Third Party Risk Management
Third Party Risk Management is het proces waarmee een organisatie de risico's beheert die ontstaan door samenwerking met externe leveranciers en dienstverleners. Je brengt in kaart welke partijen toegang hebben tot je systemen of data, en controleert of zij dat veilig genoeg doen.
Wat is Third Party Risk Management?
Third Party Risk Management (TPRM) richt zich op de beveiligingsrisico's van externe partijen die met jouw organisatie verbonden zijn. Denk aan cloudproviders, softwareleveranciers, IT-dienstverleners en externe beheerpartijen.
Elke koppeling met een derde partij vergroot je aanvalsoppervlak. Een leverancier met toegang tot jouw data of netwerk wordt onderdeel van jouw risico. TPRM maakt dat risico zichtbaar en beheersbaar.
Ook fourth-party risk telt mee: de leveranciers van jouw leveranciers. Zij vallen vaak buiten je zicht, maar kunnen je alsnog raken.
Hoe werkt Third Party Risk Management?
TPRM is een doorlopend proces met een aantal vaste onderdelen:
- Risicobeoordeling (assessment): je toetst de security van een leverancier voordat je samenwerkt en daarna periodiek.
- Classificatie en tiering: je deelt leveranciers in naar datatoegang en kriticiteit, zodat de zwaarste controles naar de belangrijkste partijen gaan.
- Contractuele afspraken: je legt beveiligingseisen, een meldplicht en een right-to-audit (recht om te controleren) vast.
- Monitoring: je volgt de risicostatus van leveranciers over tijd.
Het verschil tussen een periodieke beoordeling en continue monitoring is bepalend. Een jaarlijkse audit geeft een momentopname. Continue monitoring signaleert nieuwe risico's zodra ze ontstaan. Een Security Operations Center (SOC) levert die 24/7-bewaking en detecteert verdacht verkeer via externe koppelingen. Veel organisaties beleggen dit bij een managed SOC van Aumatics.
Waarom is Third Party Risk Management belangrijk?
Je beveiliging is zo sterk als de zwakste schakel. Aanvallers kiezen daarom steeds vaker de route via een leverancier: een supply chain-aanval. Via één gecompromitteerde partij bereiken ze meerdere klanten tegelijk.
Ook de wetgeving stuwt TPRM. NIS2 (Europese richtlijn voor netwerk- en informatiebeveiliging), in Nederland uitgewerkt als de Cyberbeveiligingswet, en DORA (Digital Operational Resilience Act) maken risicobeheer van leveranciers een wettelijke verplichting. Bestuurders kunnen bij nalatigheid persoonlijk aansprakelijk zijn.