Når nettene blir lange

Vårt nasjonale nettverk er langt og komplekst. Når du streamer siste nyhetssending fra NRK, blinker det intenst i en lysdiode i en transportnettnode langt nede i de lavere lag av landsnettet, for å transportere akkurat dine bits til deg. Faktisk er en mengde nettverkskomponenter på ymse lag, kjernenettfunksjoner, tjenesteplattformer og servere involvert, men det trenger du ikke tenke på når du ser Dagsrevyen. Det bare virker.

Illustrasjonsfoto av digital kode.

Litt slik har det blitt med leveransekjedene også. I en globalisert og kostnadsoptimalisert verden blir rekkene av underleveranser og underleverandører potensielt svært lange og omfattende. Det er få, om noen, bedrifter som gjør «alt» selv lengre – eller kunne gjort det om de ønsket. Bak nærmest enhver leveranse finnes et stadig mer fragmentert, komplekst, langstrakt og – dessverre – stadig mindre transparent nett av del- og underleveranser. Slik forblir det nok i overskuelig fremtid.

I «leveransekjeder» inkluderer vi både tjenester og produkter. De omfatter både direkte leveranser, altså direkte leverandører og innsatsfaktorer, og indirekte leveranser, altså underleverandører og deres ytterligere underleverandører og innsatsfaktorer. Underleverandører kan også opptre som «overleverandører». Det vil si at de leverer på andres vegne, slik som support og kundeservice. I forståelse og vurdering av egne leveransekjeder er det lett – og fristende – å verken favne den fulle bredden, og den ofte betydelige dybden. Avgrensningen må relateres til det relevante trusselbildet, men det er ikke lengre tilstrekkelig å kun se på førsteordens leverandører; du velger ikke en leverandør, men snarere en ofte omfattende portefølje av leverandører.

Fra et sikkerhetsperspektiv representerer leveransekjedene angrepsflaten. Enhver virksomhet eller person som bidrar til en underleveranse, og underleveransen i seg selv, gir mulighet til å påvirke sikkerheten lengre opp i leveransekjeden.

Denne angrepsflaten øker sannsynligheten for negative operasjonelle hendelser, enten de oppstår som følge av sårbarheter i kode og mangelfull håndtering av disse, konfigurasjonsfeil, mangelfull herding, vellykket kompromittering av personell eller alminnelige uhell.

Jo lenger og mer fragmentert leveransekjeden er, desto lenger unna er kompetansen som vil være i stand til å håndtere hendelser, og mulighet til å påvirke håndteringen.

Og kulda setter inn

For å møte denne angrepsflaten på en hensiktsmessig måte, må virksomheten først forstå eget trusselbilde; og har man kunder, også forstå deres. Trusselaktørene i seg selv kan ikke en virksomhet gjøre noe med, men uten innsikt i hvem og hvordan noen mest sannsynlig ønsker å påvirke din virksomhet er det vanskelig å treffe riktige risikoreduserende tiltak.

Du må vite hvilke verdier du og dine kunder besitter sett fra relevante trusselaktørers perspektiv, og hvilken evne og vilje relevante aktører har til å utøve sikkerhetstruende virksomhet mot disse verdiene.

Forstå verdiene – for trusselaktøren

De fleste bedrifter har en idé om hva som er forretningsmessig viktigst, gjennom allerede å ha identifisert sin «kjernevirksomhet», altså verdier vurdert som viktigst fra et økonomisk perspektiv, eller strategiske vurderinger av hvor virksomheten kan tilføre noe unikt. Dette gir imidlertid ikke nødvendigvis rett fokus og forståelse av hva som representerer de største «negative» verdiene, som har verdi for trusselaktøren. Den forretningsmessige identifikasjonen av kjernevirksomhet gir ofte et ufullstendig bilde av hvilke aktiviteter og leveranser som krever oppmerksomhet for å minimere leveransekjederisiko.

Når sikkerhetsfolk refererer til å beskytte «kronjuveler», er det sett fra trusselaktørens perspektiv; hva som har størst verdi for dem – som mål i seg selv eller som middel for å nå sine mål. Det som gir den største verdiskapningen er ikke nødvendigvis det – eller det eneste – som kan påføre virksomheten store tap.


Det kan godt være at akkurat din virksomhet, eller at dine «kronjuveler», ikke er prioriterte mål for en trusselaktør. De avanserte trusselaktørene jakter først og fremst på (mer) informasjon og tilganger som fører til at de når, eller kommer nærmere å nå, sine egentlige mål. Det er likevel helt nødvendig å forstå egne verdier, sett fra trusselaktørens perspektiv, og så langt som mulig forstå tilsvarende hos virksomhetens kunder. Selv om en slik kartlegging aldri vil kunne bli perfekt, går det ikke an å konkludere med at man ikke er et mål.

Vi pekte i Digital Sikkerhet 2018 på viktigheten av formalisert samarbeid med leverenadører så vel som viktige samarbeidspartnere.

Men for Norge – for alt vi er og alt vi har spredt over mange, komplekse og lange leveransekjeder – kreves også dugnadsinnsats. Alle virksomheter må forstå seg selv som del av samfunnsmaskineriet og ta høyde for at de er både mål og vektor i langt større grad enn påvisbare verdier nødvendigvis tydelig tilsier. Det egentlige målet for angriperen kan være noen helt andre, og i så henseende bør alle prioritere de viktigste sikkerhetstiltakene som underbygger forsvarbar IKT slik vi i 2019 omtalte som digital flokkimmunitet.

Om alle gjør «sitt», kommer vi et stykke på vei, med kunnskapsdeling om risiko i komplekse og lange leverandørkjeder kommer vi enda lenger.

Ramme for risikovurdering - forstå og plassere ansvaret

Leveransekjederisiko er, ut fra konsekvenspotensialet, et strategisk anliggende for virksomheten som krever strategisk eierskap. Også valgene virksomheten må ta i håndteringen av risikoen, har i mange tilfeller store konsekvenser. Dette må sees i et strategisk perspektiv og behandles på et strategisk beslutningsnivå. Ikke bare står verdier på spill. Hvilke leverandører og underleverandører virksomheten har valgt å eksponere seg for, og hvor god håndtering av leveransekjederisiko som er utvist, kan bli avgjørende for hvilke fremtidige kunder virksomheten selv vil bli vurdert som relevant leverandør til. De kunder virksomheten på lengre sikt ønsker å være relevant for, og valgbar av, er definitivt et strategisk anliggende.

Tidsperspektivet for risikovurderingen må sees i sammenheng med hvor langvarig nytte virksomhetens verdier vil ha for relevante trusselaktører, men også – og kanskje viktigere – hvor langvarige konsekvenser et angrep gjennom leveransekjeden kan påføre virksomheten, dens kunder og samfunnet rundt. Trusselaktørene er vedvarende til stede, og utviser i stor grad evne og vilje til å agere over tid.

Mange virksomheter har ikke egen kompetanse til denne type vurderinger, da må man finne dette utenfor eget hus.

Så sier vesle musemor til ungeflokken sin

Den potensielle verktøykassen for risikoreduksjon i leverandørgrensesnitt og leveransekjeder er omfattende. Verktøykassen kan omfatte alt fra kravstilling, kontroll, virkemidler i leverandørrelasjonen og i virksomheten selv, og også eksternt baserte virkemidler som kan ha relevans.

Krav

For å kunne identifisere relevante og gode krav til en leverandør, kreves både sikkerhetsfaglig kompetanse og – ikke minst – domenekompetanse i forhold til leverandørens virksomhet og leveransen man mottar. Dette er knappe ressurser, men utilstrekkelig kompetanse i kravstiller-rollen er en vanlig årsak til mangelfulle krav.

Bruk av referanser kan forenkle og lette kravstillingen noe, og bidra til å gjøre kravene mer akseptable for begge parter. Både lover og regler, anerkjente rammeverk og standarder, bransjenormer, veiledninger og sertifiseringsordninger kan være relevante referanser. Dette kan også gi «automatisk» vedlikehold av kravene ved at kildene utvikles og fornyes over tid; i takt med teknologi og det generelle trusselbildet. Det er likevel behov for kompetent kravstilling for å unngå uforholdsmessige eller irrelevante eksterne kravsett eller sertifiseringer, som kan virke negativt inn på både relasjonen, kostnadsnivået og den oppnådde risikoreduksjonen.


Krav koster. Noen krav kan koste mye. Rett risikovurdering er derfor en helt nødvendig forutsetning for kravstilling, forhandling av avtale og leverandørvalg. Kostnadene virksomheten velger å ta, må samsvare med gevinsten (risikoreduksjonen). Uten god risikoforståelse er den balansen vanskelig å treffe, og valgene vanskelige å ta.

Avtalefestede krav stilles gjerne på relativt høyt eller prinsipielt nivå. For å forstå hvilken risikoreduksjon kravene faktisk vil gi, og ikke minst for å realisere denne gevinsten, vil det, spesielt i større avtaler, være viktig å avklare hvordan de mest sentrale kravene vil bli innfridd. Dette bør avklares før endelig leverandørvalg og avtaleinngåelse.

Videre i leveransekjeden

Krav i direkte kommersielle relasjoner er viktig, men åpenbart ikke nok. Det er vår erfaring at sikkerhetsmessig kvalitet og forbedring må være drevet av etterspørsel fra kjøpers side, og en viss vilje til å betale for sikkerhet og risikoreduksjon. Et krav om at leverandøren må pålegge sikkerhetskravene videre til sine underleverandører er ett virkemiddel for å gi sikkerhetskrav en etterspørselsdrevet effekt videre nedover i leveransekjedene. Generelt er det også viktig å stille krav om kontroll av mottatte leveranser.

Mange virksomheter undersøker forhold knyttet til potensielle leverandører, men få stiller krav om transparens for hvem underleverandørene er. Evnen til å dokumentere dette effektivt vil ofte avhenge av løpende vedlikehold i gode styrings- og rapporteringssystemer hos leverandøren.

Skjev maktbalanse i leverandørrelasjoner

Alle virksomheter vil fra tid til annen ha behov for å gå inn i leverandørrelasjoner der maktbalansen er alt annet enn jevn. Et møte mellom store multinasjonale tjenesteleverandører og en gjennomsnittlig norsk småbedrift vil ofte gi sistnevnte lite rom for å stille særskilte krav. Det blir desto viktigere å sette seg grundig inn i betingelsene som tilbys, velge leverandør på grunnlag av identifisert risiko, påse at man selv bruker leveransen riktig og i tråd med sikkerhetsveiledning fra leverandøren, og føre en rimelig grad av kontroll med leveransens sikkerhetsmessige kvalitet. Det siste kan fremstå ressurskrevende, men mange store leverandører der betingelsene i utgangspunktet er udiskutable, vil likevel – om ikke annet så ut fra kommersielle motiver – tilby sine kunder dokumentasjon på uavhengig kontroll av sikkerhetsmessig kvalitet i sine leveranser.

I mangel av mulighet til å stille krav, må virksomheten helt enkelt vurdere – gitt betingelsene – om dette er rett leverandør. Misnøye med betingelsene eller den sikkerhetsmessige kvaliteten, må kommuniseres ved å velge eller skifte til alternativ leverandør; altså utøve markedsmakt.

I møte med en sterkt ønsket, og sterkt posisjonert, leverandør som ikke vil godta virksomhetens krav, er det viktig å ikke pådra seg ukjent risiko ved å resignere uten realitetsvurdering. Avviket mellom virksomhetens krav og leverandørens tilbudte betingelser bør systematisk identifiseres og brukes i vurdering av leveranse-, leverandør- og leveransekjede-risiko. Først når denne risikoen er vurdert og kjent, kan virksomheten ta en informert beslutning om leverandøren utgjør en uakseptabel risiko og hvordan risikoene kan håndteres dersom en avtale likevel inngås.

Kontroll

Mange forbinder «kontroll» med noe etterskuddsvis. Men det er god grunn til kontroll av leverandører både før og etter kontraktsinngåelse, og definitivt før sikkerhetshendelsen er et faktum. Avhengig av risikoen leverandøren og leveransen er vurdert å representere, og hvor avgjørende kravene er for at risikoen skal bli akseptabel, kan kontroll ved selskapsgjennomgang («due diligence») allerede før avtaleinngåelse være hensiktsmessig.

Hovedvekten vil for de fleste likevel ligge på løpende og/ eller periodisk kontrollaktiviteter innenfor rammen av en pågående leverandørrelasjon. Den kan utøves på flere måter og i varierende grad; for eksempel ved:

  • kontroll av selve leveransen
    Her inngår alle former for sikkerhetsrelevant kvalitetstesting, inkludert offensiv sikkerhetstesting.

  • inspeksjon og revisjon
    Dette er ressurskrevende aktiviteter som vil måtte prioriteres inn mot leverandører og leveranser som representerer den aller største angrepsflaten/risikoen for virksomheten.

  • rapportering og egenmelding
    Selv om denne ikke gir samme innsyn som egenhendig førstehånds inspeksjon, kan det gi relevant transparens på en kostnadseffektiv måte.

For mange virksomheter vil det av både kompetanse- og kapasitetshensyn være relevant å benytte tredjepartsbistand – altså nok en leverandør – for å bistå i slike aktiviteter. En full tjenesteutsetting kan imidlertid være utfordrende, da kontrollen ofte også krever spesifikk domenekompetanse fra virksomheten selv.

Utøvelse av førstehånds kontroll i flere ledd nedover i leveransekjeden er ikke bare utfordrende å skaffe seg adgang til å gjøre, det medfører også økt ressursbruk. Hvis slik kontroll er relevant, bør det være forbeholdt utvalgte underleverandører/-leveranser som utgjør særlig høy sikkerhetsrisiko. Det er mer realistisk å kreve bekreftelse på at kontroll har blitt utøvet i hvert ledd nedover i leveransekjeden, så langt det er relevant. Med samfunnets økende oppmerksomhet for leveransekjede-risiko, må mange virksomheter forvente økte krav til dokumenterbar utøvelse av kontroll overfor egen leveransekjede, både fra myndigheter, ved sertifiseringer og godkjenninger, og fra større risikoutsatte kunder.

  • Forstå verdiene, for deg, for dine kunder og for relevante trusselaktører

  • Forstå og plasser ansvar, og forankre ansvar og risiko på strategisk nivå

  • Forstå leveransekjedene, og krev innsyn i dem

  • Still risikobaserte krav, still krav om videreføring i leveransekjeden og utøv kontroll

  • Finn rett balanse mellom kontroll av leverandør, underleverandør og mottatt leveranse

  • Gi positive kommersielle insentiver for god sikkerhet og god samhandling om sikkerhet

  • Søk å forkorte leveransekjedene og redusere behovet for å eksponere verdier til dem

  • Rust deg for å håndtere leveransekjede-angrep – separér og segmentér der du kan

  • Sikre nødvendig egenkompetanse, evne og kapasitet til å forstå, vurdere og validere, herunder sikkerhetsteste, leverandører og leveranser.

Virkemidler og leverandørrelasjon

Leverandørvalget er et av de mest fundamentale virkemidlene i verktøykassen for reduksjon og håndtering av leveransekjede-risiko. Preferansene bør være leverandører som forstår virksomhetens trusselbilde og risikoer, og utviser evne og vilje til å på egenhånd agere i tråd med disse.

Straff og bøter

I avtaler om større og komplekse leveranser, er det regnet for god hygiene å oppstille handlingsrom for negative virkemidler dersom krav ikke møtes. Utover hjemler for å gå fra avtalen, er straffereaksjoner gjerne av økonomisk art. De gir ikke nødvendigvis, for alle følger av et sikkerhetsbrudd, full regress mot leverandør. Tvert imot ser vi gjentatte eksempler på at økonomiske virkemidler ikke står i forhold til risikoen og skaden som påføres ved mangelfull innfrielse av krav, enkelte leverandører ser seg bedre tjent med å betale «straff» enn å faktisk levere. Formålet med dette virkemiddelet er ikke oppnådd når det ikke fører til reell atferdsendring. En tilgodelapp på billigere tjenester i neste kvartal er en mager trøst, om i det hele tatt relevant, sett i forhold til risikoen virksomheten påføres og eventuelle tap den lider ved hendelser.

Vi er kjent med virksomheter som gjennomfører både pre-kontraktuell og årlig kontroll med sine potensielle leverandører, blant annet ved revisjonsaktiviteter. De som feiler slik revisjon ved første forsøk og ikke forbedrer seg tilstrekkelig til en snarlig påfølgende andre revisjon, blir plassert i karantene, står i fare for å miste sine eksisterende leveranser ved at virksomheten iverksetter re-sourcing, og leverandøren blir fratatt muligheten til å tilby sine øvrige produkter og tjenester til virksomheten for en lengre periode.

Positive insentiver

Vi ser relativt sjeldent – trolig for sjeldent – at positive virkemidler brukes for å stimulere til samsvar med krav, risikoreduksjon og godt sikkerhetsarbeid hos leverandøren. Alle større og komplekse leveranser har betydelig grad av risiko; en risiko kundesiden oftest gjør betydelige økonomiske avsetninger for å dekke. I lys av at det nesten uten unntak er mer kostnadseffektivt for begge parter at det blir levert med rett sikkerhetsmessig kvalitet enn å bruke risikoavsetninger til kompenserende tiltak i etterkant, er det overraskende at det ikke oftere oppstilles bonuser for å levere riktig – der kundesiden aksepterer at dette er én mulig anvendelse av risikoavsetningen og en del av prisbildet.

Positive insentiver bidrar til å kultivere en positiv, sterk og god leverandørrelasjon. Vilje til samhandling og til å gå «the extra mile» for hverandre, gir langt større sannsynlighet for at leverandøren:

  • er villig til å gjøre «det lille ekstra» og være proaktiv i å adressere risiko utover kontraktsfestede krav og/eller uten at hvert bidrag trenger å behandles kommersielt,

  • bidrar til god og effektiv hendelseshåndtering også overfor sine leverandører og videre mot deres underleverandører ved hendelser, og

  • på eget initiativ søker forbedringer og foreslår endringer som bidrar positivt til kundens risikobilde; et risikobilde leverandøren oppfatter å ha en grad av eierskap til. Leverandørrelasjonen vil ikke bare preges av de kommersielle

rammene, men også av den løpende håndteringen drevet av virksomhetens egne interne KPIer og insentiver. Det kan derfor finnes motsetningsforhold mellom de krav og forventninger som er stilt til en leverandør, og det operative leveransegrensesnittet virksomheten har mot leverandøren. For å unngå dette bør interne insentivmodeller gjennomgås og justeres slik at de driver ønsket adferd i forhold til leverandør- og leveransekjedevalg.

Forkorte leveransekjeden

Til tross for intensjon, vilje og et visst handlingsrom for å gjennomføre tiltakene vi har vært innom, er det åpenbart at restrisikoen øker, jo lengre leveransekjedene er. Valg som bidrar til å forkorte leveransekjeden er derfor en naturlig del av virksomhetens verktøykasse av risikoreduserende virkemidler.

Handlingsrommet for å helt enkelt gjøre mer selv, innenfor rammen av egen virksomhet og direkte kontroll, har på kort sikt en rekke åpenbare begrensninger av både økonomisk og kompetansemessig art. Her er tidsperspektivet vesentlig, vi påstår at handlingsrommet for slike grep gjerne undervurderes med et kortsiktig perspektiv, i stedet for å vurderes som langsiktige investeringer og forbedringsplaner.

På områder der virksomheten har identifisert betydelig risiko for sikkerhetstruende påvirkning gjennom leveransekjeden/leveransen bør lange og omfattende underliggende leveransekjeder telle vesentlig negativt i risikovurderingen og innvirke på leverandørvalget.

Styrke påvirkningsevne gjennom fellesskap

Påvirkning gjennom å søke fellesskap med andre virksomheter har både negative og positive sider.

Maktforholdet mellom kunde og leverandør kan endres direkte ved at flere kunder med ens behov, danner felles innkjøpsselskaper. I telekom bransjen er innkjøpsalliansen BuyIn3 ett slikt eksempel; det ble startet som en joint venture innkjøpsorganisasjon for Orange og Deutsche Telekom, og har siden har fått syv ytterligere medlemmer. Slike konstruksjoner er imidlertid et tveegget sverd, blant annet fordi:

  • de i seg selv utgjør en forlengelse av leveransekjeden

  • de i noen tilfeller betjener kundevirksomheter med vesentlig forskjellig trussel- og risikobilde, og risikoappetitt,

  • de kan distansere innkjøpsfunksjonen og leverandørvalget fra domenekompetanse om leveransen, som blant annet er kritisk for rett kravstilling og kontroll av leveransen

En mer nøytral form for påvirkning kan være realistisk å oppnå gjennom bransje- og handelsorganisasjoner der både kunde- og leverandørsiden deltar. Påvirkningsrommet innenfor slike rammer spenner fra det helt uforpliktende kulturbyggende, via normer, de-facto standarder, sertifiseringer og forpliktende multilaterale chartere. Alt dette kan og bør berøre sikkerhet i leveransekjeden, ikke bare leveransen. Også kundevirksomheter som ikke selv har kapasitet til slik aktiv deltakelse og påvirkningsarbeid, bør orientere seg om relevante bransjeorganisasjoner og deres normer, standarder, sertifiseringer og chartere, og i hvilken grad de adresserer leverandør- og leveransesikkerhet. Preferanse av leverandører som har sluttet seg til og/eller aktivt deltar i slike, og helst speiler en tilsvarende forventning mot sine underleverandører, er ofte en god indikator for redusert risiko.

Styrke leverandørene

Det er vår erfaring at formidling av trusselbildet på en måte som gjør at det blir forstått, evnen til risikohåndtering godt vurdert av leverandøren selv og nødvendige endringer tatt høyde for når tilbudet gis, kan være svært utfordrende. For å kunne forvente at leverandøren har best mulig forståelse er det viktig å bruke tid og ressurser i formidlingsarbeidet før leverandørvalg og kontraktsinngåelse.

Virkeligheten etter kontraktsinngåelse kan avvike fra forventningene, endog avtalefestede krav – uavhengig av om forventningene var realistiske og kravene forstått, eller ikke. Det er viktig at kunden er villig til å investere i ytterligere formidlingsarbeid og styrking av leverandørens kompetanse. Dette må sees på som en god investering i svært kostnadseffektive tiltak til risikoreduksjon.

Sett fra leverandørsiden kan det være vanskelig å forstå, og holde tritt med utviklingen i, kundenes trussel- og risikobilde. Dette medfører at vi nøkternt må vurdere behovet for, og kalkulere inn ressursbruk på, å løfte våre leverandører på kritiske områder som kompetanse og kjennskap til hverandres organisasjon og virksomhet. Gjennom tiltak sammen med leverandøren, blant annet trening og kursing av leverandørpersonell, kan leverandøren settes i langt bedre stand til å forstå virksomhetens trusselbilde. Dette øker sannsynlighet for leveranse på en sikkerhetsmessig akseptabel måte, god samhandling i håndtering av hendelser, leveranser av tilfredsstillende sikkerhetsmessig kvalitet og ikke minst at leverandører agerer med samme kompetanse overfor sine leverandører, nedover i leveransekjeden.

Felles øvelser i hendelseshåndtering kan gi stort utbytte, det bidrar ikke bare til å styrke partenes evne til fremtidig hendelseshåndtering, men også til å identifisere svakheter i grensesnitt og samhandling. Øvelser styrker også personlige relasjoner og gjensidig kompetanseheving om virksomhet, infrastruktur, styrker og svakheter.

Virkemidler i egen organisasjon

Det er flere typer tiltak som kan treffes i egen organisasjon for å redusere risikoen knyttet til en leveransekjedes angrepsflate. Om en kan gjøre tiltakene selv, eller må få hjelp av enda en leverandør, avhenger blant annet av virksomhetens kompetanse, kapasitet, forståelse av egen IT og medvirkning fra førsteledds leverandør. Noen tiltak vil påvirke sannsynligheten for at risikoen inntreffer, mens andre vil redusere omfanget av konsekvensene.

Segregering, segmentering og tilganger

Segregering, eller separasjon, er en kategori av sikkerhetstiltak som ved å sikre at trafikk ikke får flyte fritt mellom systemer og systemkomponenter, tilfører deteksjonsevne, understøtter tilgangsstyring og behovsbegrenset tilgang, tilfører flere lag i sikkerhetsmodellen, styrker evnen til hendelseshåndtering og – ikke minst – bidrar til å avgrense konsekvensene av en sikkerhetshendelse. Mekanismene som blir brukt (infrastruktur, virtualiseringsrigger, lagrings- og støttetjenester som ikke deles på tvers av eksponeringsbehov, mikrosegmentering versus store nett, delte komponenter, tilgangsstyring og -løsninger), samt forretnings- og prosessarkitekturen, setter føringer på hvor sterk denne segregeringen kan bli og hvor effektiv den er.

Begrensning av tilganger og tilgangsrettigheter er særlig viktig i leverandørrelasjonene som danner leveransekjeder. Ofte – etter vårt syn for ofte – forventes det for omfattende tilganger knyttet til leverandørrollen. Dette synes å ha flere årsaker, som for eksempel en forretningsmodell basert på at kunden ikke skal ha kompetanse selv, mangelfull sikkerhetskompetanse, naivitet og ugrunnet tillit, kostnadsfokus eller gammel vane. Det er stor sikkerhetsgevinst i å tilpasse leveransemodellen mot større egenkompetanse i virksomheten, der for eksempel krav til dokumentasjon fra leverandøren og kompetansetilførsel til egne ansatte kan bidra til redusert leverandøravhengighet og tilgangsbehov. Flere virksomheter må tørre å utfordre ved å stille spørsmål til påstander som «det må vi bare ha» og «alle andre synes det er greit» når leverandører krever tilgang. Måten leverandører forventer å utøve tilgang på er ofte enkel, usikker, gammeldags og preget av naiv forventning om blind tillit. Noen leverandører ønsker også at vi eksponerer oss gjennom deres løsninger for fjerntilgang.

I Telenor Norge tilstreber vi at all tredjepartstilgang – utover at den er lovlig – skal være:

  • begrenset til det faktiske behovet for tilgang til informasjon, funksjon og nivå

  • begrenset til det faktiske behovet for varighet, herunder også unngå permanent aktive rettigheter ved å bruke deaktiverte konti for fremtidige og kortvarige behov (feilretting, support)

  • under vår egen reelle styring og kontroll

  • gjenstand for forsvarlig sikkerhetsovervåkning

  • utøvet på en teknisk sikker måte i forhold til blant annet kommunikasjonssikkerhet, autentisering og unngå gjennomgående tilkobling til informasjon og verdier


Dette møter ikke alltid forventningene fra alle våre leverandører, men er vurdert som nødvendig for å ha forsvarlig sikkerhet. Tilgangskontroll og autentisering må anvendes i flere lag; ikke bare i tilgangsløsningene, men også nærmere hver enkelt tjeneste; i tillegg må infrastrukturen være i stand til å håndheve denne tilgangen.

Leverandørtilgang – i ytterste fall kun i nødsituasjoner når eget kompetent personell kommer til kort – kan være umulig å eliminere uten disproporsjonal operasjonell risiko. Men, med tilrettelegging av deaktiverte tilgangsrettigheter, en forsvarlig måte å utøve tilgangene på, og gode prosesser for «nødåpning», kan leveransekjede- risikoen reduseres mye innenfor rammen av akseptabel operasjonell risiko.

Segregering av infrastruktur, tjenester, informasjonsbærende systemer og vitale komponenter i tilgangsinfrastrukturen, er vesentlige grep for å redusere risikoen ved både eget personells og leverandørers tilganger. Det er dessverre mange eksempler – særlig de siste fem-seks årene – på leveransekjede-angrep ved at sluttbrukerutstyr eller annen infrastruktur hos leverandører blir kompromittert og utnyttet for å ramme kunder gjennom leverandørens tilganger.

Redusere eksponering

Det kan være lett å se seg blind på spørsmålet om «tilgang eller ikke» ut fra forutsetningene som allerede eksisterer. Teknikker og grep for redusert eksponering av både komponenter og informasjon er mange og situasjonsbetingede. Det er en verdifull øvelse å gå tilbake til eksponeringsbehovet og analysere mulighetsrommet for minimering av dette. Dette kan redusere risikoverdien, og derav også behovet for andre, mer ressurskrevende tiltak:

  • Trenger hele dette systemet med alle sine funksjoner å eksponeres på like fot, eller kan det deles opp og slik gi det en mer begrenset eksponering?

  • Trenger dette datasettet å eksponeres i sin helhet og fulle detalj, eller er det tilstrekkelig for formålet om det bare gis tilgang til en delmengde, til et redusert detaljnivå, eller til et modifisert datasett der sensitive elementer er fjernet eller enveis-transformert?

Utlevere eller gi tilgang?

Forutsatt at man har god tilgangskontroll, gode muligheter til å håndheve den, og robuste tilgangsmekanismer, vil det kunne være store forskjeller i risikoeksponeringen ved å gi tilgang til informasjon kontra å utlevere den. Muligheten til å foretrekke tilgang fremfor utlevering, synes imidlertid å bli gradvis redusert, da leveranser i alle ledd i økende grad omfatter informasjonsbehandling og -tilvirkning ved hjelp av verktøy og systemer utenfor egen virksomhet, ofte også utenforleverandørens.

Illustrasjonsbilde av verdikjede
I forståelse og vurdering av egne leveransekjeder er det lett – og fristende – å verken favne den fulle bredden, enn si den ofte betydelige dybden.

Multiple leverandører

Multi-leverandør innkjøpsstrategi vises ofte til som risikoreduserende tiltak i forhold til leveranserisiko, og fra et operasjonelt kontinuitetsperspektiv kan effekten fremstå åpenbar; svikter den ene, kan virksomheten fortsatt få leveranser fra den andre. Fra et sikkerhetsperspektiv er det imidlertid et tveegget sverd. Dobling av leverandører på et område kan medføre en dobling av den relaterte angrepsflaten. Multiple leverandører på et leveranseområde vil i mange tilfeller gi økt kompleksitet, noe som i seg selv har negativ innvirkning på sikkerheten. På den annen side kan multiple leverandører på et leveranseområde gi økt handlefrihet til å raskt sjalte ut den ene leverandøren ved (alvorlig mistanke om) sikkerhetshendelser hos denne, eller i leveransekjeden bak.

Operasjonelle og sikkerhetsmessige fordeler og ulemper ved multiple leverandører på et leveranseområde, kan altså ha netto gevinster, men må vurderes nøye opp mot den aktuelle leveransen.

Bevisst oppdeling av leveranse mellom multiple leverandører kan gi relevant risikoreduksjon på flere vis; blant annet fordi det understøtter minimering av tilgangs- og informasjonsbehovet hos den enkelte leverandør, samt understøtter segregering og segmentering. Dette er velprøvd metodikk fra organisasjoner med stort behov og fokus på konfidensialitet; der få gis brede tilganger og mulighet til å forstå helheten. Dette er ikke bare relevant for nasjonale sikkerhetsinteresser, men også for høyverdig forretningskritisk informasjon som patenter. I forhold til leveransekjeder kan også integritetsperspektivet være svært sentralt, men også der vil slik leverandør- og leveransesegmentering kunne gi effekt.

Kompetanse, kapasitet – og verktøy

Vi har tidligere vært inne på behov for kompetanse og kapasitet til blant annet kravstilling og kontroll. Den store IT-outsourcingbølgen ga mange virksomheter dyrekjøpt erfaring gjennom å undervurdere ressursbehovet til dette og kompetent betjening av leverandørgrensesnittet.

De samme effektene vil nødvendigvis øke – om man skal tilstrebe oppfølging og kontroll for

å fortsatt holde risikoen nede – når leveransekjedenes omfang, kompleksitet og dybde øker. Selv om det ikke kan kompenseres med krav-, kontroll- og oppfølgingskapasitet alene, bør dette økende ressursbehovet for risikobegrensing veies mot alternativ ressursbruk – for eksempel ved å beholde flere risikobærende aktiviteter under direkte kontroll i egen virksomhet.

Kompetanse og kapasitet – og hjemler man måtte ha skaffet seg til å utøve kontroll – kan komme til kort uten verktøy. Administrative verktøy som understøtter styringssystem for leverandøroppfølging, med systematisering av observasjoner, rapportering, kontroll og annen oppfatning er verdifullt og i økende grad nødvendig etter hvert som man skaffer seg innsikt og begynner å agere aktivt mot en gradvis større del av underleverandørene som identifiseres å bidra til sikkerhetskritiske leveranser.

Blant tekniske verktøy kan flere typer ha relevans. Enten virksomheten har særskilt avtalefestet adgang til inngående sårbarhetsscanning eller ikke, kan automatiserte verktøy for sårbarhetsscanning ha lovlig anvendelse også mot leverandørers og underleverandørers synlige

infrastruktur. Din egen eller din sikkerhetstjeneste-leverandørs tjeneste(r) bør kunne instrumenteres med relevante søk relatert til viktige leveranser. Både i en pre-kontraktuell fase og i en løpende leveranse, kan innplassering av virksomhetens sikkerhetsovervåkning, for eksempel sensorer, i dedikerte deler av (under)leverandørenes infrastruktur være et relevant tiltak for å styrke sikkerhetsforståelsen av leverandøren, virke avskrekkende på potensielle insidere og gi økt transparens og derved styrket evne til kontroll.

Sikkerhetstesting

Begrepet sikkerhetstesting favner all verifikasjon av leveransens integritet og dens evne til å ivareta konfidensialitet og tilgjengelighet. Det er en svært bred verktøykasse av teknikker og tilnærminger, som spenner over både teknologi, mennesker og prosesser. Det er nødvendig å se sikkerhetstesting, som øvrige sikkerhetstiltak, i en helhetlig sammenheng på tvers av de digitale og fysiske domener.

Vi skal risse litt i overflaten av dette omfattende emnet.

Om sikkerhetstesting

Verifikasjon av sikkerhet, å uttømmende påvise at noe er «sikkert» er for de aller fleste tilfeller og virksomheter uoverstigelig, og definitivt disproporsjonalt. De fleste former for sikkerhetstesting er tids- og ressursavgrensede aktiviteter.

Sikkerhetstesting bør minimum ha som målsetning å identifisere de åpenbare feilene som de relevante trusselaktørene kan påregnes å utnytte. Husk at avanserte trusselaktører har langt større tid og ressurser, og noen ganger bedre forutsetninger, for å finne sårbarheter enn det virksomheten og dens kompetente leverandører av sikkerhetstesting kan ta seg råd til innenfor risikoproporsjonale rammer. En sikkerhetstest uten alvorlige funn betyr derfor aldri at det ikke kan finnes alvorlige sårbarheter i leveransen. Det har likevel stor verdi å finne og lukke «enkle» sårbarheter, slik at trusselaktørene tvinges til å bruke større ressurser og mer avanserte metoder.

 

Sikkerhetstesting må inkludere «negativ testing», altså å aktivt søke etter og prøve ut det som ikke skal være mulig. Dette krever kunnskap, fantasi og evne til å tenke som en trusselaktør, og et relevant scope – som ofte vil spenne utover og på tvers av den enkelte leveranse.

Den konkrete innretningen på sikkerhetstesting avhenger i stor grad av hva slags leveranse det er tale om (programvare, maskinvare, tjenester, mennesker) og hvordan den leveres (tjenestebasert, stilles til disposisjon; versus overlevert). Relevante former for sikkerhetstesting bør finne sted både som integrert del av leverandørens utviklingsprosess, den ferdige leveransen, ved leveransemottak og periodisk gjennom leveransens livsløp. Sistnevnte kan ta i betraktning, men bør ikke ensidig fokusere på, leveransens endringshyppighet, da også omgivelsene (teknologi, trusselaktører, anvendelsen) er omskiftelige.

Gjennom leveransekjeden

Det er vår erfaring at sikkerhetstesting av mottatte leveranser også vil ha en oppdragende effekt på leverandøren. Til tross for at leveransen har kommersielle rammer som kan ha mangelfulle virkemidler for å pålegge forbedring, vil de fleste leverandører ha et genuint ønske om forbedring. Kommersielle virkemidler kan styrke forbedringsinsentivene, men av gode intensjoner koblet med en

kultur for, og strategisk ambisjon om, sikkerhetsmessig kvalitet, følger handlingsvilje. Denne fasen vil ofte synliggjøre om du valgte en leverandør som har samsvarende forståelse av trusler og risiko.

Like viktig som å stille krav nedover i leveransekjeden om relevant sikkerhetstesting, er det å verifisere den og bruke resultatene. Virksomheten bør – så langt ned i leveransekjeden det er relevant og gjennomførbart – kreve mer enn bare bekreftelse på at relevant sikkerhetstesting er/blir gjort. Det må dokumenteres hvem som har gjort testen, hva de testet, hvordan de testet, når og på hvilken versjon av leveransen testen ble gjennomført. Beskrivelse av hvilke funn som ble gjort, hvilken risiko funnene vurderes å utgjøre og sist, men ikke minst, hva som vil bli gjort med funnene må ikke være bare være statistisk oppsummering eller avgrenset til kritiske funn. Også tiltakene må dokumenteres med hvem som har utført, hva, når og hvordan. Slik transparens og verifikasjon av sikkerhetstesting og oppfølging av funn, er ikke kun en kontrollmekanisme for å sikre at adekvat sikkerhetstesting og oppfølging finner sted, men understøtter også virksomhetens risikovurdering, og setter den bedre i stand til å identifisere behov for tiltak i egen regi, herunder også tilpasning av egen sikkerhetstesting. Der kontinuerlig/hyppig sikkerhetstesting også er integrert i utviklings- eller produksjonsprosesser, kan det være relevant å kreve innsyn gjennom lesetilgang til verktøy eller rapporter.

Leveransens angrepsflate er ikke begrenset til komponenter og innsatsfaktorer som direkte inngår i den, men omfatter også den omkringliggende teknologien, prosessene og menneskene hos hver aktør i leveransekjeden. I vurderingen av behovet for og kontroll med gjennomføring av sikkerhetstesting, er det derfor vesentlig å ikke bare kreve sikkerhetstesting av leveransene, men også av teknologi og prosesser i leverandørvirksomhetene generelt.

Sårbarhetshåndtering

Fra leverandørens side vil det ofte påberopes et behov for konfidensialitet om sårbarheter. Dette kan være legitimt og i alle parters interesse der leveransen allerede er tatt i bruk, det er relativt kort tid siden sårbarheten ble identifisert, sårbarheten ikke er allment kjent, sårbarheten ikke aktivt utnyttes og det er svært mange kunder som har tatt leveransen i bruk. Selv om det er lett å mistenkeliggjøre konfidensialitet om sårbarheter for å være kommersielt motivert, kan det for slike tilfeller ligge en høyst berettiget risikoavveining i forhold til skadefølger ved informasjonsdeling til grunn.

En stor del av utbyttet fra sikkerhetstesting – både virksomhetens og leverandørenes – er knyttet til leverandørenes, og leveransekjeden som helhet sin evne til rettidig sårbarhetshåndtering. Det er berettiget å gjøre en risikobasert prioritering av hvilke sårbarheter som skal fikses (først), men vi ser dessverre alt for ofte snevre eller optimistiske risikovurderinger, uriktige forutsetninger og antagelser om leveransens omgivelser og bruksscenarioer, og en avfeiing av «Low» og «Medium»

sårbarheter som kategorisk uviktige og mindre farlige. Sårbarhetshåndtering – som øvrig livsløpsforvaltning – er en sentral del av kravstilling mot leverandøren, og må være en løpende aktivitet i hele leveransekjeden som munner ut i teknologibaserte leveranser.

Noen sårbarheter, ofte i leveranser med lang utviklingssyklus, langt livsløp og av permanent karakter, for eksempel maskinvarekomponenter, vil likevel ha kjente (og ukjente) sårbarheter som ikke kan utbedres uten utskifting. Utskifting, eventuelt fremskyndet periodisk fornying, må selvsagt vurderes som tiltak, men det er dessverre slik at vi alle er vedvarende utsatt for en rekke kjente sårbarheter, uten å ha gode alternativer og muligheter til å unngå dem. De siste årenes oppslag rundt alvorlige feil i prosessorarkitekturer4 som følge av et stadig press på å levere ytelse er eksempler på dette. Disse må helt enkelt tas høyde for i måten leveransen er oppbygget og anvendt, og/eller møtes med kompenserende risikoreduserende tiltak i form av preventive og avdekkende kontroller.

Beviselig sikkert? Beviselig ondsinnet?

Debatten om leveransekjedesikkerhet har de senere år i økende grad inkludert nasjonale sikkerhetsinteresser. Risiko for forskjellige former for medvirkning fra, eller undergraving av sikkerheten hos leverandører som opererer under andre politiske, samfunnsmessige og juridiske rammebetingelser er aktualisert.


Særlig innenfor teknologileveranser vil det alltid finnes flere sårbarheter, både observerbare og uidentifiserte, og det vil ikke være mulig å teste seg frem til en konklusjon om absolutt sikkerhet. Likeledes er det nær umulig å fastslå med sikkerhet hvorvidt en utnyttbar sårbarhet er en tilforlatelig kvalitetsbrist eller bevisst plassert av, eller på oppdrag fra, en trusselaktør.

Eksterne virkemidler

Leverandørinnsikt (Supplier Intelligence)

Til hjelp i vurdering av de mange leverandørene som avdekkes i leveransekjede-kartlegging, finnes det et relativt rikt marked av tredjeparter som kan bistå virksomheten med vurdering av, profilering av og informasjonsinnhenting om leverandørene. Det finnes produkter som baserer seg nær utelukkende på åpen informasjon, men også produkter og tjenester hvor informasjon innhentes fra mindre tilgjengelige og til dels uklare kilder. Denne kunnskapen har verdi som underlag for risikovurdering ved leverandørvalg, og i løpende risikohåndtering etter hvert som leverandører endrer sine underleverandører, og deres risikoprofil også endrer seg.


Sikkerhets-tjenesteleverandør (MSSP)

De siste årene har gitt økt erkjennelse av leveransekjeden som angrepsvektor, både gjennom leveransene og leverandørtilganger. Leverandørens sikkerhetsnivå – blant annet i forhold til god sikkerhetsovervåkning, og derav evne til å avdekke både kompromittering av egen infrastruktur og angrep fra sine underleverandører er derfor avgjørende for kundevirksomhetens sikkerhet. For mange leverandører, spesielt de mindre, vil det imidlertid ikke være realistisk å etablere en sterk sikkerhetsovervåkning utelukkende med egne ressurser, og det kan være hensiktsmessig å stille krav om at leverandøren benytter, eller fyller ellers høye krav til sikkerhetsovervåkning ved å benytte, tjenester fra en profesjonell sikkerhets-tjenesteleverandør (MSSP).

 

Bistandsberedskap til hendelseshåndtering

(Incident Response Retainer)

Som for sikkerhetsovervåkning er det urealistisk for tilnærmet enhver virksomhet å forvente at leverandøren, eller virksomheten selv, skal kunne håndtere et vellykket cyberangrep med omfattende kompromittering fra en avansert trusselaktør helt på egen hånd. Det er helt vanlig å få behov for spesialistbistand til slik hendelseshåndtering, men både hvor raskt man kan få slik hjelp og hvor dyrt det blir, avhenger av om man har inngått slike bistandsavtaler på forhånd. Ved å inngå slik avtale, stille krav om dette overfor særlig leverandører med stort identifisert skadepotensiale, og rekursivt til disses underleverandører, reduseres risikoen for langvarige, omfattende – og i beste fall i det hele tatt – konsekvenser for virksomheten ved vellykket kompromittering av leverandøren.

Hvis ingen går i fella, men passer seg for den

Det ville være villedende å avslutte med optimisme her. Alle går i fella – det er bare et spørsmål om tid. Det er bra å passe seg, så det skjer så sjeldent som mulig og med så lite skade som mulig, men det er mange feller der ute.

Vi må gjøre det vi kan for å klare oss helskinnet til neste julekveld – og den deretter. Da er det like viktig å planlegge for at man går i fella, som for å unngå den. Vi har i denne artikkelen belyst en verktøykasse med både preventive og skadebegrensende tiltak, og behovet for å velge risikoreduserende tiltak basert på risikoidentifikasjon ut fra en rett verdi-, trussel- og risikoforståelse. Uten en genuin erkjennelse av at leveransekjederisiko, gitt nok tid, vil materialisere seg i hendelser mot virksomheten, kan ikke dette arbeidet få rett ramme.

Til sist, når øvrige risikoreduserende tiltak er uttømt, må virksomheten velge hvor og mot hvem den ønsker å eksponere sin leveransekjede-restrisiko.