen funktion upplever sig ha hela bilden eller mandatet att agera.

Ledningen behöver säkerställa:

• insyn i beroenden
• prioritering av risk
• tydligt ansvar

Detta är ett ledningsansvar som inte kan delegeras bort i sin helhet, även om det dagliga arbetet med kartläggning och uppföljning utförs av specialister. Ledningen behöver inte utföra arbetet själv, men behöver veta att det görs, hur det går, och vilka beslut som kräver dess uppmärksamhet.

I praktiken handlar det om att lyfta frågan från en teknisk detalj till en återkommande punkt i ledningens och styrelsens riskdialog, på samma sätt som finansiell risk eller compliance redan hanteras.

Det kan till exempel innebära en kort, återkommande rapportering om de viktigaste leverantörsberoendena, eventuella förändringar i riskbilden och status på pågående åtgärder. Syftet är inte att fördjupa sig i tekniska detaljer på ledningsnivå, utan att säkerställa att frågan aldrig tappas bort mellan möten.

Vanliga misstag att undvika

• att anta att leverantörer hanterar all risk
• brist på överblick
• att behandla alla leverantörer lika
• att inte planera för avbrott

Dessa misstag är vanliga – men de är också möjliga att undvika med rätt struktur, tydligt ägarskap och återkommande uppföljning.

Att anta att leverantören hanterar all risk är särskilt vanligt, eftersom det känns bekvämt att lägga ansvaret någon annanstans. I praktiken delar ni alltid en del av konsekvenserna, oavsett vad avtalet säger.

Att behandla alla leverantörer lika kostar tid och resurser som hade gjort större nytta riktade mot de mest kritiska relationerna.

Att inte planera för avbrott är kanske det mest kostsamma misstaget, eftersom det är först i en faktisk kris som bristen på en plan blir uppenbar – och då finns sällan tid att improvisera fram en bra lösning.

Det leder till:

• oväntade störningar
• större konsekvenser
• förlorad kontroll

Och de drabbar sällan bara IT-avdelningen. De drabbar hela organisationens förtroende, både internt bland medarbetare och externt hos kunder och partners.

Från dold risk till hanterad risk

Tredjepartsrisk går inte att eliminera.

Men den går att hantera.

Det kräver:

• insyn
• prioritering
• kontinuerlig uppföljning

Det är skillnaden mellan att reagera på kriser efter att de inträffat och att proaktivt minska sannolikheten för att de uppstår över huvud taget.

Organisationer som tar tag i frågan tidigt slipper sällan all risk, men de hanterar den från en position av kontroll snarare än överraskning.

Det handlar i grunden om mognad: att gå från att hoppas att leverantörerna sköter sig, till att veta det – och att ha en plan för de gånger de inte gör det.

Så minskar er organisation exponering i en uppkopplad värld.

Hur ni kommer igång

Det är lätt att låta tredjepartsrisk bli ett evighetsprojekt som aldrig riktigt startar.

Ett enkelt sätt att komma igång är att börja med en kort, fokuserad genomgång av era tio till tjugo viktigaste leverantörsrelationer.

Fråga er, för varje relation: vilken data delas, vad händer om tjänsten faller bort, och finns det ett avtal som reglerar säkerhet och ansvar?

Redan denna första genomgång brukar avslöja var de största gapen finns.

Därefter går det att bygga vidare med tydligare rutiner, regelbunden uppföljning och en naturlig plats i ledningens agenda.

Poängen är inte att uppnå perfekt kontroll på en gång, utan att skapa en process som förbättras över tid.

Vad kommer härnäst

Att hantera tredjepartsrisk är avgörande.
Nästa steg är att tydliggöra styrning och ägarskap för cyberrisk i organisationen.

Artikelserie: Cybersäkerhet, risk och resiliens för ledning och organisation

• NIS2, cybersäkerhetslagen, CER & CRA förklarat: Vad det innebär för din organisation i praktiken
• Varför cybersäkerhet är en affärsrisk – inte bara en IT-fråga
• Cybersäkerhetsrisk i praktiken: Så identifierar du vad som verkligen spelar roll
• Från cyberrisk till affärsresiliens: Så bygger du en kontinuitetsstrategi som fungerar
• Incidenthantering inom cybersäkerhet: När (inte om) något händer
• Tredjepartsrisk inom cybersäkerhet: Din största dolda sårbarhet
• Styrning och ägarskap för cyberrisk: Vem ansvarar i din organisation?
• Från compliance till konkurrensfördel: Så skapar cybersäkerhet affärsvärde
• Så skulle jag bygga cyberresiliens i din organisation