Es hora de repensar la evaluación de riesgos de terceros

COMENTARIO

Diciembre marcó el tercer aniversario de una de las filtraciones de datos más destacadas de la industria. Vientos solares. Mientras que el inmenso costo y actual documentos legales A medida que este ataque altamente dañino a la cadena de suministro en 2020 destacó la importancia de la evaluación de riesgos de terceros, los actores maliciosos continuaron explotando el software de terceros.

Respectivamente Encuesta de seguridad 2022 de Forrester ResearchLas cadenas de suministro son la causa más común de incumplimientos. Por ejemplo el número de las organizaciones afectadas por el mismo Hackear la cadena de suministro de MOVEit es casi 3.000, y la tendencia va en aumento. Es hora de repensar su programa actual de evaluación de riesgos de terceros y adoptar nuevas prácticas recomendadas para reducir su riesgo.

El auge de las suscripciones SaaS

El riesgo de terceros nunca ha sido tan alto. Empresa de analistas de la industria Gartner reveló recientemente que a pesar de una mayor inversión en gestión de riesgos de ciberseguridad de terceros en los últimos dos años, el 45% de las organizaciones han experimentado interrupciones en el negocio de terceros. ¿Cómo llegamos aquí? Según Gartner 60% de las organizaciones Trabajamos con más de 1.000 terceros. En promedio, las organizaciones utilizan más de 370 aplicaciones de software como servicio (SaaS); el departamento promedio ahora utiliza 87 aplicaciones SaaS. Con cada nueva aplicación, el vector de ataque aumenta. La magnitud del problema es enorme.

En el pasado, adquirir software empresarial era un proceso largo y tedioso que requería mucho control. Aunque los ciclos de ventas largos y a veces arduos de las empresas brindaron la oportunidad de realizar una debida diligencia adecuada, las empresas no han integrado demasiados sistemas de terceros. Con la proliferación de SaaS, es más fácil que nunca para las empresas (y los individuos) agregar nuevas suscripciones de software, a veces con poca supervisión o evaluación de riesgos.

El volumen y la velocidad de las suscripciones a SaaS es una de las principales razones por las que las empresas tienen ahora tantos proveedores externos. El poder de decisión para comprar e incorporar estas aplicaciones está cada vez más descentralizado; Desde empleados individuales que sólo quieren participar en una prueba gratuita del software hasta miembros autorizados del equipo. Las soluciones de terceros se incorporan a una organización de muchas maneras, lo que sólo aumenta el desafío de seguridad y dificulta la evaluación de riesgos.

Con la aparición de herramientas impulsadas por IA que mejoran la productividad, podemos esperar que aumente la proliferación de SaaS (y el riesgo asociado de terceros). Además, existe una creciente demanda por parte de los empleados de productos innovadores y amigables para el consumidor. Si bien las empresas pueden preferir fortalecer sus relaciones con los proveedores, la demanda de los empleados de los mejores productos podría contrarrestar este deseo y continuar el impulso en la incorporación de proveedores.

Un camino a seguir para una mejor evaluación de riesgos de terceros

Uno de los mayores mitos sobre la evaluación de riesgos por parte de terceros es que se trata de una actividad única. Muchas empresas lo tratan erróneamente como un ejercicio de casilla de verificación que sólo se realiza durante el proceso inicial de incorporación de proveedores. Este enfoque ignora la naturaleza dinámica del riesgo porque no tiene en cuenta los cambios a lo largo del tiempo en las prácticas comerciales de terceros, la postura de seguridad o los entornos regulatorios.

Para aumentar la eficiencia y al mismo tiempo reducir el riesgo y mejorar la evaluación de riesgos de terceros, las empresas deben tomar las siguientes medidas:

Diploma

A medida que las empresas continúen incorporando nuevos proveedores, los riesgos en la cadena de suministro y otros terceros seguirán aumentando. Al evaluar y actualizar continuamente el programa de evaluación de riesgos de terceros de su organización, puede mejorar significativamente su postura de seguridad y, con suerte, garantizar que su organización no experimente el próximo incidente que acapare los titulares.