Week 3 van de Cyber Security Quest! Bedrijven, leveranciers en hun toegangen. We gaan het deze week onder de aandacht brengen.
Geen organisatie kan alles alleen. Iedere organisatie heeft wel leveranciers en/of bedrijven waarmee word samengewerkt. Maar ben jij altijd op de hoogte van wie nog waar bij kan? Dit up-to-date houden is in de praktijk erg lastig, maar wel heel erg belangrijk in het bewaken van “je schatkist”. Hier gaan we deze week naar kijken. Hoe gaan jullie hier mee om? Succes met opdracht 3 en bij vragen, jullie weten de Quest experts te vinden!
Stap 3 van 5:
De vereisten voor bedrijven en leveranciers
Na de opdracht van week 1 en 2 ben je in het bezit van twee belangrijke inzichten van je bedrijf. Je weet waar de data staat en welke mensen er toegang hebben. We gaan door met de volgende stap; de bedrijven. Vanuit je organisatie is het onmogelijk om productie te draaien zonder enige vorm van samenwerking met een ander bedrijf. Deze bedrijven zijn in meer of mindere wijze in staat om toegang te krijgen tot de data waar jij verantwoordelijk voor wordt gesteld en daarmee Dit is volgens de AVG wetgeving “een verwerker”. Deze samenwerking, ongeacht of deze samenwerking zit in de van leverancier, toeleverancier of partner, bestaat uit een zakelijke afspraak met onderliggende contracten die omschrijven op welke wijze er wordt omgegaan met bepaalde data, toegang of verantwoordelijkheden.
Een voorbeeld is op mijn plaats;
Jij werkt samen met een accountant of boekhouder in een online boekhoudpakket. Samen verwerk je de inkoop en verkoopfacturen, de bankboekingen en krijg je ondersteuning bij je jaarrekening. Deze samenwerking zorgt ervoor dat minimaal 2 bedrijven bij jouw data kunnen. De leverancier van de boekhoudsoftware en de accountant. Dit voorbeeld past tevens op de IT dienstverlener, verzekeraar of tussenpersoon.
Deze samenwerking komen altijd terug in een overeenkomst. Deze overeenkomst omvat belangrijke zaken zoals de verwerkersovereenkomst (AVG), de afspraken bij een datalek en misschien de wijze waarop de leverancier wordt beoordeeld. Misschien stel je verplicht dat iedere organisatie ISO gecertificeerd is of wil je dat iedereen met MFA werkt. Kortom, op welke wijze stel je de leverancier verplicht om op een bepaald niveau te kunnen samenwerken?
