Ett av de tydligaste mönstren i de senaste årens angrepp mot svenska organisationer är att den drabbade sällan var måltavlan. Vägen in gick genom en leverantör, ofta en liten, ofta en som ingen hade tänkt på som kritisk. Den gemensamma leverantören är en enskild punkt som kan fälla många verksamheter samtidigt, och den syns inte i något av de drabbades egna riskregister.
Kapitlet börjar med varför leveranskedjan är så sårbar, alltså den strukturella asymmetrin mellan ansvar och kontroll. Ansvaret följer verksamheten, men kontrollen slutar vid det egna avtalet. Sedan följer femstegsmodellen, som är kapitlets ryggrad och tar arbetet från kartläggning och klassificering via kravställning och granskning till löpande uppföljning. Klassificeringen är det steg som avgör om arbetet blir görbart, eftersom en organisation som granskar alla leverantörer lika hårt i praktiken inte granskar någon ordentligt. Molnleverantörer får ett eget avsnitt eftersom de bryter mot modellens antaganden. De förhandlar sällan om villkor, vilket flyttar tyngdpunkten från avtal till exitplanering. Programvarukedjan behandlas därefter, alltså beroendet av komponenter som följer med in i systemen utan att någon har beställt dem eller ens vet att de finns där. Suveränitetsdimensionen kopplar tillbaka till kapitel 7 om digital suveränitet. Sedan behandlas vad som händer när leverantören faktiskt drabbas, upphandling som första och billigaste kontroll, DORA:s särskilda tredjepartskrav, en realistisk tidsplan och de moderna angreppsvägarna in i kedjan.
Frågan har blivit skarp för att kraven nu förs vidare bakåt. Verksamhetsutövare enligt cybersäkerhetslagen måste ställa krav på sina leverantörer, vilket innebär att även organisationer som inte själva omfattas möter kraven via avtal. Det som tidigare var en rekommendation har blivit ett villkor för att få leverera. Den som kan svara på kravställningen med ett befintligt arbete vinner affärer på det, medan den som inte kan det får förklara sig i varje upphandling.
Sidan visar vad kapitlet omfattar och varför kedjan avgör den egna säkerheten. Femstegsmodellen, kravformuleringarna och tidsplanen finns i kapitel 18 i boken.
Din leveranskedjas svagaste länk är din egen svagaste länk. Skillnaden är bara att du inte ser den.
Nyckelinsikter
- Kravet gäller hela kedjan, men kontrollen finns bara i det egna avtalet. Upphandlingen är därför den första kontrollen.
- Leverantörer ska klassificeras efter kritikalitet. Att granska alla lika hårt betyder i praktiken att ingen granskas ordentligt.
- Programvarukedjan är det beroende som syns sämst, eftersom komponenterna kommer med utan beslut.
- Molnleverantörer förhandlar sällan om villkor, vilket flyttar arbetet från avtal till exitplanering.
- När leverantören drabbas är det er verksamhet som står still, oavsett var felet uppstod.
Verktyg som hör till kapitlet
Mallarna och de interaktiva verktygen finns i Verktygsboxen, kostnadsfritt.
Mallsamlingen
Leverantörsgranskningsformuläret ur bilaga A.5.
Suveränitetsbedömningen
Bedöm beroendet av en leverantör och vad som händer om den faller bort.
Läs vidare
Nästa steg
Var står din organisation?
Självskattningen ger dig en mognadsprofil mot cybersäkerhetslagens tio kravområden på några minuter, direkt på skärmen.