How to Apply NIST SP 800-53 Supply Chain Controls to Your Third-Party Risk Program

Las organizaciones pueden llevar a cabo evaluaciones especializadas, como verificación y validación, supervisión de sistemas, evaluaciones de amenazas internas, pruebas de usuarios malintencionados y otras formas de pruebas.

CA-2 (3) Evaluaciones de control | Aprovechamiento de los resultados de organizaciones externas

Las organizaciones pueden confiar en las evaluaciones de control de los sistemas organizativos realizadas por otras organizaciones (externas).

Las evaluaciones deben gestionarse de forma centralizada y estar respaldadas por capacidades de flujo de trabajo, gestión de tareas y revisión automatizada de pruebas para garantizar que su equipo tenga visibilidad de los riesgos de terceros durante todo el ciclo de vida de la relación.

Es importante destacar que una solución TPRM debe incluir recomendaciones de corrección integradas basadas en los resultados de la evaluación de riesgos para garantizar que sus terceros aborden los riesgos de manera oportuna y satisfactoria y puedan proporcionar las pruebas adecuadas a los auditores.

As part of this process, continuously track and analyze external threats to third parties. Monitor the Internet and dark web for cyber threats and vulnerabilities, as well as public and private sources of reputational, sanction, and financial information.

Todos los datos de supervisión deben correlacionarse con los resultados de la evaluación y centralizarse en un registro de riesgos unificado para cada proveedor, agilizando las iniciativas de revisión de riesgos, elaboración de informes, corrección y respuesta.

Asegúrese de incorporar datos operativos, de reputación y financieros de terceros para añadir contexto a los hallazgos cibernéticos y medir el impacto de los incidentes a lo largo del tiempo.

If required, substitute third-party auditors SOC 2 reports for a vendor’s risk assessments. Review the list of control gaps identified within the SOC 2 report, create risk items against the third party, and track and report against deficiencies over time.

Coordinar el plan de contingencia con los planes de contingencia de los proveedores de servicios externos para garantizar que puedan satisfacerse los requisitos de contingencia.

IR-4 (10) Gestión de incidentes | Coordinación de la cadena de suministro

Coordinar las actividades de gestión de incidentes relacionados con la cadena de suministro con otras organizaciones implicadas en la cadena de suministro.

IR-5 Supervisión de incidentes

Seguimiento y documentación de incidentes.

IR-6 (3) Notificación de incidentes | Coordinación de la cadena de suministro

Proporcionar información sobre el incidente al proveedor del producto o servicio y a otras organizaciones implicadas en la cadena de suministro o en la gobernanza de la cadena de suministro para sistemas o componentes de sistemas relacionados con el incidente.

IR-8(1) Plan de respuesta a incidentes | Infracciones

Incluya lo siguiente en el Plan de Respuesta a Incidentes para violaciones que involucren información personal identificable:

(a) Un proceso para determinar si es necesaria la notificación a particulares u otras organizaciones, incluidas las organizaciones de supervisión;

(b) Un proceso de evaluación para determinar el alcance del perjuicio, la vergüenza, la inconveniencia o la injusticia para las personas afectadas y cualquier mecanismo para mitigar tales perjuicios; y

(c) Identificación de los requisitos de privacidad aplicables.

Entre sus principales funciones figuran:

• Cuestionarios de gestión de sucesos e incidentes continuamente actualizados y personalizables
• Seguimiento en tiempo real del progreso en la cumplimentación del cuestionario
• Definición de los propietarios de los riesgos con recordatorios de persecución automatizados para mantener las encuestas dentro de los plazos previstos.
• Informes proactivos sobre proveedores
• Vistas consolidadas de las calificaciones de riesgo, recuentos, puntuaciones y respuestas marcadas para cada proveedor.
• Reglas de flujo de trabajo para activar guías automatizadas que actúen sobre los riesgos en función de su impacto potencial en la empresa.
• Plantillas de informes integradas para partes interesadas internas y externas
• Orientación de las recomendaciones de corrección incorporadas para reducir el riesgo
• Mapeo de datos y relaciones para identificar las relaciones entre su organización y terceras, cuartas o enésimas partes, con el fin de visualizar las rutas de la información y revelar los datos de riesgo.

Asimismo, considere la posibilidad de aprovechar las bases de datos que contienen varios años de historial de filtraciones de datos de miles de empresas de todo el mundo, incluidos los tipos y cantidades de datos robados, cuestiones de cumplimiento y normativas, y notificaciones de filtraciones de datos de proveedores en tiempo real.

a. Desarrollar una estrategia global de gestión:

1. El riesgo de seguridad para las operaciones y activos de la organización, los individuos, otras organizaciones y la Nación asociado con la operación y uso de los sistemas de la organización; y

2. Riesgo para la intimidad de las personas derivado del tratamiento autorizado de información personal identificable;

b. Aplicar la estrategia de gestión de riesgos de forma coherente en toda la organización; y

c. Revisar y actualizar la estrategia de gestión de riesgos según sea necesario, para abordar los cambios organizativos.

PM-30 Supply Chain Risk Management Strategy

a. Desarrollar una estrategia a nivel de toda la organización para gestionar los riesgos de la cadena de suministro asociados al desarrollo, adquisición, mantenimiento y eliminación de sistemas, componentes de sistemas y servicios de sistemas;

b. Aplicar la estrategia de gestión de riesgos de la cadena de suministro de forma coherente en toda la organización; y

c. Revisar y actualizar la estrategia de gestión de riesgos de la cadena de suministro con una frecuencia definida por la organización o según sea necesario, para abordar los cambios organizativos.

Seek out experts to collaborate with your team on:

• Definir e implantar procesos y soluciones de GTRC y GCRC
• Selección de cuestionarios y marcos de evaluación de riesgos
• Optimización de su programa para abordar todo el ciclo de vida del riesgo de terceros -desde la contratación y la diligencia debida hasta la rescisión del contrato y la salida del servicio- de acuerdo con el apetito de riesgo de su organización.

Como parte de este proceso, debe definir:

• Funciones y responsabilidades claras (por ejemplo, RACI)
• Inventarios de terceros
• Puntuación y umbrales de riesgo basados en la tolerancia al riesgo de su organización

Continually evaluate the effectiveness of your TPRM program according to changing business needs and priorities, measuring third-party vendor key performance indicators (KPIs) and key risk indicators (KRIs) through the relationship lifecycle.

Identificar, priorizar y evaluar a los proveedores de tecnologías, productos y servicios críticos o esenciales para las misiones.

• Tipo de contenido necesario para validar los controles
• Importancia crítica para el rendimiento y las operaciones de la empresa
• Ubicación(es) y consideraciones legales o reglamentarias relacionadas
• Grado de dependencia de terceros
• Experiencia en procesos operativos o de cara al cliente
• Interacción con datos protegidos
• Situación económica y salud
• Reputación

From this inherent risk assessment, your team can automatically tier suppliers, set appropriate levels of further diligence; and determine the scope of ongoing assessments.

La lógica de clasificación basada en reglas debería permitir la categorización de proveedores utilizando una serie de consideraciones relacionadas con la interacción de datos, las finanzas, la normativa y la reputación.

Desarrollar una estrategia de supervisión continua en toda la organización y aplicar programas de supervisión continua que incluyan:

a. Establecimiento de métricas a nivel de toda la organización para su seguimiento;

b. Establecer frecuencias definidas para el seguimiento y la evaluación de la eficacia del control;

c. Supervisión continua de las métricas definidas por la organización de acuerdo con la estrategia de supervisión continua;

d. Correlación y análisis de la información generada por las evaluaciones de control y la supervisión;

e. Acciones de respuesta para abordar los resultados del análisis de la evaluación del control y la información de seguimiento; y

f. Informar del estado de seguridad y privacidad de los sistemas de la organización al personal definido.

Las fuentes de control suelen incluir:

• Foros de delincuentes; páginas cebolla; foros de acceso especial a la web oscura; feeds de amenazas; y sitios de pegado de credenciales filtradas, así como varias comunidades de seguridad, repositorios de código y bases de datos de vulnerabilidades.
• Bases de datos con varios años de historial de violaciones de datos de miles de empresas de todo el mundo.

Todos los datos de supervisión deben correlacionarse con los resultados de la evaluación y centralizarse en un registro de riesgos unificado para cada proveedor, agilizando las iniciativas de revisión de riesgos, elaboración de informes, corrección y respuesta.

Una vez que todos los datos de evaluación y supervisión estén correlacionados en un registro central de riesgos, aplique una puntuación y una priorización de los riesgos según un modelo de probabilidad e impacto. Este modelo debe enmarcar los riesgos en una matriz, de modo que pueda ver fácilmente los riesgos de mayor impacto y priorizar los esfuerzos de corrección en ellos.

Asignar propietarios y realizar un seguimiento de los riesgos y las soluciones hasta un nivel aceptable para la empresa.

Desarrollar, documentar y difundir:

1. Una política de evaluación de riesgos que:

(a) Aborda la finalidad, el alcance, las funciones, las responsabilidades, el compromiso de la dirección, la coordinación entre las entidades de la organización y el cumplimiento; y

(b) Es coherente con las leyes, decretos, directivas, reglamentos, políticas, normas y directrices aplicables; y

2. Procedimientos para facilitar la aplicación de la política de evaluación de riesgos y los controles de evaluación de riesgos asociados;

b. Designar a un funcionario que gestione el desarrollo, la documentación y la difusión de la política y los procedimientos de evaluación de riesgos; y

c. Revisar y actualizar la evaluación de riesgos actual:

1. Policy and

2. Procedures.

Llevar a cabo una priorización a nivel de impacto de los sistemas de la organización para obtener una mayor granularidad en los niveles de impacto del sistema.

(a) Evaluar los riesgos de la cadena de suministro asociados a los sistemas, componentes y servicios; y

(b) Actualizar la evaluación de riesgos de la cadena de suministro cuando se produzcan cambios significativos en la cadena de suministro pertinente, o cuando los cambios en el sistema, los entornos de operación u otras condiciones puedan hacer necesario un cambio en la cadena de suministro.

Las evaluaciones deben gestionarse de forma centralizada y estar respaldadas por flujos de trabajo, gestión de tareas y capacidades automatizadas de revisión de pruebas para garantizar que su equipo tenga visibilidad de los riesgos de terceros durante todo el ciclo de vida de la relación.

Es importante destacar que una solución TPRM debe incluir recomendaciones de corrección integradas basadas en los resultados de la evaluación de riesgos para garantizar que sus terceros aborden los riesgos de manera oportuna y satisfactoria y puedan proporcionar las pruebas adecuadas a los auditores.

Utilizar todas las fuentes de inteligencia para ayudar en el análisis de riesgos.

RA-3 (3) Evaluación de riesgos | Conocimiento dinámico de las amenazas

Determinar de forma continua el entorno actual de las ciberamenazas.

RA-3 (4) Evaluación de riesgos | Ciberanálisis predictivo

Emplee funciones avanzadas de automatización y análisis para predecir e identificar riesgos.

RA-7 Respuesta al riesgo

Responder a las conclusiones de las evaluaciones, supervisiones y auditorías de seguridad y privacidad de acuerdo con la tolerancia al riesgo de la organización.

Las fuentes de control suelen incluir:

• Foros de delincuentes; páginas cebolla; foros de acceso especial a la web oscura; feeds de amenazas; y sitios de pegado de credenciales filtradas, así como varias comunidades de seguridad, repositorios de código y bases de datos de vulnerabilidades.
• Bases de datos con varios años de historial de violaciones de datos de miles de empresas de todo el mundo.

Todos los datos de supervisión deben correlacionarse con los resultados de la evaluación y centralizarse en un registro de riesgos unificado para cada proveedor, agilizando las iniciativas de revisión de riesgos, elaboración de informes, corrección y respuesta.

Una vez que todos los datos de evaluación y supervisión estén correlacionados en un registro central de riesgos, aplique la puntuación y priorización de riesgos según un modelo de probabilidad e impacto. Este modelo debe enmarcar los riesgos en una matriz, para que pueda ver fácilmente los riesgos de mayor impacto y priorizar los esfuerzos de corrección.

Asignar propietarios y realizar un seguimiento de los riesgos y las soluciones hasta un nivel aceptable para la empresa.

Identificar los componentes y funciones críticos del sistema realizando un análisis de criticidad en puntos de decisión definidos del ciclo de vida de desarrollo del sistema.

Desarrollar, documentar y difundir:

1. Una política de gestión de riesgos en la cadena de suministro que:

(a) Aborda la finalidad, el alcance, las funciones, las responsabilidades, el compromiso de la dirección, la coordinación entre las entidades de la organización y el cumplimiento; y

(b) Es coherente con las leyes, decretos, directivas, reglamentos, políticas, normas y directrices aplicables; y

2. Procedimientos para facilitar la aplicación de la política de gestión de riesgos en la cadena de suministro y los controles asociados a la gestión de riesgos en la cadena de suministro;

b. Designar a un funcionario que gestione el desarrollo, la documentación y la difusión de la política y los procedimientos de gestión de riesgos de la cadena de suministro; y

c. Revisar y actualizar la actual gestión de riesgos de la cadena de suministro:

1. Policy and

2. Procedures

a. Desarrollar un plan para gestionar los riesgos de la cadena de suministro asociados con la investigación y el desarrollo, el diseño, la fabricación, la adquisición, la entrega, la integración, las operaciones y el mantenimiento, y la eliminación de sistemas, componentes de sistemas o servicios de sistemas.

b. Revisar y actualizar el plan de gestión de riesgos de la cadena de suministro según sea necesario, para hacer frente a los cambios en las amenazas, la organización o el entorno; y

c. Proteger el plan de gestión de riesgos de la cadena de suministro contra la divulgación y modificación no autorizadas.

a. Establecer un proceso o procesos para identificar y abordar las debilidades o deficiencias en los elementos y procesos de la cadena de suministro en coordinación con el personal de la cadena de suministro;

b. Emplear los siguientes controles para proteger contra los riesgos de la cadena de suministro al sistema, componente del sistema o servicio del sistema y para limitar el daño o las consecuencias de los eventos relacionados con la cadena de suministro; y

c. Documentar los procesos y controles de la cadena de suministro seleccionados y aplicados en el plan de gestión de riesgos de la cadena de suministro.

Emplear controles y analizar para garantizar la integridad del sistema y sus componentes validando la composición interna y la procedencia de tecnologías, productos y servicios críticos o esenciales para la misión.

Utilizar estrategias de adquisición, herramientas contractuales y métodos de contratación para proteger, identificar y mitigar los riesgos de la cadena de suministro.

As all service providers are being centralized and reviewed, teams should create comprehensive vendor profiles that contain insight into a vendor’s demographic information, 4th-party technologies, ESG scores, recent business and reputational insights, data breach history, and recent financial performance.

Este nivel de diligencia debida crea un mayor contexto para tomar decisiones de selección de proveedores.

Evaluar y revisar los riesgos relacionados con la cadena de suministro asociados con los proveedores o contratistas y el sistema, componente del sistema o servicio del sistema que proporcionan.

Establecer acuerdos y procedimientos con las entidades implicadas en la cadena de suministro del sistema, componente o servicio del sistema para la notificación de los compromisos de la cadena de suministro y los resultados de las evaluaciones o auditorías.

• Seguimiento centralizado de todos los contratos y atributos contractuales, como el tipo, las fechas clave, el valor, los recordatorios y el estado, con vistas personalizadas basadas en funciones.
• Capacidades de flujo de trabajo (basadas en el usuario o en el tipo de contrato) para automatizar el ciclo de vida de la gestión de contratos.
• Recordatorios automáticos y avisos de vencimiento para agilizar las revisiones de los contratos
• Debate centralizado sobre los contratos y seguimiento de los comentarios
• Almacenamiento de contratos y documentos con permisos basados en funciones y registros de auditoría de todos los accesos.
• Seguimiento del control de versiones que permite editar contratos y documentos fuera de línea.
• Role-based permissions that enable allocation of duties, access to contracts, and read/write/modify access. With this capability, you can ensure that clear responsibilities and right-to-audit clauses are articulated in the vendor contract, and SLAs tracked and managed accordingly.

a. Desarrollar, documentar y mantener un inventario de proveedores que:

1. Refleja de forma precisa y mínima los proveedores de primer nivel de la organización que pueden presentar un riesgo de ciberseguridad en la cadena de suministro;

2. Tiene el nivel de granularidad que se considera necesario para evaluar la criticidad y el riesgo de la cadena de suministro, el seguimiento y la elaboración de informes;

3. Documenta la siguiente información para cada proveedor de primer nivel (por ejemplo, contratista principal): revisa y actualiza el inventario de proveedores.

i. Identificación única del instrumento de contratación (es decir, contrato, tarea u orden de entrega);

ii. Descripción de los productos y/o servicios suministrados;

iii. Programa, proyecto y/o sistema que utiliza los productos y/o servicios del proveedor; y

iv. Nivel de criticidad asignado que se alinea con la criticidad del programa, proyecto y/o sistema (o componente del sistema).

b. Revisar y actualizar el inventario de proveedores.

Importe proveedores mediante una plantilla de hoja de cálculo o a través de una conexión API a una solución de aprovisionamiento existente, eliminando procesos manuales propensos a errores.

Rellene los datos clave del proveedor con un formulario de admisión centralizado y personalizable y el flujo de trabajo asociado. Esto debería estar disponible para todos a través de una invitación por correo electrónico, sin necesidad de formación o experiencia en soluciones.

Build comprehensive supplier profiles that compare and monitor supplier demographics, geographic location, fourth-party technologies, and recent operational insights. Having this accumulated data will enable you to report on and take action against geographic and technology concentration risks especially.