Företagets favoritapp? Så blir den hackarnas favoritväg in

Tänk på det här

Hur ofta har du egentligen kollat säkerheten hos programvaruföretaget som sköter din löneadministration? Eller molntjänsten som tar backup på era kundregister? Eller det där projektverktyget som teamet började använda för tre år sedan för att nån tyckte det verkade smidigt?

Om du inte minns det — eller om du är ganska säker på att ingen någonsin har gjort det — så välkommen till klubben. Du sitter i samma rum som tusentals företagsledare och IT-ansvariga som har låst sina egna system med tre hänglås medan bakdörren står vidöppen genom leverantörerna.

Den obekväma sanningen om leverantörsrisker

Det här är det som håller mig vaken på nätterna när jag tänker på företagssäkerhet: du kan göra allt rätt på din sida och ändå bli bränd. Starka lösenord? Japp. Tvåfaktorsautentisering överallt? Definitivt. Medarbetarträning som skulle få en cybersäkerhetsexpert att svimma av stolthet? Utan tvekan. Och ändå kan en incident hos en enda leverantör som du knappt tänker på göra att era kunddata hamnar på dark web innan du ens märker att något har hänt.

Det här är inget sällsynt gränsfall. Det händer hela tiden. Target-hacket 2013? Började med en VVS-leverantör. Solarmarker-katastrofen 2020? Komprometterade leverantörer var inkörsporten för tusentals organisationer. Det här är inte skräckhistorier från ett decennium tillbaka — det är mönster som upprepar sig för att vi fortsätter att ignorera samma blindfläck.

Den obekväma verkligheten är att när du lämnar över dina data till nån annan så lämnar du också över en del av ditt säkerhetsansvar. Deras lösenordspolicy blir din lösenordspolicy. Deras krypteringsstandard blir din krypteringsstandard. Deras incident blir din incident, komplett med de arga telefonerna, PR-katastrofen och kundförtroendet som tar år att bygga upp igen.

Varför ingen pratar om det här

Så varför ligger leverantörsrisk inte högst upp på varje säkerhetsdiskussion? För att det inte är sexigt. Det är inte det som gör rubriker på egen hand. Det är mer som den långsamma punkteringen i bildäcket — du vet att den finns där, du fortsätter köra, och till slut sitter du fast vid vägkanten och undrar hur det här kunde hända.

Leverantörsrisk smyger sig på organisationer på det mest vardagliga sättet. Någon behöver en lösning, hittar något som funkar, skriver på ett avtal och går vidare. Sex månader senare gör nån annan samma sak med ett annat verktyg. Innan du vet ordet av är ditt företag ihopsydda med dussintals mjukvarukopplingar, där varje en är en potentiell svag punkt som ingen någonsin har granskat.

Och här är grejen som ingen berättar för dig: det här är inte försumlighet. Det är helt enkelt det som händer när företag växer. Teamen rör sig snabbt, prioriteringar skiftar hela tiden, och säkerhetsgranskningar känns som hinder snarare än nödvändigheter. Leverantören godkändes baserat på funktioner och pris. Säkerhetsrutiner nämndes någonstans i ett kontrakt som ingen läste mer än en gång. Ingen gick tillbaka ett år senare och frågade "hur ser er säkerhetssituation ut nuförtiden?"

Frågorna som faktiskt spelar roll

Jag suggar inte att du ska förhöra varje mjukvaruleverantör du jobbar med. Det är varken praktiskt eller nödvändigt. Vad jag suggar är att du börjar ställa några skarpa frågor innan du lämnar över känslig information, och sedan ställer dem igen ibland för att saker och ting förändras.

Här är vad jag vill veta:

Var finns våra data egentligen? Du skulle bli förvånad över hur många företag som inte frågar det här. Är det krypterat när det lagras? Är det krypterat när det flyttas mellan system? Det här är inga trickfrågor — det är grunderna.

Har ni drabbats av incidenter förut, och vad lärde ni er? Den här frågan säger mer än något certifikat någonsin kunde. Ett företag som har gått igenom en incident och kommit ut på andra sidan med bättre rutiner? Det är faktiskt mer betryggande än ett som aldrig har testats.

Vem i ert team har tillgång till vår information? Åtkomstkontroller spelar roll. Om svaret är "alla" är det ett problem. Om svaret inkluderar specifika rollbaserade begränsningar och granskningsloggning är du på rätt spår.

Vilka certifieringar har ni? SOC 2, ISO 27001, HIPAA-efterlevnad — det här är inte perfekt, men det ger dig något att utgå från. En leverantör som tar säkerhet på allvar kommer att ha dokumentation redo.

Vad händer med våra data om vi slutar använda er tjänst? Den här frågan överraskar många. Raderar de dem? Behöller de dem? Hur länge? Du behöver veta det innan du befinner dig i en situation där du försöker ta dig ut.

Ta det hanterbart

Jag vet vad du tänker: "Det här låter som ett enormt projekt, och jag har redan en full tallrik." Rättvisa poäng. Men här är hemligheten — leverantörshantering behöver inte vara överväldigande. Den behöver bara vara konsekvent.

Börja med de leverantörer som har tillgång till era mest känsliga data. Inte varje verktyg förtjänar samma nivå av granskning. Din e-postplattform för marknadsföring behöver förmodligen mindre uppmärksamhet än tjänsten som lagrar era kunders finansiella uppgifter. Ranka dem, fokusera på de kritiska först, och arbeta er neråt.

För en löpande lista över varje leverantör med tillgång till era data. Jag menar alla. Du skulle bli förvånad över hur många företag som upptäcker verktyg de har glömt bort att de ens använder när de sätter sig ner och faktiskt skriver ut allt. Den här listan blir din referenspunkt för granskningar och ditt tidiga varningssystem när något verkar konstigt.

Och snälla, för säkerhetens skull, sätt era förväntningar på pränt. muntliga avtal om säkerhetsrutiner är ungefär lika pålitliga som en chokladteknet. När du skriver in dina krav i avtal vet alla vad som förväntas, och du har något konkret att peka på under granskningar.

Sammanfattningen

Här är min ärliga uppfattning: din säkerhet är bara så stark som den svagaste länken i ditt utvidgade nätverk, och det nätverket sträcker sig förmodligen längre än du tror. Det betyder inte att du ska få panik eller sluta använda leverantörer helt och hållet — modernt företagande fungerar helt enkelt inte så. Men det betyder att frågor, iblandliga granskningar och att hålla koll på vem som har tillgång till vad inte är paranoia. Det är helt enkelt bra affärer.

Den här veckan, öppna din leverantörslista och titta ordentligt på den. Räkna kopplingarna. Se om det finns verktyg du fortfarande betalar för som ingen använder längre. Du kommer kanske att hitta några möjligheter att dra åt — och kanske spara lite pengar på köpet.

Din säkerhetskedja är längre än du tror. Dags att kolla de där länkarna.

Taggar: ['third-party risk', 'vendor security', 'cybersecurity', 'data protection', 'business security', 'supply chain security', 'risk management', 'online privacy', 'security best practices']