Wie steuert Cyber Crucible Lieferketten- und Insider-Risiken?
Kurze Antwort: Durch verbindliche gegenseitige Vertraulichkeitsvereinbarungen (NDAs) für alle Mitarbeitenden mit potenziellem Zugriff, streng auf das Need-to-know-Prinzip beschränkten administrativen Zugriff für überprüftes Personal sowie eine Null-Toleranz-Vorgabe, jeden Lieferanten, Anbieter, Auftragnehmer oder Mitarbeitenden, der ein Risiko für Kunden oder deren geistiges Eigentum darstellt, zu isolieren oder unverzüglich von der Zusammenarbeit auszuschließen.
Die Kontrollen
- Verpflichtende Vertraulichkeitsvereinbarungen (NDAs) — Alle Mitarbeitenden mit potenziellem Zugriff auf operative Kundendaten oder Managementsysteme sind vor dem Onboarding rechtlich durch eine gegenseitige NDA gebunden.
- Strikter Need-to-know-Zugriff — Der administrative Zugriff auf Kunden-Management-Instanzen ist ausschließlich auf überprüftes Personal beschränkt, und dies nur, wenn dies zur Durchführung eines validierten Geschäfts- oder Supportvorgangs erforderlich ist.
- Vorgabe zur Trennung von Anbietern und Ressourcen — Stellt ein Lieferant, Softwareanbieter, Auftragnehmer oder Mitarbeitender ein Sicherheits-, Datenschutz- oder Risiko für das geistige Eigentum der Kunden dar, steuert und isoliert Cyber Crucible dieses Risiko aktiv oder trennt sich unverzüglich von der betreffenden Ressource.
Warum Insider- und Lieferkettenrisiken zusammengehören
Beide sind im Grunde dasselbe Problem, nur aus unterschiedlichen Blickwinkeln betrachtet: Jemand mit legitimem Zugriff wird zum Angriffsvektor. Um dies zu kontrollieren, muss man einschränken, wer Zugriff hat, diese Personen vertraglich binden und bereit sein, eine Beziehung schnell zu beenden, sobald ein Risiko erkennbar wird — auch eine geschäftliche Beziehung.
Die Vorgabe zur Trennung ist der Teil, der Organisationen am häufigsten fehlt. Verträge und NDAs begründen Pflichten; erst die Bereitschaft, einen Lieferanten sofort zu kündigen, macht sie wirksam.