Volgens SecurityWeek is een datalek waarbij persoonsgegevens van duizenden FBI-medewerkers zijn buitgemaakt terug te voeren op een beveiligingsupdate die een externe aannemer niet had doorgevoerd. De organisatie met de grootste dreigingskennis werd dus niet geraakt door een onbekende techniek, maar door een gat in de keten. Lees het volledige bericht bij SecurityWeek: https://www.securityweek.com/
Wat betekent dit? Uitbesteden verplaatst de uitvoering, niet de verantwoordelijkheid. Voor bestuurders is dit concreet: een patchtermijn die niet in het contract staat is een wens en geen afspraak, dus leg per risicoklasse een termijn vast met recht op bewijs. Weet welke kritieke systemen bij derden draaien en wie aan beide kanten eigenaar is. Regel ook de meldplicht: onder de Cyberbeveiligingswet loopt uw meldtermijn vanaf het moment dat u een incident vaststelt, dus spreek met leveranciers een maximale meldtermijn af. Het toezicht beoordeelt of u de keten beheerst, niet of uw leverancier fouten maakte. Onze dienst Beheersen leveranciers- en ketenrisico’s / Supply chain risk helpt om patchtermijnen, bewijslast en meldtermijnen in al uw contracten vast te leggen en te toetsen.