De beste gewoonten voor cybersecurity voor toegangsbeheer voor leveranciers

Externe leveranciers zijn essentieel voor organisaties, maar elke leverancier die door een organisatie wordt toegevoegd, vergroot het aanvalsoppervlak en kan verschillende beveiligingsrisico’s met zich meebrengen, zoals datalekken of gegevensinbreuken. Om de toegang van leveranciers effectief te beheren en beveiligingsbedreigingen te voorkomen, moeten organisaties de risico’s van leveranciers grondig beoordelen, toegang met minimale privileges implementeren, een duidelijk beleid voor toegang voor leveranciers opstellen, MFA afdwingen, de activiteiten van leveranciers registreren, de toegang van leveranciers bijwerken en ervoor zorgen dat leveranciers aan de industriestandaarden voldoen.

Lees verder voor meer informatie over de risico’s van een verkeerd beheer van externe leveranciers, de zeven beste gewoonten voor het beheren van de toegang voor leveranciers en hoe een oplossing voor geprivilegieerd toegangsbeheer (PAM) de toegang voor leveranciers kan beveiligen.

Het belang van risicobeheer voor derden

Organisaties kunnen te maken krijgen met verschillende beveiligingsrisico’s als de toegang voor leveranciers niet goed wordt beheerd, waaronder bedreigingen van binnenuit, een slechte beveiligingshygiëne en kwetsbaarheden in de systemen van leveranciers. Hoewel leveranciers extern zijn, hebben hun werknemers of aannemers toegang tot de gevoelige gegevens van een organisatie. Er vonden verschillende prominente datalekken plaats in 2024 als gevolg van de gecompromitteerde toegang voor leveranciers, wat grote bedrijven trof, waaronder American Express en HealthEquity. Deze gegevensinbreuken werden veroorzaakt door de slechte beveiligingshygiëne en de grote aanvalsoppervlakken van de betrokken externe leveranciers.

Aangezien niet alle leveranciers strikte gewoonten voor beveiligingshygiëne volgen, kunnen ze een gemakkelijk doelwit zijn voor cybercriminelen, die azen op zwakke of hergebruikte wachtwoorden om toegang te krijgen tot de systemen van een organisatie. Leveranciers met kwetsbaarheden in de beveiliging kunnen door cybercriminelen worden misbruikt als een achterdeur naar een organisatie, zelfs als de organisatie zelf sterke beveiligingsmaatregelen heeft. Door deze risico’s te begrijpen, kunnen organisaties de juiste stappen nemen om strengere controles te creëren voor de toegang voor leveranciers om gegevensinbreuken te voorkomen.

De 7 beste gewoonten voor toegangsbeheer voor leveranciers

Door de toegang voor leveranciers goed te beheren, kunnen organisaties de kwetsbaarheden in de beveiliging identificeren die door cybercriminelen kunnen worden misbruikt. Dit zijn de zeven beste gewoonten om organisaties te helpen de beveiligingsrisico’s te verminderen wanneer ze samenwerken met externe leveranciers.

1. Voer een grondige risicobeoordeling uit voor leveranciers

Een risicobeoordeling voor leveranciers evalueert de beveiligingsgewoonten en mogelijke risico’s van een externe leverancier voordat ze toegang krijgen tot de gegevens of systemen van een organisatie. Aangezien niet alle leveranciers hetzelfde beveiligingsniveau hebben, is het voor organisaties belangrijk om een grondige risicobeoordeling uit te voeren voordat ze een leverancier aanmelden, om ervoor te zorgen dat ze alleen samenwerken met partners die aan hun normen voldoen. Door de procedures voor gegevensbescherming, het trackrecord, de reputatie en het reactieplan voor incidenten van een leverancier zorgvuldig te analyseren, kunnen organisaties gegevensinbreuken voorkomen en ervoor zorgen dat de wettelijke naleving van de industriestandaarden wordt gegarandeerd.

2. Pas het principe van minimale privileges toe (PoLP)

Het principe van minimale privileges (PoLP) beperkt de toegang op basis van de specifieke taken van een gebruiker. Dit betekent dat leveranciers alleen toestemming mogen hebben voor toegang tot de gegevens, systemen en bronnen die nodig zijn om hun taken uit te voeren. Organisaties moeten ook definiëren welk type toegangsleveranciers vereisen, zoals toegang tot interne web-gebruikersinterface, beheerpanelen, Windows- of Linux-servers, cloud-infrastructuur of SaaS-applicaties. De gebruikte protocollen, zoals webbrowser, RDP, SSH of VNC, moeten van tevoren worden bepaald om veilige toegang te waarborgen.

Door de permanente toegang van een leverancier tot gevoelige gegevens van een organisatie te elimineren, voorkomt u bedreigingen van binnenuit en is het gemakkelijker om de regelgeving te naleven, omdat leveranciers geen toegang hebben tot meer gegevens dan wat nodig is voor hun werkzaamheden. Naast het implementeren van PoLP, moeten organisaties Role-Based Access Controls (RBAC) implementeren om vast te stellen welke rollen recht hebben op bepaalde gegevens, systemen of bronnen. Het is essentieel om de activiteiten te definiëren die een externe leverancier kan uitvoeren en tot welke gegevens hij toegang heeft, om de systemen van een organisatie te beschermen.

3. Stel een duidelijk toegangsbeleid op voor leveranciers

Een toegangsbeleid voor leveranciers definieert de regels en procedures die leveranciers moeten volgen bij toegang tot de gegevens en systemen van een organisatie. Organisaties moeten een duidelijk toegangsbeleid opstellen voor leveranciers om de beveiligingsgewoonten te standaardiseren, zoals het afdwingen van multifactorauthenticatie (MFA) of een sterk wachtwoordbeleid, en om toezichtsvereisten te specificeren, waaronder het controleren en registreren van alle activiteiten van leveranciers. Als VPN-toegang is vereist, moeten organisaties vaststellen hoe leveranciers zich authenticeren, of het nu gaat om een gebruikersnaam en wachtwoord of om de integratie van een identiteitsprovider. In dit proces moet ook worden gedefinieerd hoe inloggegevens veilig worden gedeeld, bijvoorbeeld via versleutelde oplossingen zoals de functie voor eenmalig delen van Keeper.

4. Gebruik multifactorauthenticatie (MFA)

Beveilig de toegang tot leveranciers door van leveranciers te vereisen dat ze multifactorauthenticatie (MFA) inschakelen, die een extra beveiligingslaag toevoegt bij het verifiëren van hun identiteit. Omdat een leverancier mogelijk machtigingen heeft voor toegang tot gevoelige gegevens of systemen, moet MFA worden gebruikt. Zo hebben cybercriminelen geen toegang tot het netwerk van een organisatie, zelfs als de inloggegevens van de leverancier zijn gecompromitteerd. Implementeer MFA voor leveranciers door het te vereisen voor alle logins, inclusief voor klantendatabases en cloudservices. Het vereisen van MFA beschermt de systemen van organisaties tegen ongeautoriseerde toegang, diefstal van inloggegevens en gegevensinbreuken.

5. Registreer en monitor activiteiten van leveranciers voortdurend

Veel traditionele PAM-oplossingen controleren de websessies niet voor webpanelen of SaaS-apps, maar KeeperPAM^® biedt volledig inzicht in alle activiteiten van leveranciers, waaronder geprivilegieerde web-sessies. Organisaties moeten de activiteiten van leveranciers voortdurend registreren en bewaken om verdacht gedrag te detecteren zodra het zich voordoet, om te voorkomen dat mogelijke beveiligingsincidenten maximale schade veroorzaken. KeeperPAM waarschuwt organisaties voor ongeautoriseerde toegang, verdachte inlogpogingen en privilege-escalatie. Door logins van leveranciers, gegevenstoegang, bestandsdownloads, privileges-updates en ongewoon gedrag te volgen, kunnen organisaties beveiligingsbedreigingen identificeren en gegevensinbreuken voorkomen.

6. Controleer en update de toegang tot leveranciers regelmatig

Wanneer organisaties leveranciers toegang verlenen tot gevoelige systemen, moeten organisaties de toegang tot leveranciers regelmatig controleren en bijwerken om ervoor te zorgen dat ze alleen toegang hebben tot wat nodig is tijdens een specifieke periode. Door een PAM-oplossing te gebruiken, kunnen organisaties de wachtwoordroulatie en het vervallen van toegang automatiseren, zodat leveranciers alleen een tijdsperkte toegang hebben die automatisch wordt ingetrokken wanneer ze niet langer nodig zijn. Organisaties kunnen hun beveiligingshouding versterken door geplande toegangscontroles uit te voeren met betrekking tot de toegang van leveranciers en de verouderde toegang voor voormalige leveranciers in te trekken, om te voorkomen dat cybercriminelen misbruik kunnen maken van inactieve accounts van leveranciers.

7. Zorg ervoor dat leveranciers zich aan de nalevings- en beveiligingsnormen houden

Als leveranciers zich niet aan de nalevings- en beveiligingsnormen houden, lopen de gevoelige gegevens en systemen van organisaties het risico om te worden gecompromitteerd. Organisaties moeten nalevingsvereisten definiëren in hun contracten met leveranciers, vooral als de normen branchespecifiek zijn, zoals HIPAA voor gezondheidszorggegevens. Als u niet ervoor zorgt dat leveranciers zich aan de beveiligingsnormen houden, kunnen organisaties aansprakelijk worden gesteld voor het niet naleven van leveranciers, wat resulteert in boetes, rechtszaken en reputatieschade.

Zo beveiligt geprivilegieerd toegangsbeheer (PAM) de toegang voor leveranciers

Het implementeren van PAM beveiligt de toegang van leveranciers door organisaties in staat te stellen om geprivilegieerde toegang te controleren en te volgen, de sessies van leveranciers te beheren, een tijdsbeperkte toegang te bieden, de rapportage te automatiseren en een integratie in te schakelen met SIEM-oplossingen (Security Information and Event Management).

Controleert en bewaakt geprivilegieerde toegang in realtime

Met PAM-oplossingen kunnen organisaties de activiteiten van leveranciers controleren en bewaken met behulp van geprivilegieerde toegang. Organisaties kunnen alle activiteiten van geprivilegieerde leveranciers volgen en controleren, waaronder logins, activiteiten, geopende bestanden en wijzigingen die in systemen of gegevens worden gemaakt. In tegenstelling tot traditionele PAM-oplossingen, biedt KeeperPAM een webgebaseerde toegangsgateway waarmee leveranciers veilig toegang hebben tot elke bron zonder inloggegevens bloot te stellen aan de lokale machine van de leverancier. Dit zorgt ervoor dat SSH-sleutels, wachtwoorden en inloggegevens voor geprivilegieerde toegang nooit rechtstreeks met de leverancier worden gedeeld.

Beveiligt inloggegevens van leveranciers met sessiebeheer

PAM zorgt ervoor dat de toegang voor leveranciers te allen tijde veilig, aansprakelijk en controleerbaar is door toegangssessies te beheren. PAM-oplossingen slaan inloggegevens van leveranciers veilig op in een versleutelde kluis, om wachtwoordlekken, diefstal van inloggegevens en hergebruik van wachtwoorden te voorkomen. Oplossingen zoals KeeperPAM kunnen leveranciers toegang bieden tot bronnen zonder ooit de inloggegevens bloot te stellen, waardoor de beveiligingsrisico’s drastisch worden verlaagd. KeeperPAM elimineert ook de noodzaak voor leveranciers om agenten te installeren of netwerkconfiguraties te wijzigen door een uitgaande verbinding te gebruiken met de Keeper Cloud.

Biedt tijdelijke, tijdgebonden toegang

PAM voorkomt permanente toegang door leveranciers tijdbeperkte toegang te verlenen, door hun toegang tot organisatiegegevens te beperken tot alleen wat nodig is en alleen wanneer het nodig is. KeeperPAM vergemakkelijkt Just-in-Time (JIT)-toegang zonder VPN-configuraties te vereisen, om ervoor te zorgen dat leveranciers alleen toegang hebben tot bronnen voor een specifieke taak voordat hun privileges worden ingetrokken.

Automatiseert naleving en rapportage

PAM genereert automatisch gedetailleerde audittrails en kan rapporten maken om te laten zien hoe leveranciers zich aan het beveiligingsbeleid en de industrievoorschriften houden. PAM maakt het voor organisaties gemakkelijker om te volgen, documenteren en te bewijzen dat de beste beveiligingsgewoonten worden gevolgd voor toegang van derden voor leveranciers. Zonder de noodzaak voor uitdagingen voor handmatige tracking of auditing, zorgt PAM ervoor dat organisaties een sterk beveiligingsbeleid kunnen afdwingen, volledig inzicht kunnen behouden in de toegang van leveranciers en naleving kunnen vereenvoudigen.

Maakt integratie mogelijk met SIEM-oplossingen

PAM integreert met SIEM-oplossingen (Security Information and Event Management), en biedt een uitgebreid beeld van de toegang van leveranciers en de bijbehorende risico’s, terwijl het de beveiligingsbewaking verbetert. Door te integreren met SIEM, maken PAM-gegenereerde auditlogboeken het voor organisaties gemakkelijker om een verbeterde analyse uit te voeren van de activiteiten van leveranciers en om ongewoon gedrag te detecteren. SIEM werkt met PAM om leveranciersgerelateerde bedreigingen te identificeren en efficiënt te reageren door waarschuwingen van inbraakdetectiesystemen te activeren, de toegang tot gevoelige systemen te blokkeren of beveiligingsteams onmiddellijk te waarschuwen.

Neem controle over de toegang van leveranciers met KeeperPAM^®

Organisaties kunnen de toegang van leveranciers beheren met KeeperPAM, een cloudgebaseerde oplossing die gevoelige gegevens beschermt, het risico op cyberbedreigingen vermindert en naleving van de regelgeving waarborgt. KeeperPAM maakt op unieke wijze webgebaseerde, protocol-agnostische toegang tot interne systemen mogelijk zonder VPN-inloggegevens te vereisen of geprivilegieerde inloggegevens bloot te stellen aan leveranciers. Met de wachtwoordkluis kan KeeperPAM geprivilegieerde inloggegevens voor leveranciers opslaan en beheren, om het risico op wachtwoordlekken of ongeautoriseerde toegang te elimineren. KeeperPAM houdt gedetailleerde logboeken en realtime sessie-opnames bij, waardoor organisaties de activiteiten van leveranciers kunnen volgen en beveiligingsbedreigingen onmiddellijk kunnen identificeren.

Vraag vandaag nog een demo van KeeperPAM aan om het toegangsbeheer voor leveranciers voor uw organisatie te versterken.