Mitigar el riesgo de terceros requiere un enfoque colaborativo y exhaustivo

COMENTARIO

Mitigar el riesgo de terceros puede parecer desalentador dada la multitud de nuevas regulaciones junto con las tácticas cada vez más sofisticadas de los ciberdelincuentes. Sin embargo, la mayoría de las organizaciones tienen más opciones y flexibilidad de lo que creen. La gestión de riesgos de terceros puede aprovechar las prácticas de gobernanza de riesgos y los controles de seguridad existentes actualmente implementados dentro de la organización. Lo tranquilizador de este modelo es que significa que las organizaciones no tienen que abandonar por completo sus protecciones existentes para mitigar con éxito el riesgo de terceros, y esto promueve una cultura de mejora continua e incremental.

El riesgo de terceros presenta un desafío único para las empresas: en la superficie, un tercero puede parecer digno de confianza. Pero sin una visibilidad total de las operaciones internas de este proveedor externo, ¿cómo puede una empresa garantizar que los datos que se le confían estén seguros?

Debido a las relaciones de larga data que tienen con sus proveedores externos, las empresas a menudo restan importancia a este tema apremiante. Como llevan 15 años trabajando con un tercero, no ven ninguna razón para poner en peligro su relación pidiendo «mirar debajo del capó». Sin embargo, esta forma de pensar es peligrosa: un incidente cibernético puede ocurrir exactamente cuando o donde menos lo espera.

Un paisaje cambiante

En caso de violación de datos, no sólo se puede multar a la organización en su conjunto, sino que también se pueden imponer consecuencias personales. El año pasado, La FDIC endureció sus políticas sobre riesgo de terceros, allanando el camino para que otras industrias sigan su ejemplo. Con la aparición de nuevas tecnologías como la inteligencia artificial, las consecuencias de una gestión incorrecta de los datos por parte de terceros pueden ser devastadoras. Las regulaciones futuras abordarán estas graves consecuencias imponiendo duras sanciones a quienes no hayan desarrollado controles estrictos.

Además de las nuevas regulaciones, la aparición de proveedores cuartos e incluso quintos debería proporcionar un incentivo para que las empresas protejan sus datos externos. El software ya no es la práctica interna simple que era hace 10 años: hoy los datos pasan por muchas manos y con cada eslabón agregado en la cadena de datos, las amenazas a la seguridad aumentan mientras que el monitoreo se vuelve más difícil. Por ejemplo, llevar a cabo la debida diligencia con un proveedor externo es de poca utilidad si el tercero auditado subcontrata datos privados de clientes a un tercero negligente y la organización no lo sabe.

Cinco pasos sencillos y listos para usar

Con la hoja de ruta adecuada, las organizaciones puede reducir con éxito el riesgo de terceros. Mejor aún, no siempre requiere inversiones en tecnología costosas y disruptivas. Lo que las empresas necesitan primero al realizar la diligencia debida es un plan sólido, personal capacitado dispuesto a participar y una mejor comunicación entre los equipos de TI, seguridad y negocios.

El primer paso es comprender a fondo el panorama de proveedores. Aunque esto pueda parecer obvio, muchas organizaciones, especialmente las grandes empresas con presupuestos de subcontratación, descuidan este paso crucial. Si bien apresurarse a entablar una relación con un proveedor externo puede ahorrar dinero en el corto plazo, todos esos ahorros desaparecerán si se produce una violación de datos y la empresa enfrenta fuertes multas.

Después de examinar el panorama de proveedores, las empresas deben determinar qué roles de terceros son “críticos”: estos roles pueden ser de misión crítica o procesar datos confidenciales. Según la importancia, los proveedores deben agruparse por niveles, lo que permite flexibilidad en la forma en que la organización evalúa, revisa y gestiona al proveedor.

Clasificar a los proveedores en orden de importancia puede arrojar luz sobre la excesiva dependencia de las empresas de sus proveedores externos. Estas organizaciones deben preguntarse: ¿Tenemos un plan de respaldo en caso de que esta relación termine repentinamente? ¿Cómo reemplazaríamos esta función mientras continuamos las operaciones en curso sin problemas?

El tercer paso es desarrollar un plan de gobernanza. Para realizar eficazmente la diligencia debida y la gestión de riesgos, debe haber una sinergia entre las tres áreas principales de una organización: el equipo de seguridad destaca las brechas en el programa de seguridad del proveedor, el equipo legal determina el riesgo legal y el equipo comercial predice el impacto negativo en cascada. sobre las operaciones si los datos o las operaciones están en riesgo. La clave para crear una gobernanza sólida es adaptar el plan a las necesidades individuales de una organización. Esto es particularmente cierto para las organizaciones de industrias menos reguladas.

El paso de gobernanza implica redactar obligaciones contractuales. Por ejemplo, en la computación en la nube, los líderes empresariales a menudo se apresuran a firmar un contrato sin comprender que ciertas medidas de seguridad pueden estar incluidas o no en el paquete básico. Las obligaciones contractuales a menudo dependen de la industria, pero también debería desarrollarse una cláusula de seguridad estandarizada. Por ejemplo, al evaluar una empresa de entrega, la atención puede centrarse menos en el proceso del ciclo de vida de desarrollo de software (SDLC) de un proveedor y más en sus medidas de resiliencia. Sin embargo, al evaluar una empresa de software, debemos centrarnos en los procesos SDLC del proveedor, como por ejemplo: Por ejemplo, cómo se revisa el código y las precauciones de seguridad necesarias para ponerlo en producción.

Finalmente, las organizaciones deben desarrollar una estrategia de salida. ¿Cómo puede una organización separarse limpiamente de terceros y al mismo tiempo garantizar que se limpien los datos de sus clientes? Ha habido casos en los que una empresa ha cortado sus relaciones con un proveedor, sólo para recibir una llamada años después informándole que su antiguo socio había sufrido una vulneración de datos y que los datos de sus clientes habían sido expuestos, a pesar de lo que se esperaba que estos datos hubieran sido eliminado. Moraleja de la historia: no hagas suposiciones. Además de una filtración de datos accidental, también existe la posibilidad de que terceros utilicen los datos de un antiguo socio para el desarrollo interno, como utilizar esos datos para crear modelos de aprendizaje automático. Las organizaciones deben evitar esto estableciendo de forma clara, específica y jurídicamente vinculante cómo los proveedores eliminarán los datos en caso de terminación de la asociación y cuáles serán las consecuencias si no lo hacen.

Crear una cultura de responsabilidad compartida y mejora continua.

Un enfoque de equipo para llevar a cabo la debida diligencia significa que el Director de Seguridad de la Información (CISO) no tiene que asumir la responsabilidad total de mitigar el riesgo de un proveedor externo. El Cargos de la SEC contra SolarWinds Sentar un precedente preocupante: un CISO puede asumir la culpa incluso si el problema surge de una disfunción en toda la organización. Cuando los equipos de TI y de negocios apoyan al CISO en la investigación de proveedores externos, sienta las bases para una futura colaboración entre equipos, aumenta la adopción empresarial y conduce a mejores resultados de seguridad.