Volgens SecurityWeek is een datalek bij de FBI terug te voeren op een patch die een externe aannemer niet doorvoerde, en leverde dezelfde week een Chinees bedrijf hackertools aan meerdere statelijke groepen, die zich onder meer op energie, luchtvaart en infrastructuur richtten. De les is dat dreigingsactoren niet alleen de organisatie zelf aanvallen, maar ook de partijen waar die op leunt. Lees het volledige bericht bij SecurityWeek: https://www.securityweek.com/
Voor inkoop betekent dat dat een classificatie van leveranciers die alleen kijkt naar de rubricering van de informatie (TBB, VIR-BI of BIO2) te smal is. Twee leveranciers met dezelfde rubricering kunnen een heel ander risico vormen, afhankelijk van hun toegang tot systemen, hun afhankelijkheid van onderaannemers en de dreiging die op hen rust, zoals statelijke actoren die zich op toeleveranciers richten.
Wat betekent dit? Neem het dreigingsbeeld op als derde as in uw leveranciersclassificatie, naast informatieclassificatie en afhankelijkheid, en toets het minstens jaarlijks en na elk incident in uw keten. Zo bepaalt de combinatie van wat een leverancier mag zien, hoe diep hij in uw systemen zit en wie hem als doelwit ziet hoeveel toetsing hij krijgt. Onze dienst Beheersen leveranciers- en ketenrisico’s / Supply chain risk helpt om dit driedimensionale leveranciersbeeld op te zetten en actueel te houden.
AI en AVG als dreigingsbron in de leverancier
Ook de wetten die niet over inkoop gaan werken door in de dreigingsanalyse van een leverancier: een inbreuk bij een verwerker of subverwerker raakt uw AVG-positie (artikel 33 lid 2 en artikel 82 lid 4), en bij AI-componenten zijn data poisoning, model poisoning en adversarial input de dreigingen die artikel 15 lid 5 van de AI-verordening noemt. Scenario’s voor beide staan in ons artikel over AI-verordening en AVG in de leveranciersketen.