De beveiliging van de toeleveringsketen is een kwestie van vertrouwen en transparantie in plaats van louter technologie, maar hoe moeten organisaties hun strategische aanpak aanpassen?

Stubbings: ‘De kern van het probleem is een gebrek aan inzicht. Wie kan voor elk van zijn leveranciers garanderen dat hun beveiliging op het juiste niveau is? Maar dat is precies wat we moeten weten. Transparantie is een voorwaarde voor vertrouwen geworden. En het moet een integraal onderdeel worden van het inkoop- en leveranciersbeheerproces. Wie hier niet aan voldoet, komt niet in aanmerking. Dit is een kwestie van risicobeheer en moet daarom op de agenda van het management staan, ongeacht de sector of de omvang van het bedrijf.’

Veel huidige benaderingen rond supply chain security zijn gebaseerd op vragenlijsten en individuele beoordelingen. Wat zijn de belangrijkste beperkingen hiervan en hoe kan dit beter?

 ‘Beveiligingsvragenlijsten zijn doorgaans eigendom van een bepaalde partij en niet reproduceerbaar. Dit legt een enorme last op zowel de koper als de leverancier bij het opstellen, verspreiden, invullen en beoordelen van die vragenlijsten. Het is simpelweg niet efficiënt om telkens opnieuw het wiel uit te vinden. Ten tweede is een niet-gevalideerde zelfverklaring vrijwel waardeloos omdat er geen controle of verificatie op zit.’

‘Het enige bruikbare alternatief zijn gestandaardiseerde benaderingen met vertrouwde derde partijen, die gestandaardiseerde vragenlijsten valideren en de resultaten beschikbaar stellen aan alle betrokkenen. Er zijn in Europa opkomende benaderingen (het onderwerp van Stubbings’ keynote op Cybersec Europe, nvdr) – zoals schema’s, basisbeveiligingsmodellen en gedeelde vertrouwenskaders – die erop gericht zijn de markttransparantie te verbeteren en tegelijkertijd de complexiteit voor zowel grote ondernemingen als het mkb te verminderen.’

Mkb’s maken vaak deel uit van grotere toeleveringsketens, maar beschikken over minder middelen – hoe kunnen zij de beveiliging van de toeleveringsketen in de praktijk aanpakken zonder dat dit tot buitensporige complexiteit of kosten leidt?

Stubbings: ‘Het is belangrijk om te beseffen dat ook mkb-bedrijven over adequate basisbeveiliging moeten beschikken. Dit is geen luxe en ook niet voorbehouden aan grote ondernemingen. De belangrijkste onderdelen van basisbeveiliging kunnen met zeer weinig moeite worden gerealiseerd, zoals het regelmatig installeren van patches, het maken van back-ups, het uitvoeren van tests en het trainen van medewerkers. Iedereen kan dit doen. Hiervoor zijn geen grote budgetten nodig, alleen focus op de juiste onderwerpen.’

Hoe kunnen organisaties de risico’s in de toeleveringsketen beter begrijpen, beoordelen en communiceren op een manier die zowel zinvol als schaalbaar is?

‘De sleutel ligt bij adequaat risicobeheer. Compliance moet altijd gekoppeld zijn aan risicobeheer. Het heeft geen zin om organisaties te zwaar te belasten, alleen maar omwille van compliance. Aan de andere kant kan compliance zonder risicobeheer een formaliteit worden die niemand helpt. Als risicobeheer correct wordt toegepast, leidt dit tot een adequaat beveiligingsniveau dat ook aan de compliance-eisen zou moeten voldoen.’