Tedarik zinciriniz saldırı yüzeyinizin bir parçasıdır
Modern üretim yüzlerce tedarikçiye, fason üreticiye, lojistik sağlayıcısına ve servis ortağına bağlıdır. Bunların çoğu makinelere uzaktan erişir, tasarım verisi paylaşır veya sipariş ve planlama sistemlerine entegredir. Tek bir tedarikçiye yapılan fidye yazılımı saldırısı bir üretim hattını durdurabilir; saldırganlar bilinçli olarak zincirdeki daha küçük ve daha az korunan şirketleri seçer.
Düzenleyiciler harekete geçti. NIS2, üretim sektörünün büyük bölümünü kapsama alır ve şirketlerden doğrudan tedarikçilerinin siber güvenlik uygulamalarını değerlendirmelerini ister. AB Siber Dayanıklılık Yasası (Cyber Resilience Act), dijital unsurlu ürünler için güvenlik gereklilikleri ekler. Müşteriler ISO/IEC 27001 sertifikası ve otomasyon ile kontrol sistemleri için IEC 62443 uyumu talep eder.
Tedarikçi değerlendirmelerinde tipik sorunlar
- E-postayla gönderilen, bir kez yanıtlanıp bir daha kontrol edilmeyen uzun anketler.
- Ortak bir ölçek yok: farklı tedarikçilerin sonuçları karşılaştırılamıyor.
- Kanıtlar eksik veya güncel değil, sertifikaların süresi fark edilmeden doluyor.
- Fabrikaların BT ve OT güvenliği ayrı ayrı değerlendiriliyor ya da hiç değerlendirilmiyor.
Platform nasıl yardımcı olur?
- Riske dayalı tedarikçi değerlendirmesi: ISO/IEC 27001, NIST CSF 2.0, CIS Controls ve NIS2 ile uyumlu, üretim ve OT için IEC 62443 gereklilikleriyle genişletilebilen tek bir yapılandırılmış soru formu.
- Beyan yerine kanıt: her kontrol için değerlendiricilerin doğruladığı kanıt istenebilir; doğrulanan puan gerçek güvenlik seviyesini gösterir.
- Karşılaştırılabilir sonuçlar: 1-5 arası olgunluk seviyeleri, kritik kontroller ve risk puanları tedarikçileri, fabrikaları ve ülkeleri karşılaştırılabilir kılar.
- Son tarihli iyileştirme: kararlaştırılan önlemler, sorumlular ve son tarihler eksik kapanana kadar takip edilir.
- Sürekli izleme: tekrarlanan değerlendirme turları, sertifika süresi uyarıları ve yönetim ile denetçiler için trend raporları.
- Çok dilli ve KVKK/GDPR uyumlu: tedarikçiler kendi dillerinde çalışır, veriler AB içinde barındırılır.
Tipik kullanım senaryoları
- NIS2 tedarik zinciri güvenliği: doğrudan tedarikçilerin değerlendirilmesi ve belgelenmesi.
- Kendi fabrikalarınızın ve üretim lokasyonlarınızın siber güvenlik denetimleri.
- Yeni tedarikçiler ve fason üreticiler için kabul kontrolleri.
- Tedarikçilerin ISO 27001, IEC 62443 ve TISAX sertifikalarının takibi.
- Müşteri denetimleri ve sigorta anketleri için kanıtlar.