La invasión de Ucrania por parte de Rusia ha provocado una respuesta unificada por parte de la OTAN y sus aliados, y los países miembros han impuesto sanciones a Rusia como castigo. Teniendo en cuenta que algunos de los ciberataques más graves perpetrados por terceros, como los de SolarWinds, Colonial Pipeline y JBS Foods, se han atribuido a Rusia, la Oficina Federal de Investigación (FBI) y la Agencia de Seguridad Cibernética y de Infraestructuras (CISA) de Estados Unidos han advertido a las empresas y a los gobiernos que se mantengan alerta ante posibles ataques de ransomware originados en Rusia como represalia por la imposición de estas sanciones.
A continuación se incluyen ejemplos de preguntas que puede utilizar para evaluar el riesgo al que se enfrentan sus terceros (por ejemplo, proveedores, socios, distribuidores, etc.) en relación con el conflicto. Prevalent ha recopilado estas preguntas en una evaluación de impacto geopolítico del conflicto de Ucrania en terceros, con preguntas de opción múltiple, que puede utilizar para determinar las implicaciones para la continuidad del negocio de tener proveedores en la región de Ucrania. Si tiene proveedores que puedan verse afectados por este evento, esta evaluación es un buen punto de partida para determinar su exposición. También está disponible para nuestros clientes como parte de la biblioteca de cuestionarios de la plataforma Prevalent.
8 preguntas para determinar su exposición a terceros en la guerra de Ucrania
Prevalent ha elaborado una evaluación de 8 preguntas que puede utilizarse para identificar rápidamente cualquier impacto potencial en su negocio, determinando cuáles de sus terceros se ven afectados por el conflicto y cuáles son sus planes de mitigación.
| Preguntas | Posibles respuestas |
|---|---|
| 1) ¿La organización está ubicada en la región de Ucrania y sus alrededores?
Texto de ayuda: Esta evaluación se refiere a la crisis actual en la región de Ucrania y a cómo las organizaciones han evaluado los riesgos y tomado medidas para protegerse a sí mismas y a sus intereses, incluidos los empleados y otras partes interesadas, los servicios y los sistemas. «Áreas circundantes» se refiere a los países fronterizos con Ucrania. |
Seleccione UNA de las siguientes opciones:
a) La organización está ubicada en la región o b) La organización NO está ubicada en la región o |
| 2) ¿La organización utiliza proveedores ubicados en la región de Ucrania y sus alrededores? | Seleccione UNA de las siguientes opciones:
a) Sí, la organización utiliza proveedores que se encuentran b) No, la organización utiliza proveedores que |
| 3) Tras los acontecimientos recientes, ¿ha llevado a cabo la organización una evaluación de riesgos para determinar el nivel de impacto causado a sus empleados, partes interesadas, servicios y sistemas? | Seleccione UNA de las siguientes opciones:
a) Sí, se ha llevado a cabo una evaluación de riesgos para b) No, no se ha realizado una evaluación de riesgos |
| 4) Si la respuesta a la pregunta n.º 3 es «Sí»: ¿Cuál es el nivel de impacto causado a la organización y a sus empleados, partes interesadas, sistemas y servicios?
Texto de ayuda: Debe tenerse en cuenta dónde se ha producido el impacto, junto con el nivel de impacto. |
Seleccione UNA de las siguientes opciones:
a) Impacto significativo en la organización y sus empleados, partes interesadas, sistemas y servicios. (Se entiende por impacto significativo: los acontecimientos han supuesto riesgos para la seguridad de nuestros empleados. Los sistemas o servicios han dejado de funcionar debido a problemas de seguridad. Pérdida de confidencialidad o integridad de los datos). b) Alto nivel de impactopara la organización y sus empleados, partes interesadas, sistemas y servicios. (Se entiende por impacto elevado: existe un alto grado de riesgo para la seguridad de los empleados. Algunos sistemas o servicios se han interrumpido periódicamente. Se ha producido cierta pérdida de confidencialidad o integridad de los datos). c) Bajo nivel de impactopara la organización y sus empleados, partes interesadas, sistemas y servicios. (Se entiende por «impacto bajo»: sin repercusiones para los empleados o las partes interesadas, interrupción mínima o nula de la disponibilidad del servicio. Sin pérdida de confidencialidad o integridad de los datos). d) Sin impactopara la organización y sus empleados, partes interesadas, sistemas y servicios. |
| 5) ¿Cuenta la organización con un plan de continuidad o recuperación documentado? | Seleccione UNA de las siguientes opciones:
a) Sí, existe un plan de continuidad o recuperación documentado. b) No, no existe un plan de continuidad o recuperación documentado. |
| 6) Si la respuesta a la pregunta n.º 5 es «Sí»: ¿Se ha exigido a la organización que active sus planes de continuidad o recuperación? | Seleccione UNA de las siguientes opciones:
a) La organización ha activado su plan de continuidad y/o recuperación. b) La organización NO ha tenido que activar su plan de continuidad y/o recuperación. |
| 7) Si la respuesta a la pregunta n.º 5 es «Sí»: ¿Ha actualizado la organización sus planes de continuidad o recuperación para identificar y abordar los riesgos y acontecimientos geopolíticos, y se ha llevado a cabo una evaluación del impacto en el negocio para identificar las medidas de recuperación? |
Seleccione TODAS las opciones que correspondan:
a) Se han realizado evaluaciones del impacto en el negocio b) Basándose en los riesgos y acontecimientos geopolíticos, la organización
|
| 8) ¿Quién es el punto de contacto que puede responder a otras preguntas? | Indique la persona de contacto clave para gestionar la información sobre eventos o la gestión de la continuidad.
Nombre: Título: Correo electrónico: Teléfono: |
Pruebe su plan de respuesta ante incidentes antes del próximo ciberataque de terceros.
Muchas organizaciones tienen dificultades para obtener información oportuna sobre los incidentes de seguridad que afectan a sus cadenas de suministro. Los retrasos entre un incidente de un proveedor y la identificación, el análisis y la mitigación de riesgos por parte de su organización la dejarán expuesta a interrupciones operativas. Prevalent puede ayudarle.
El servicio Prevalent Third-Party Incident Response Service le permite identificar y mitigar rápidamente el impacto de los incidentes en la cadena de suministro mediante la gestión centralizada de los proveedores, la realización de evaluaciones proactivas de eventos, la puntuación de los riesgos identificados y el acceso a orientación sobre medidas correctivas. No se deje sorprender por un ciberataque de terceros que sabe que se avecina. Póngase en contacto con nosotros hoy mismo para obtener más información o programar una demostración.
Nota del editor: Este artículo se publicó originalmente en Prevalent.net. En octubre de 2024, Mitratech adquirió la empresa de gestión de riesgos de terceros basada en IA, Prevalent. El contenido ha sido actualizado desde entonces para incluir información alineada con nuestra oferta de productos, cambios regulatorios y cumplimiento.
