Supply chain-aanvallen: geraakt worden via je leverancier

Je kunt je eigen beveiliging perfect op orde hebben, en toch geraakt worden — via een leverancier. Bij een supply chain-aanval komen criminelen binnen door een zwakke schakel bij een partij waar jíj van afhankelijk bent: je software, je IT-leverancier, een clouddienst. Dit soort aanvallen neemt toe, ook bij het MKB. Zo beperk je het risico.

Wat is een supply chain-aanval?

In plaats van jou direct aan te vallen, richten criminelen zich op een leverancier of tool die je vertrouwt. Via een besmette update of een gehackte dienst komen ze alsnog bij jou binnen — vaak zonder dat je het meteen doorhebt, omdat het van een vertrouwde bron lijkt te komen.

1. Ken je leveranciers en hun risico

Breng in kaart welke externe partijen en tools toegang hebben tot je systemen of data. Je kunt alleen beheersen wat je in beeld hebt. Kijk vooral naar leveranciers die diep in je systemen zitten.

2. Stel minimumeisen aan digitale leveranciers

Vraag hoe je leveranciers omgaan met beveiliging: gebruiken ze MFA, houden ze updates bij, hebben ze een plan bij incidenten? Maak basisafspraken onderdeel van je samenwerking.

3. Weet waar je zelf kwetsbaar bent

Met een security-check ontdek je waar externe koppelingen risico’s vormen. Vaak blijkt dat een paar gerichte maatregelen — toegang beperken, koppelingen scheiden — het grootste deel afdekt.

4. Zorg voor alternatieven waar het kan

Ben je volledig afhankelijk van één leverancier of dienst? Bedenk vooraf wat je doet als die uitvalt. Een terugvaloptie voorkomt dat één probleem je hele bedrijf stillegt.

5. Back-up je clouddata onafhankelijk

Vertrouw niet blind op één dienst. Zorg dat je data in cloud-diensten ook een aparte back-up heeft, los van die dienst. Zo kom je een probleem bij een leverancier te boven zonder alles kwijt te raken.

Veelgestelde vragen

Is dit niet vooral een probleem voor grote bedrijven?

Nee. Juist het MKB is aantrekkelijk als opstap naar grotere doelen, en kleinere bedrijven controleren hun leveranciers vaak minder streng. Het risico geldt voor iedereen die software en diensten van derden gebruikt — en dat is elk bedrijf.

Kan ik mijn leveranciers wel controleren?

Je hoeft geen audit te doen. Vaak volstaat het om de belangrijkste vragen te stellen en basisafspraken te maken. Een IT-partij helpt je de juiste vragen te stellen.

Wat is de belangrijkste maatregel?

Overzicht en beperkte toegang: weten wie en wat toegang heeft, en dat zo krap mogelijk houden. Plus een onafhankelijke back-up van je data.

Bij OkayICT brengen we je leveranciers- en koppelingsrisico’s in kaart en dichten we de zwakke plekken — ook die je niet zelf in de hand hebt. Neem gerust contact op.