Diensten voor Supply Chain Security

Beheer van de toeleveringsketen omvat het opstellen van duidelijke beleidsregels en procedures om de risico's van cybersecurity aan te pakken; het is de eerste essentiële stap in het beheersen van de risico's van uw toeleveringsketen. Cybersecurity in de toeleveringsketen moet worden geïntegreerd in het volledige proces, vanaf de eerste aanname van de leveranciers.

Een ander essentieel onderdeel van supply chain management is het monitoringproces; cybersecurity is geen eenmalige activiteit, het moet diep in het volledige inkoopproces worden geïntegreerd. Supply chain management omvat het classificeren van leveranciers op basis van risico, het definiëren van beveiligingseisen, het monitoren van de naleving en auditpraktijken. Het resultaat is een gestructureerd kader om kwetsbaarheden in de hele toeleveringsketen te beheren en te verminderen.

Wij gebruiken vereisten van bestaande raamwerken, zoals ISO 27001, NIST CSF en IEC 62443 en stellen relevante vragenlijsten op die verder kunnen worden geïntegreerd met bestaande tools die voor de toeleveringsketen worden gebruikt.

Op basis van het toegewezen risiconiveau voeren wij leveranciers assessments uit voor leveranciers met een hoog risico en leveranciers reviews voor leveranciers met een laag risico, met behulp van voorbereide vragenlijsten. Het grootste verschil is de diepgang van de beoordeling; leveranciers met een hoger risico moeten dieper beoordeeld worden.

Een assessment van leveranciers richt zich op het evalueren van de cybersecuritypraktijken van een individuele leverancier en de naleving van de vereisten. De focus ligt op het analyseren van alle relevante vereisten voor cyber security en het beoordelen van het geleverde bewijs van naleving. Het resultaat is een gedetailleerd rapport met een samenvatting van de beoordelingsresultaten voor die specifieke leverancier, waarin eventuele risico's of verbeterpunten worden benadrukt. Deze dienst is gericht op leveranciers met een hoog risico.

Bij een leveranciersbeoordeling worden leveranciers met een laag risico beoordeeld aan de hand van gedefinieerde cybersecurity-criteria, waarbij hun naleving en potentiële risico's worden beoordeeld. De nadruk ligt op de beoordeling van de verstrekte nalevingsstatus; bewijsmateriaal wordt slechts steekproefsgewijs beoordeeld. Het proces wordt afgesloten met een gecombineerd rapport waarin de beoordelingsresultaten voor alle leveranciers worden samengevat, zodat u een duidelijk inzicht krijgt in de beveiliging van uw toeleveringsketen.

Wij kunnen ook de levenscyclus van softwareontwikkeling (SDLC) van uw externe leveranciers evalueren. Wij beoordelen hoe veilige ontwikkeling is ingebed in hun processen, van ontwerp en codering tot testen en vrijgave. De focus ligt op het identificeren van zwakke plekken die risico's kunnen introduceren in uw organisatie via onveilige code, slecht gebruik van bibliotheken van derden of ontbrekende validatiestappen.

We onderzoeken belangrijke gebieden zoals veilige ontwerppraktijken, Threat Modeling, beleid voor code review, statisch en dynamisch testen en afhankelijkheidsbeheer. De bevindingen worden getoetst aan de normen voor veilige ontwikkeling. U ontvangt een gestructureerd rapport met risicoclassificaties, bruikbare inzichten en leverancierspecifieke aanbevelingen. Dit helpt u om inzicht te krijgen, de risico's van de softwareleveringsketen te verminderen en te voldoen aan de vereisten van regelgeving zoals DORA en NIS2.