Volgens de Financial Times zijn Goldman Sachs en Man Group blootgesteld door een datalek bij EY. De getroffen partijen waren klanten van de dienstverlener, niet het oorspronkelijke doelwit.
Wat betekent dit? Een ketenlek legt bloot of een organisatie ooit heeft besloten hoeveel risico zij via dienstverleners wil lopen. Veel organisaties hebben een risicoappetijt voor eigen systemen, maar niet voor adviseurs, accountants en andere partijen met toegang tot gevoelige gegevens. Vraag uw bestuur drie dingen vast te leggen: welke gegevens een dienstverlener maximaal mag ontvangen, hoe lang hij ze mag bewaren, en binnen welke termijn hij een incident meldt. Zonder die besluiten kunt u achteraf niet aantonen dat u de keten beheerste, en dat is wat toezichthouders onder de Cyberbeveiligingswet toetsen. Onze dienst Inrichten risicomanagement & GRC helpt om risicoappetijt, rollen en verantwoording ook voor dienstverleners vast te leggen.