De flesta verksamheter är beroende av leverantörer som på olika sätt har åtkomst till system, data eller infrastruktur. Under Cybersäkerhetsmånaden är det värt att stanna upp och ställa en grundläggande fråga: vet du egentligen vem som har åtkomst till vad i din organisation?
Utmaningen ligger sällan i tekniken i sig. Den finns oftare i bristande överblick över vilka som redan är innanför och vad de kan nå. God leverantörssäkerhet handlar om att förstå och kontrollera den risken systematiskt innan den blir verklighet.
Här tittar vi närmare på varför leverantörer och tredjeparter utgör en reell säkerhetsrisk, och vad du konkret kan göra för att få bättre kontroll över situationen.
När en angripare vill ta sig in i en organisation väljs ofta den enklaste vägen. I praktiken kan det innebära att utnyttja en leverantör med fjärråtkomst eller en integration som redan har tillgång till interna system.
En stor del av registrerade intrång har koppling till tredjeparter. Samma mönster återkommer i nordiska riskbedömningar: leverantörskedjan är ofta den svagaste länken.
Det är därför leverantörsrisk inte kan behandlas som en ren avtalsfråga. Det är en konkret informationssäkerhetsfråga som behöver följas upp löpande.
För många verksamheter är svaret mer otydligt än man tror. Leverantörer av lönesystem, HR-plattformar, molntjänster, analysverktyg och IT-drift kan alla ha olika nivåer av åtkomst till personuppgifter och verksamhetskritisk information.
Utmaningen är att den åtkomsten ofta upprättas i samband med ett projekt eller en upphandling och sedan lever vidare utan tydlig uppföljning. Dokumentationen blir utspridd, ansvaret otydligt och överblicken bristfällig.
Det första steget är därför att kartlägga vilka leverantörer som har åtkomst, vad de har åtkomst till och på vilken grund. Utan den överblicken blir det svårt att bedöma risken överhuvudtaget.
Överblick uppstår inte genom en engångsinsats. Leverantörsrelationer förändras hela tiden: nya integrationer läggs till, medarbetare byts ut hos leverantören och system uppgraderas. Behörigheter som gavs för sex månader sedan behöver inte spegla verkligheten i dag.
En strukturerad metod innebär att du samlar information om leverantörers åtkomst på ett ställe, kopplar den till system och informationstillgångar och har rutiner för att uppdatera dokumentationen regelbundet.
Det handlar också om att tydliggöra vem internt som äger relationen till varje leverantör, så att ansvaret för uppföljningen är förankrat och inte hamnar mellan olika funktioner.
Alla leverantörer innebär inte samma risk. En leverantör som bara levererar kontorsmaterial tillhör en helt annan kategori än en leverantör med direkt åtkomst till HR-system, kundregister eller känsliga journaluppgifter.
Riskbedömningen behöver därför utgå från vad leverantören faktiskt kan nå: vilka personuppgifter, hur känsliga de är och hur stort omfånget är. Om leverantören behandlar uppgifter om barn, hälsa eller brott blir risknivån högre och kraven på uppföljning mer långtgående.
GDPR kräver att ni dokumenterar den bedömningen. Det räcker inte att anta att leverantören har kontroll. Ni behöver kunna visa att ni har gjort en konkret bedömning av risken i just den här relationen, till exempel med stöd av en DPIA eller annan strukturerad riskanalys.
Behörigheter som inte granskas blir kvar. Det gäller konton för tidigare konsulter, integrationer mot system som inte längre används och åtkomstnivåer som gavs tillfälligt men aldrig drogs tillbaka.
Den typen av åtkomstskuld är ett vanligt fynd i säkerhetsgranskningar och ökar angreppsytan betydligt. Varje oanvänd behörighet är en möjlig ingång som ingen följer upp.
En fast granskningsfrekvens, till exempel kvartalsvis för leverantörer med åtkomst till känsliga uppgifter, gör att ni fångar upp förändringar innan de blir sårbarheter.
Både GDPR och NIS2 ställer konkreta krav på hur verksamheter ska hantera leverantörsrelationer. Under GDPR är ansvarsskyldigheten tydlig: ni kan lägga ut en tjänst på någon annan, men ni kan aldrig lägga ut ansvaret för personuppgifterna.
NIS2 skärper den förväntan ytterligare. Direktivet kräver dokumenterade rutiner för leverantörsuppföljning, krav i avtal, hantering av incidenter och återkommande kontroll av leverantörernas säkerhetsarbete.
För verksamheter som saknar struktur på plats kan konsekvenserna bli konkreta: tillsyn, skadeståndskrav och förlorat förtroende hos kunder och samarbetspartners.
Manuell uppföljning av leverantörer, behörigheter, riskbedömningar och avtal är tidskrävande och sårbart för fel. Dokumentationen hamnar lätt i kalkylblad, e-posttrådar och mappar som ingen har en samlad överblick över.
En strukturerad lösning där du samlar leverantörsutvärderingar, riskbedömningar och uppföljning på ett ställe gör det enklare att få överblick, identifiera risker och säkerställa att leverantörerna uppfyller organisationens krav över tid.
Du kan koppla leverantörer till registerförteckningen, dokumentera åtgärder och sätta upp automatiska påminnelser för återkommande granskning.
Resultatet blir spårbar dokumentation som är redo för tillsyn eller revision utan att ni behöver lägga onödig tid på manuellt arbete. Ni behåller kontrollen och kan visa att verksamheten arbetar aktivt med leverantörssäkerhet.
Leverantörsrisk är inte ett problem som löses en gång. Det är ett löpande arbete som kräver struktur, tydligt ansvar och regelbunden uppföljning. När du vet vem som har åtkomst, vad de kan nå och vilken risk det innebär har du ett betydligt bättre underlag för att skydda verksamheten.
Börja med att kartlägga nuläget. Ta reda på vilka leverantörer som har åtkomst till känslig information och bedöm om den åtkomsten fortfarande är nödvändig. Därefter handlar arbetet om att bygga rutiner som håller över tid. Draftit hjälper er att samla arbetet i en struktur som går att följa upp.
Tredjepartsrisk innebär att en extern leverantör eller samarbetspartner skapar en säkerhetsrisk för din verksamhet. Om leverantören har åtkomst till system eller data och blir komprometterad kan konsekvenserna slå direkt mot er.
Draftit samlar hela leverantörsbedömningen i en strukturerad process. Ni kartlägger leverantörens roll, bedömer risken utifrån faktisk åtkomst och dokumenterar åtgärder och uppföljning över tid. Allt knyts till det övriga dataskyddsarbetet.
Minst årligen, och oftare för leverantörer med åtkomst till känsliga personuppgifter. Vid större förändringar hos leverantören bör en ny bedömning göras direkt.
GDPR kräver att ni dokumenterar leverantörernas behandling av personuppgifter och kan visa att ni har bedömt risken. Ni behöver ha personuppgiftsbiträdesavtal på plats och ni behåller hela ansvaret för uppgifterna, även när behandlingen utförs av någon annan.
GDPR fokuserar på personuppgifter och ansvarsskyldighet. NIS2 omfattar informationssäkerhet bredare och ställer krav på leverantörskedjans säkerhet, incidentrapportering och ledningens ansvar. Draftit hjälper verksamheter att hantera båda perspektiven i en sammanhållen struktur.
Vill du veta mer om hur Draftit kan hjälpa er att samla arbetet med GDPR och NIS2 i en tydlig struktur? Boka ett möte med oss.