Sju av tio svenska organisationer har brister i säkerheten i sina leveranskedjor, enligt MSB:s senaste Cybersäkerhetskollen. Trots att flera funktioner granskar leverantörerna saknas ofta en samlad riskbild.
IT kontrollerar den tekniska säkerheten, juridik granskar avtalen, inköp ser över priser och ramavtal, medan informationssäkerhet följer upp NIS2 och interna krav. Alla gör sitt jobb, men informationen stannar ofta inom respektive funktion.
En leverantör kan därför få sitt avtal godkänt samtidigt som säkerhetsbrister identifieras utan att nå den som ansvarar för leverantörsrelationen. Även leverantörer inom fysisk säkerhet, bevakning och kritisk infrastruktur kan innebära betydande risker, men omfattas inte alltid av samma uppföljning som digitala leverantörer.
– Det stora problemet är inte att organisationer saknar kontroller. Det är att kontrollerna inte pratar med varandra. IT kan ha identifierat en kritisk risk som inköp aldrig får kännedom om, säger Christopher Läns, GRC-ansvarig på Stratsys.
Inköparen förhandlar avtalen och har den löpande leverantörskontakten, men får ofta riskbedömningar och säkerhetskrav för sent och utan en samlad bild. För CISO:n handlar det inte om att lämna över ansvaret, utan om att säkerställa att inköp har rätt information vid rätt tidpunkt.
Lösningen är inte fler granskningar, utan en gemensam struktur där leverantörsbedömningar, säkerhetskrav och avtalsuppföljning hänger ihop. Det är vad Stratsys hjälper organisationer att bygga. När inköp, IT, juridik och informationssäkerhet delar samma riskbild blir det lättare att identifiera kritiska leverantörer och agera på brister.
– En CISO behöver inte äga varje leverantörsrelation. Men informationssäkerhetsfunktionen måste kunna se vilka risker som finns, vem som ansvarar för dem och om de faktiskt hanteras, säger Christopher Läns.
Att ha kontroll på varje granskning är inte samma sak som att ha kontroll på leverantörsriskerna. Nästa steg är inte ytterligare en kontroll, utan att informationen som redan finns faktiskt leder till bättre beslut.
Artikeln är skriven i samarbete med Stratsys, som hjälper organisationer att samla leverantörsstyrning, informationssäkerhet och dataskydd i en gemensam struktur med stöd för NIS2, DORA och ISO 27001.
Få en samlad bild av era leverantörsrisker →
Aktuell Säkerhet jobbar för alla som vill göra säkrare affärer och är därför en säker informationskälla för säkerhetsansvariga inom såväl privat som statlig och kommunal sektor. Vi strävar efter förstahandskällor och att vara på plats där det händer. Trovärdighet och opartiskhet är centrala värden för vår nyhetsjournalistik
Anmäl dig till vårt nyhetsbrev!
Genom att klicka på "Prenumerera" ger du samtycke till att vi sparar och använder dina personuppgifter i enlighet med vår integritetspolicy.
