{"id":10020,"date":"2024-01-08T07:00:00","date_gmt":"2024-01-08T07:00:00","guid":{"rendered":"https:\/\/cybercompare.com\/?p=10020"},"modified":"2024-04-18T08:57:50","modified_gmt":"2024-04-18T08:57:50","slug":"einkaufsfuehrer-fuer-tools-zur-bewertung-von-cyberrisiken-durch-dritte","status":"publish","type":"post","link":"https:\/\/cybercompare.com\/de\/einkaufsfuehrer-fuer-tools-zur-bewertung-von-cyberrisiken-durch-dritte\/","title":{"rendered":"Einkaufsf\u00fchrer f\u00fcr Tools zur Bewertung von Cyberrisiken durch Dritte"},"content":{"rendered":"\n

Am Ende von diesem Artikel k\u00f6nnen Sie den Einkaufsf\u00fchrer herunterladen.<\/h2>\n\n\n\n

Das Risikomanagement in der Lieferkette f\u00fcr gro\u00dfe Organisationen oder den Betrieb kritischer Infrastrukturen umfasst zunehmend auch die \u00dcberwachung von Cyberrisiken. Aus Sicht der Lieferunternehmen hilft ein gemeinsames Repository, auf das ihre Kundschaft zugreifen kann, dabei, die wiederholte Beantwortung derselben Fragen zu ihren Sicherheitskontrollen und -zertifizierungen zu vermeiden (z. B. \u201eVerf\u00fcgen Sie \u00fcber IT-Notfallpl\u00e4ne und f\u00fchren Sie mindestens j\u00e4hrlich \u00dcbungen durch?\u201c).<\/p>\n\n\n\n

Im Allgemeinen gibt es zwei verschiedene Ans\u00e4tze f\u00fcr die Sicherheits\u00fcberwachung: Der \u00fcblichere ist das Versenden von Frageb\u00f6gen in der einen oder anderen Form. Automatische Scan-L\u00f6sungen hingegen werden immer h\u00e4ufiger eingesetzt \u2013 auch wenn damit nur ein kleiner Teil des tats\u00e4chlichen Cyber-Risikos abgedeckt wird.<\/p>\n\n\n\n

Welches Tool erweist sich als das effektivste zur Unterst\u00fctzung dieser Vorhaben? Die meisten L\u00f6sungen f\u00fcr Third Party \/ Vendor Risk Management (VRM, TPRM) oder Governance, Risk and Compliance (GRC) sowie vollst\u00e4ndige Procure-to-Pay-Suiten bieten inzwischen zumindest einige Funktionen f\u00fcr die Bewertung von Cyberrisiken bei Lieferunternehmen. Tools f\u00fcr das External Attack Surface Management (EASM) vermarkten auch ihre F\u00e4higkeit, die exponierten Anlagen von Lieferunternehmen und Mitwirkenden auf Schwachstellen oder Fehlkonfigurationen zu scannen.<\/p>\n\n\n\n

Anbietende<\/strong><\/td>Gartner: Marktf\u00fchrende f\u00fcr Risikomanagementsysteme f\u00fcr Dritte, 2022<\/strong><\/td>Gartner Peer Insights „Stimme des Kunden“: IT-Anbieter-Risikomanagement-Tools, 2022<\/strong><\/td>Forrester: Plattformen zur Bewertung von Cybersecurity-Risiken, 2021<\/strong><\/td><\/tr>
Allgress<\/strong><\/a><\/td>x<\/td>x<\/td><\/td><\/tr>
Aravo<\/strong><\/a><\/td>x<\/td>x<\/td><\/td><\/tr>
RSA <\/strong>Archer<\/strong><\/a> (RiskRecon as cyber risk engine)<\/strong><\/td>x<\/td>x<\/td><\/td><\/tr>
Certa<\/strong><\/a><\/td>x<\/td><\/td><\/td><\/tr>
Coupa<\/strong><\/a><\/td>x<\/td><\/td><\/td><\/tr>
Diligent<\/strong><\/a> (former Galvanize)<\/strong><\/td>x<\/td>x<\/td><\/td><\/tr>
Security Scorecard<\/strong><\/a><\/td><\/td>x<\/td>x<\/td><\/tr>
Black Kite<\/strong><\/a><\/td><\/td>x<\/td>x<\/td><\/tr>
Bitsight<\/strong><\/a><\/td><\/td>x<\/td>x<\/td><\/tr>
Prevalent<\/strong><\/a><\/td>x<\/td>x<\/td>x<\/td><\/tr>
BlueVoyant<\/strong><\/a><\/td><\/td><\/td><\/td><\/tr>
Riskledger<\/strong><\/a><\/td><\/td><\/td><\/td><\/tr>
Cybervadis<\/strong><\/a><\/td><\/td><\/td><\/td><\/tr>
RiskRecon (MasterCard)<\/strong><\/a><\/td><\/td>x<\/td>x<\/td><\/tr>
LogicGate<\/strong><\/a><\/td>x<\/td><\/td><\/td><\/tr>
LogicManager<\/strong><\/a><\/td>x<\/td><\/td><\/td><\/tr>
Locaterisk<\/strong><\/a><\/td><\/td><\/td><\/td><\/tr>
Red Maple FractalScan<\/strong><\/a><\/td><\/td><\/td><\/td><\/tr>
Panorays<\/strong><\/a><\/td>x<\/td><\/td>x<\/td><\/tr>
Rapid7 Intsights<\/strong><\/a><\/td><\/td><\/td><\/td><\/tr>
ServiceNow<\/strong><\/a><\/td>x<\/td>x<\/td><\/td><\/tr>
SureCloud<\/strong><\/a><\/td>x<\/td><\/td><\/td><\/tr>
OneTrust<\/strong><\/a><\/td>x<\/td>x<\/td><\/td><\/tr>
ProcessBolt Threatscape<\/strong><\/a><\/td>x<\/td><\/td><\/td><\/tr>
CyberGRX \/ ProcessUnity<\/strong><\/a><\/td>x<\/td>x<\/td><\/td><\/tr>
Palo Alto (Cortex Xpanse)<\/strong><\/a><\/td><\/td><\/td><\/td><\/tr>
Darkscope CIQ360<\/strong><\/a><\/td>x<\/td><\/td><\/td><\/tr>
DGC Cyberscan<\/strong><\/a><\/td><\/td><\/td><\/td><\/tr>
SureCloud<\/strong><\/a><\/td>x<\/td><\/td><\/td><\/tr>
Upguard<\/strong><\/a><\/td>x<\/td>x<\/td>x<\/td><\/tr>
Venminder<\/strong><\/a><\/td>x<\/td>x<\/td><\/td><\/tr>
Whistic<\/strong><\/a><\/td>x<\/td><\/td><\/td><\/tr><\/tbody><\/table>

Die obige Liste enth\u00e4lt keine spezialisierten Angebote wie z. B. Hellios, die eine Gemeinschaft von Kaufenden aus dem Verteidigungs- und Finanzsektor im Vereinigten K\u00f6nigreich bedienen. Einige der erw\u00e4hnten Unternehmen haben inzwischen fusioniert (z. B. Thirdpartytrust mit Bitsight).<\/figcaption><\/figure>\n\n\n\n
Umfang und Genauigkeit der externen Scans<\/h5>\n\n\n\n

Im Rahmen eines k\u00fcrzlich durchgef\u00fchrten RfP haben wir mehrere Anbietende von Drittanbieterl\u00f6sungen zur Bewertung von Cyberrisiken gebeten, denselben Testbereich zu scannen und uns ihre Ergebnisse zu Vergleichszwecken zu \u00fcbermitteln. Wie in der nachstehenden Tabelle zu sehen ist, unterscheiden sich die Ergebnisse der Beispiele erheblich. Die Testdom\u00e4ne wurde von CyberCompare<\/a> verwaltet \u2013 nat\u00fcrlich ist niemand perfekt, und die Scanergebnisse haben uns geholfen, einige Sicherheitsl\u00fccken zu schlie\u00dfen.<\/p>\n\n\n\n

Die Bedeutung jedes Ergebnisses variiert je nach individueller Sicherheitssituation und Datenschutzanforderungen, abh\u00e4ngig von der Kundschaftsgruppe und den betroffenen Verm\u00f6genswerten. Es k\u00f6nnte auch Unterschiede bei den Ergebnissen geben, weil der Zeitpunkt der Scans nicht identisch war. Die genannten Kategorien k\u00f6nnen jedoch hilfreich sein, wenn es darum geht, pr\u00e4zise Anforderungen festzulegen oder L\u00f6sungen von Anbietenden zu bewerten.<\/p>\n\n\n\n

Themen (Beispiele)<\/strong><\/td>Bereich<\/strong><\/td>Bitsight<\/strong><\/td>Black Kite<\/strong><\/td>Cybervadis<\/strong><\/td>LocateRisk<\/strong><\/td>Red Maple<\/strong><\/td>RiskLedger<\/strong><\/td>RiskRecon<\/strong><\/td>Security Scorecard<\/strong><\/td>G\u00fcltiger Befund (zum Zeitpunkt des Scans)<\/strong><\/td><\/tr>
DNSSEC nicht unterst\u00fctzt<\/strong><\/td>DNS<\/td>x<\/td><\/td>x<\/td>x<\/td><\/td><\/td><\/td><\/td>Ja<\/td><\/tr>
Kein CAA-Eintrag gefunden<\/strong><\/td>DNS<\/td><\/td><\/td><\/td>x<\/td><\/td><\/td><\/td><\/td>Ja<\/td><\/tr>
Kein DANE-Eintrag gefunden<\/strong><\/td>DNS<\/td><\/td><\/td><\/td>x<\/td><\/td><\/td><\/td><\/td>Ja<\/td><\/tr>
BIMI wird nicht unterst\u00fctzt<\/strong><\/td>DNS<\/td><\/td><\/td>x<\/td><\/td><\/td><\/td><\/td><\/td>Ja<\/td><\/tr>
SPF-Eintrag fehlt<\/strong><\/td>DNS\/Mail<\/td>x<\/td>x<\/td>x<\/td>x<\/td>x<\/td><\/td><\/td>x<\/td>Ja<\/td><\/tr>
DMARC-Mail-Datensatz fehlt<\/strong><\/td>DNS\/Mail<\/td><\/td><\/td>x<\/td>x<\/td>x<\/td><\/td><\/td><\/td>Ja<\/td><\/tr>
Domain-Besetzung<\/strong><\/td>Domain Squatting<\/td>x<\/td><\/td><\/td><\/td><\/td><\/td><\/td><\/td>Ja<\/td><\/tr>
Open SSH port (website)<\/strong><\/td>Network<\/td><\/td><\/td><\/td>x<\/td>x<\/td>x<\/td><\/td><\/td>Ja<\/td><\/tr>
Alte\/schwache TLS-Versionen werden akzeptiert<\/strong><\/td>Network<\/td><\/td>x<\/td><\/td>x<\/td><\/td><\/td><\/td><\/td>Ja<\/td><\/tr>
Nginx CVEs<\/strong><\/td>Patching<\/td><\/td><\/td>x<\/td><\/td>x<\/td>x<\/td><\/td><\/td>Ja<\/td><\/tr>
OpenSSH CVEs<\/strong><\/td>Patching<\/td><\/td><\/td>x<\/td>x<\/td><\/td><\/td><\/td><\/td>Ja<\/td><\/tr>
CSP nicht festgelegt<\/strong><\/td>WebApp<\/td>x<\/td><\/td>x<\/td>x<\/td>x<\/td><\/td>x<\/td>x<\/td>Ja<\/td><\/tr>
X-Frame-Options-Header nicht gesetzt<\/strong><\/td>WebApp<\/td>x<\/td><\/td>x<\/td>x<\/td><\/td><\/td>x<\/td>x<\/td>Ja<\/td><\/tr>
Referrer Policy-Header fehlt<\/strong><\/td>WebApp<\/td><\/td><\/td><\/td>x<\/td><\/td><\/td><\/td><\/td>Ja<\/td><\/tr>
HSTS-Kopfzeile nicht gesetzt<\/strong><\/td>WebApp<\/td><\/td>x<\/td><\/td>x<\/td>x<\/td><\/td><\/td>x<\/td>Ja<\/td><\/tr>
Unsichere HTTPS-Umleitung<\/strong><\/td>WebApp<\/td><\/td><\/td><\/td><\/td><\/td><\/td><\/td>x<\/td>Nein<\/td><\/tr>
X-XSS-Schutz nicht aktiviert<\/strong><\/td>WebApp<\/td><\/td><\/td>x<\/td>x<\/td>x<\/td><\/td>x<\/td>x<\/td>Ja<\/td><\/tr>
Anzeige der Nginx-Version<\/strong><\/td>WebApp<\/td><\/td>x<\/td><\/td><\/td>x<\/td><\/td><\/td><\/td>Ja<\/td><\/tr>
Schwache CBC-Chiffren angeboten<\/strong><\/td>WebApp<\/td><\/td>x<\/td><\/td><\/td><\/td><\/td><\/td><\/td>Ja<\/td><\/tr>
Inline CSS<\/strong><\/td>WebApp<\/td><\/td>x<\/td><\/td><\/td><\/td><\/td><\/td><\/td>Nein<\/td><\/tr>
HPKP nicht aktiviert<\/strong><\/td>WebApp<\/td><\/td>x<\/td><\/td><\/td><\/td><\/td><\/td><\/td>Ja<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

<\/p>\n\n\n\n

Kriterien f\u00fcr die Vorauswahl und Auswahl<\/h5>\n\n\n\n

Es ist ratsam, die Auswahl des geeigneten Tools auf eine gut \u00fcberlegte Entscheidung bez\u00fcglich des Prozesses des Cyber-Risikomanagements beim Anbietenden folgen zu lassen. Unabh\u00e4ngig davon, f\u00fcr welche L\u00f6sung man sich entscheidet, muss jemand in der eigenen Organisation das Lieferantenfeedback pr\u00fcfen, mit den Ergebnissen arbeiten und die Ma\u00dfnahmen weiterverfolgen (z. B. fehlendes Feedback von Lieferfirmen bearbeiten, sich mit der Einkaufsabteilung abstimmen), es sei denn, der gesamte Prozess wird als Managed Service ausgelagert. Dies allein verursacht schon eine erhebliche Arbeitsbelastung f\u00fcr Ihr eigenes Team oder Kosten f\u00fcr einen externen Dienstleistenden. Auch wenn viele Anbietende ihre Ergebnisse f\u00fcr AWS, Microsoft oder Google pr\u00e4sentieren (da sie f\u00fcr die meisten Unternehmen heute zu den gr\u00f6\u00dften Lieferfirmen geh\u00f6ren), wie n\u00fctzlich sind diese Informationen tats\u00e4chlich?<\/p>\n\n\n\n

F\u00fcr viele Unternehmen ist das Cyberrisiko in der Lieferkette tats\u00e4chlich ein geringeres Risiko als ESG- oder andere Compliance-Risiken. Daher k\u00f6nnte ein sehr pragmatischer Ansatz (z. B. nur wenige Anbietende zu verfolgen) sinnvoll sein.<\/p>\n\n\n\n

F\u00fcr die Auswahl der richtigen Tools sind hier einige typische Anforderungen und Fragen aufgef\u00fchrt:<\/p>\n\n\n\n