Hackers richten hun pijlen steeds vaker niet op de organisatie zelf, maar op de leveranciers die toegang hebben tot haar systemen. Een softwareleverancier, een IT-dienstverlener of een externe consultant met de juiste inloggegevens is voor een aanvaller een aantrekkelijker doelwit dan een goed beveiligde organisatie. Door één zwakke schakel in de leveranciersketen te compromitteren, krijgt een aanvaller indirect toegang tot tientallen of honderden klanten tegelijk. Dit is de kern van een supplychainaanval, en het is een van de snelst groeiende dreigingen in het huidige cyberlandschap.
In dit artikel lees je stap voor stap hoe je jouw organisatie beschermt tegen hackers van leveranciers die via third-party toegang binnenkomen. Van het in kaart brengen van externe toegangspunten tot het reageren op een gecompromitteerde leverancier: elke stap helpt je om supplychainbeveiliging te verankeren in de praktijk.
Herken de zwakke schakels in je leveranciersketen
Voordat je iets kunt beveiligen, moet je weten wat er te beveiligen valt. De eerste stap is begrijpen waarom leveranciers zo aantrekkelijk zijn als aanvalsvector. Een aanvaller denkt niet in termen van losse systemen, maar in toegangspaden. Hij stelt zichzelf de vraag: wie heeft er al toegang tot mijn doelwit, en hoe goed is die partij beveiligd?
Zwakke schakels zijn niet altijd de meest voor de hand liggende partijen. Denk niet alleen aan grote softwareleveranciers, maar ook aan:
- Kleinere IT-dienstverleners met beheertoegang tot je netwerk
- Clouddiensten die geïntegreerd zijn met je interne systemen
- Externe consultants met tijdelijke accounts die nooit zijn ingetrokken
- Softwaretools die automatisch updates ontvangen en daarmee code uitvoeren in je omgeving
- Leveranciers van je leveranciers, ook wel vierde partijen genoemd
Controleer na deze inventarisatie welke van deze partijen toegang heeft tot gevoelige systemen, klantdata of kritieke infrastructuur. Dit geeft je een eerste beeld van waar het third-partyrisico het grootst is. Pas als je weet wie er toegang heeft, kun je beoordelen hoe groot het risico per leverancier werkelijk is.
Breng al je externe toegangspunten in kaart
Met een overzicht van je leveranciers in handen is de volgende stap het documenteren van alle externe toegangspunten. Dit gaat verder dan een lijst met namen: je wilt per leverancier precies weten hoe, wanneer en via welk kanaal die toegang heeft tot jouw omgeving.
- Inventariseer alle actieve accounts die zijn aangemaakt voor externe partijen, inclusief serviceaccounts en gedeelde logins.
- Documenteer via welke methode elke leverancier verbinding maakt: VPN, Remote Desktop, API-koppeling, cloudomgeving of een combinatie.
- Leg vast welke systemen en data elke externe partij kan bereiken na inloggen.
- Controleer of er nog accounts actief zijn van leveranciers waarmee de samenwerking al is beëindigd.
Veel organisaties ontdekken in deze stap dat er aanzienlijk meer externe toegangspunten actief zijn dan verwacht. Vergeten accounts, brede rechten die ooit tijdelijk waren bedoeld en koppelingen die nooit zijn opgeschoond: dit zijn precies de ingangen die een aanvaller zoekt. Een handmatige pentest kan helpen om ook de minder zichtbare toegangspaden bloot te leggen die een interne inventarisatie mist.
Beoordeel het risico van elke leverancier
Niet elke leverancier vormt hetzelfde risico. Een partij die alleen facturen verwerkt via een afgeschermd portaal verschilt wezenlijk van een IT-dienstverlener die beheertoegang heeft tot je volledige netwerk. Het doel van deze stap is om prioriteit aan te brengen op basis van daadwerkelijk risico, zodat je je inspanningen gericht kunt inzetten.
Beoordeel elke leverancier op de volgende criteria:
- Toegangsniveau: Heeft de leverancier beheerdersrechten, of alleen leestoegang tot een beperkt systeem?
- Datagevoeligheid: Welke data kan de leverancier bereiken? Gaat het om persoonsgegevens, financiële informatie of bedrijfskritische systemen?
- Eigen beveiligingsvolwassenheid: Heeft de leverancier aantoonbare beveiligingsmaatregelen getroffen, zoals certificeringen of een eigen securitybeleid?
- Afhankelijkheid: Hoe groot is de impact als deze leverancier uitvalt of gecompromitteerd raakt?
Verdeel leveranciers op basis van deze beoordeling in risicocategorieën: hoog, gemiddeld en laag. Leveranciers in de hoogste categorie verdienen de meeste aandacht bij de volgende stappen. Dit maakt supplychainbeveiliging behapbaar, ook voor organisaties met een lange lijst aan externe partijen.
Stel minimale beveiligingseisen aan leveranciers
Zodra je weet welke leveranciers het hoogste risico vormen, is het tijd om concrete eisen te stellen. Cyberbeveiliging van leveranciers begint bij het contractueel vastleggen van wat je van externe partijen verwacht op het gebied van informatiebeveiliging.
- Stel een minimale baseline op: welke beveiligingsmaatregelen zijn voor elke leverancier verplicht, ongeacht het risiconiveau?
- Formuleer aanvullende eisen voor hoog-risicoleveranciers, zoals verplichte multifactorauthenticatie, periodieke pentests of aantoonbare naleving van NIS2 of ISO 27001.
- Leg deze eisen vast in contracten of verwerkersovereenkomsten, inclusief het recht om naleving te controleren.
- Communiceer de eisen actief naar bestaande leveranciers en maak ze onderdeel van het selectieproces voor nieuwe partijen.
Een veelgemaakte fout is het stellen van eisen zonder te controleren of ze worden nageleefd. Vraag leveranciers om bewijs, zoals een recent auditrapport, een ingevulde vragenlijst of een certificering. Wees daarin proportioneel: een kleine leverancier met beperkte toegang hoeft niet aan dezelfde eisen te voldoen als een partij die dagelijks toegang heeft tot kritieke systemen. Meer achtergrond over beleid en compliance vind je op de pagina over compliance en beleid.
Monitor leverancierstoegang continu op afwijkingen
Eenmalige controle is niet voldoende. Een leverancier die vandaag veilig is, kan morgen gecompromitteerd zijn. Continu monitoren van externe toegang is daarmee een van de meest effectieve maatregelen om een leveranciersaanval te voorkomen voordat er schade ontstaat.
Richt je monitoring in op de volgende signalen:
- Inlogpogingen buiten gebruikelijke tijden of vanuit onverwachte locaties
- Toegang tot systemen of data die buiten de normale werkzaamheden van de leverancier vallen
- Grote hoeveelheden data die worden gedownload of geëxporteerd via een extern account
- Meerdere mislukte inlogpogingen gevolgd door een succesvolle login
- Wijzigingen in rechten of configuraties uitgevoerd vanuit een leveranciersaccount
Koppel monitoring aan duidelijke escalatieprocedures: wie wordt gewaarschuwd bij een afwijking, en welke stappen worden dan gezet? Automatische alerts helpen, maar een menselijke beoordeling blijft nodig om onderscheid te maken tussen een onschuldige afwijking en een werkelijk incident. Continuous-Q® biedt hier een gestructureerde aanpak voor organisaties die dit continu willen borgen.
Wat te doen als een leverancier is gecompromitteerd
Ondanks alle voorzorgsmaatregelen kan het gebeuren dat een leverancier wordt aangevallen en dat aanvallers via die route jouw omgeving proberen te bereiken. Snelheid en een helder plan zijn dan doorslaggevend. Een leveranciersaanval voorkomen is het doel, maar voorbereid zijn op het scenario dat het toch misgaat, is minstens even belangrijk.
- Isoleer direct alle toegang van de betreffende leverancier: blokkeer accounts, verbreek VPN-verbindingen en deactiveer API-koppelingen.
- Breng in kaart welke systemen en data de leverancier kon bereiken en of er in de periode voor de ontdekking verdachte activiteit heeft plaatsgevonden.
- Stel een intern crisisteam samen en informeer relevante stakeholders, inclusief de eigen directie en eventueel betrokken klanten.
- Beoordeel of er een meldplicht geldt, bijvoorbeeld onder de AVG of NIS2, en handel daar tijdig naar.
- Voer na het incident een grondige analyse uit: hoe kon de aanvaller via de leverancier binnenkomen, en welke maatregelen voorkomen herhaling?
Documenteer het incident volledig, ook als de schade beperkt bleek. Elk incident levert inzicht op in de zwakke plekken van je leveranciersketen en helpt je toekomstige aanvallen eerder te herkennen. Overweeg na een incident een redteamoefening om te toetsen of aanvallers via vergelijkbare routes nog steeds toegang kunnen krijgen.
Hoe Q-Cyber helpt met supplychainbeveiliging
Q-Cyber helpt organisaties om hun leveranciersketen te beveiligen met een combinatie van technische tests, onafhankelijk advies en continue monitoring. Wij kijken niet alleen naar losse kwetsbaarheden, maar onderzoeken de volledige aanvalsketen: welke leveranciers hebben toegang, via welke routes, en hoe kunnen die worden misbruikt?
Concreet bieden wij:
- Pentests gericht op third-party toegang: onze ethical hackers testen of externe toegangspunten kunnen worden misbruikt om dieper in je omgeving door te dringen.
- Beleidsadvies en leveranciersbeoordelingen: wij helpen bij het opstellen van beveiligingseisen voor leveranciers en het beoordelen van hun naleving.
- Continuous-Q®: voor organisaties die continu inzicht willen in hun aanvalsoppervlak, inclusief wijzigingen in leverancierstoegang en nieuwe risico’s.
- Incidentbegeleiding: als een leverancier is gecompromitteerd, helpen wij bij het snel in kaart brengen van de impact en het nemen van de juiste maatregelen.
Wil je weten hoe kwetsbaar jouw organisatie is via leveranciers? Neem contact op voor een vrijblijvend gesprek.
Gerelateerde artikelen
- Identity and access management (IAM) voor het mkb
- Ethical hacking: wat is het en wat levert het op?
- Wat eist NIS2 op het gebied van patchmanagement?
- Hoe vergroot je de digitale weerbaarheid van je mkb?
- Wat is een penetratietest en wanneer heb je die nodig?
- Zijn er tools om te controleren of mijn server kwetsbaarheden heeft?
- Wat gebeurt er na een pentest?
- Wat is het verschil tussen pentesten en vulnerability scanning?
- Wat zijn de 3 basisprincipes van informatiebeveiliging?
- Welke certificeringen zijn er voor pentesters?