Drittanbieterrisiko

Drittanbieterrisiko ist die Gefahr, die von Menschen und Programmen ausgeht, die Sie nicht selbst gebaut haben. Der Steuerberater mit einem Zugang zu Ihrer Buchhaltung. Die Werbeagentur, die noch ein Verwalterkonto aus einer Kampagne von vor zwei Jahren hat. Die Spedition, die Ihre Bestellungen über eine Verbindung liest, die niemand aufgeschrieben hat. Das Zusatzmodul auf Ihrer Website, geschrieben von einem Fremden und seit 2021 nicht mehr angefasst.

Die meisten Inhaber bewachen die Vordertür. Von dort kommt die Gefahr selten. Sie kommt durch eine Tür, die Sie selbst geöffnet und dann vergessen haben. Das Muster wiederholt sich. Bei einem Lieferanten wird eingebrochen. Der Angreifer findet dort den Zugang, den dieser Lieferant zu Ihnen hatte. Er kommt unter dem Namen des Lieferanten herein. Ihre eigenen Passwörter wurden nie berührt, und Ihre Aufzeichnungen zeigen einen normalen Arbeitstag.

Das billigste Mittel ist eine Liste. Schreiben Sie jede fremde Firma und jedes Programm auf, das an Ihre Daten kommt, wer im Haus diese Beziehung betreut und was jeder genau sehen darf. Die Länge überrascht fast jeden. Danach streichen Sie, was niemand braucht. Ein Konto, das seit sechs Monaten ungenutzt ist, ist keine Bequemlichkeit. Es ist ein Ersatzschlüssel unter der Matte, und meist führt genau der hinein. Wenn Linkysoft ein System übernimmt, das vorher jemand anders betreut hat, fragen wir zuerst nach dieser Liste, und fertig ist sie fast nie.

Bevor Sie einem Softwareanbieter Zugang geben, stellen Sie vier klare Fragen und behalten die Antworten schriftlich. Wer in Ihrem Team bekommt einen Zugang zu meinem System, und darf ich die Namen sehen? Hängen Sie eigene Werkzeuge daran, und wo speichern diese meine Daten? Was passiert an dem Tag, an dem eine Ihrer Mitarbeiterinnen geht? Und wenn bei Ihnen eingebrochen wird, wie schnell sagen Sie mir Bescheid, und auf welchem Weg? Wer ohne Zögern antwortet, hat Ihnen viel gesagt. Wer die Fragen für überflüssig hält, hat Ihnen mehr gesagt.

Linkysoft beantwortet diese vier Fragen schriftlich, bevor ein Webanwendungsprojekt beginnt, und jedes Konto, das wir halten, trägt den Namen einer echten Person und wird bei der Übergabe geschlossen. Hat nie jemand aufgeschrieben, wer die Schlüssel zu Ihren Systemen hält, ist das der erste Nachmittag jeder Sicherheitsprüfung, und er kostet fast nichts.