Volgens SecurityWeek, dat zich baseert op Reuters, is een datalek waarbij persoonsgegevens van duizenden FBI-medewerkers zijn buitgemaakt terug te voeren op een beveiligingsupdate die een externe aannemer niet had doorgevoerd op een platform van een derde partij. De FBI zegt de aannemer te hebben verwijderd. De groep ShinyHunters claimde de inbraak en gebruikte de gegevens om druk uit te oefenen. Volgens Google richt de groep zich op kwetsbare PeopleSoft-omgevingen.
Wat betekent dit? Zelfs een organisatie met sterke dreigingsinformatie wordt geraakt via een leverancier die niet op tijd patcht. Voor bestuurders is de les dat uitbesteden de verantwoordelijkheid niet uitbesteedt. Leg patchtermijnen contractueel vast, laat naleving aantonen en houd zicht op de kritieke systemen die bij derden draaien. Dat is precies waar ketenrisicobeheer onder de Cyberbeveiligingswet om vraagt. Onze dienst Beheersen leveranciers- en ketenrisico’s / Supply chain risk helpt om patchtermijnen en aantoonbare naleving bij leveranciers vast te leggen.