Kontinuerlig Overvågning: Udfyldning af Sikkerhedsgapper i Leverandør-Risikostyring

Leverandørkæder er limen, der holder den globale økonomi sammen. De er også en betydelig kilde til cyber-relateret forretningsrisiko. Angreb på leverandører steg med 431% mellem 2021 og 2024, og de forventes at fortsætte med at stige. Det er dårlige nyheder for de virksomheder, de samarbejder med. IBM estimerer, at tredjeparts-leverandør-kompromis er forbundet med blandt de højeste omkostninger ved dataudbrud af enhver type: 4,9 millioner dollars pr. udbrud.

Udfordringen for risiko- og cybersikkerhedsledere er, at eksisterende risikostyringsmekanismer er uperfekte. De kan være langsomme, ressourcekrævende og fulde af blinde pletter. Sand leverandør-risikostyring kommer fra kontinuerlig overvågning og kontrol.

Leverandørkædernes ustopperlige vækst

Komplekse, fragmenterede leverandørkæder er prisen, vi betaler for global handel. Over det seneste årti eller mere er de vokset for at støtte forbrugernes krav om mere valg og lavere omkostninger, drevet af en eksplosion i online-handel. Samtidig er digitale leverandørkæder også gennemgået en enorm vækst takket være udbredelsen af software som en tjeneste (SaaS), managed service-udbydere (MSP’er) og virksomheders krav om mere innovative og effektive måder at arbejde på.

Resultatet? Uigennemsigtighed, hvor der burde være indsigt, og stigende niveauer af forretningsrisiko, der kunne true overskuddene og den hårdt erhvervede kundeloyalitet. Ifølge en estimation har selv den gennemsnitlige SMB 800 leverandører. Når leverandører af leverandører tælles med, når tallene hurtigt når op i tusinder af virksomheder.

En risikofyldt forretning

Det er dårlige nyheder for CISO’er og deres teams, der må finde en måde at styre de uundgåelige cybersikkerhedsrisici, der kommer fra omfattende leverandørkæder. Leverandør- og leverandørkæde-kompromis stod for 15% af dataudbrud sidste år, ifølge IBM. Verizon hævder, at tallet faktisk er fordoblet over det seneste år og nået op på 30%. Uanset det faktiske tal er det klart fra virkelige incidenter, hvilken skade de kan forvolde.

Tredjeparter som outsourcere og professionelle services-firmaer kan gemme højt sensitiv adgangskode og anden data tilhørende deres kundeorganisationer. Det kan være højt reguleret personfølsomme oplysninger (PII) om kunder og ansatte. Eller IP, hemmeligheder eller ikke-offentlig finansielle data. Alt dette er en stor tiltrækning for digitale udbydere, der måske stjæler og/eller krypterer det for at tvinge betaling. Tredjeparts-brud på sikkerheden stod for over to femtedele (41)% af ransomware-angreb i 2024, ifølge en undersøgelse.

Som leverandørerne formerer sig, formerer risikoen for corporate svindel sig også, såsom via business email-kompromis (BEC). Truslerne kan sende en phishing-email til en medlem af finance-teamet eller endda en senior eksekutiv, og anmode om betaling for en ikke-eksisterende faktura. De gør deres angreb mere sikre på succes ved at hakke klient/leverandør-email-konti, så de kan overvåge kommunikationen og forstå, hvordan fakturaerne ser ud. BEC-tabene rapporteret til FBI nåede næsten 2,8 milliarder dollars sidste år, hvilket gjorde det til den næststørste indtjening af cyberkriminalitet.

Så er der leverandører af leverandører. En rapport fra 2023 hævder, at halvdelen af de undersøgte organisationer havde indirekte forhold til mindst 200 fjerde parter, der havde lidt et brud i de to foregående år. Jo mindre leverandøren er, desto færre ressourcer har de måske til at bruge på bedste praksis-cybersikkerhed.

AI er en gave til hackere

AI-teknologi bliver mere og mere brugt af cyberkriminelle til at forbedre deres succesrater. Faktisk advarede britiske regerings-eksperter i år om, at teknologien “vil sandsynligvis fortsætte med at gøre visse dele af cyber-intrusions-operationer mere effektive og efficiente.”

Vi kan se dette i, hvordan generativ AI muliggør oprettelsen af phishing-kampagner på naturlig, fejlfri lokale sprog. I, hvordan den kan hjælpe truslerne med at afprøve systemsvagheder og vælge deres mål. Og i, hvordan den måske endda kan hjælpe med at oprette malware og udnytter. Det er derfor, AI vil føre til “en stigning i hyppighed og intensitet af cybertrusler” over de næste to år, advarer rapporten.

Afhængigt af typen og omfanget af sikkerhedsincidenten kan impakten for kunderne af en leverandør, der er blevet kompromitteret, variere fra finansielle og reputations-skader til regulatorisk risiko og operativ forstyrrelse. Jo længere en incident går uden opdagede, jo mere tid har truslerne inde i netværket, og jo mere vil det koste at rydde op og genskabe efter. Desværre tager leverandørkæde-kompromis den længste tid at løse, ifølge IBM.

Et eksempel er den nylige afsløring af et stort ransomware-brud hos multimillion-dollar-omsætnings-BPO-leverandøren Conduent. Over 11 millioner amerikanere kan have haft deres sociale sikkerhedsnumre, sundhedsforsikringsdetaljer og medicinske oplysninger eksponeret, ifølge rapporter. Og selvom de kun lige blev underrettet i november 2025, menes virksomhedens miljø at være blevet kompromitteret så langt tilbage som i oktober 2024.

Hvorfor kontinuerlig overvågning er vigtig

Heldigvis kan AI også hjælpe de gode med at overvinde fælles udfordringer med leverandør-cyber-risikostyring. For mange organisationer kæmper med langsomme, manuelle processer og lange spørgeskemaer, der forårsager forsinkelser og skaber synsblindhed. Inkonsistente leverandør-dokumentation gør det svært at sammenligne risikoscoren på tværs af økosystemet og forstå, hvad der er vigtigst for virksomheden.

I stedet kan organisationer med en data- og AI-centreret tilgang få automation til at klare det tungeste arbejde, både ved onboarding og derefter. Det sidste er vigtigt, fordi risikoen ikke stopper, når en leverandør er blevet godkendt. Den fortsætter med at udvikle sig, muligvis på time- eller daggennemgang, med hver ny software-svaghed, dataudbrud eller miskonfigureret konto. Leverandørerne kan investere i ny infrastruktur, hvilket øger deres cyber-angrebs-overflade. De kan tilføje nye leverandører, hvilket ændrer risiko-exponeringen. Og de kan blive mål for nye trusler.

Alt dette kræver en mere proaktiv tilgang til tredjeparts-risikostyring, der går ud over at indsamle og behandle leverandør-undersøgelser og -dokumentation. Den skal fokusere på at identificere risiko i realtid, så virksomheden kan tage handling hurtigt, før nogen skade er sket.

At komme i gang med AI

At opnå denne type 360-graders, kontinuerlig indsigt i leverandør-cyber-risiko vil kræve mange data – og intelligente algoritmer til at identificere mistænkelige mønstre. Jo mere højkvalitetsdata, desto bedre indsigt. Dette kan inkludere trussels-intelligens-feed, der gennemsøger dark web-fora efter tidlige advarsler om et brud. Eller sårbarheds-overvågning, der fremhæver manglende sikkerhedsopdateringer i leverandør-estater. Det kan også spore beviser for email-kompromis blandt leverandørernes finance-afdelinger, hvilket kan indikere indkommende BEC-angreb. Eller endda mistænkelige transaktionsmønstre, der involverer disse leverandører.

AI kan udnyttes til at identificere kritiske risici i realtid for at tage øjeblikkelig handling. Og til automatisk at tildele en kontinuerligt opdateret risikoscore for hver leverandør, vægtet efter kunde-politikker, holdning og kritikalitet for virksomheden.

Agens-ai kan også være en kraftfuld allieret, der arbejder autonomt for at indtage og analysere komplekse leverandør-dokumentation som SOC 2-rapporter og interne sikkerheds-politikker, og kortlægge kontroller til etablerede rammer som NIST CSF eller ISO 27001. Dette kan give compliance-indsigt på blot få minutter, i stedet for timer, og frigøre tid for sikkerheds- og risikoteams til at arbejde på højere-værdi-opgaver. I modne organisationer kan AI-agenter muligvis også arbejde uafhængigt for at løse og afhjælpe rutinemæssige problemer – eller i det mindste routere dem til den rette teammedlem for prompt opmærksomhed.

At bringe det hele sammen

Nøglen er at sikre, at et sådant system for leverandør-cyber-risikostyring er samlet, så risikodata ikke ender med at blive siloet og ubrugeligt. Ideelt set skulle det samme platform også kunne muliggøre andre typer leverandør-risikostyring, på områder som compliance, bæredygtighed, finans og drift. Det skulle give den type information, som kan bruges til at træffe bedre forretningsbeslutninger.

Først og fremmest skal man huske, at cyberrisiko i bund og grund er forretningsrisiko. Det kan aldrig elimineres. Men det kan håndteres mere effektivt.