Como director ejecutivo o miembro del consejo de administración de su empresa, la gestión de riesgos de terceros debe ser una prioridad.
Aquí tienes cinco cosas que debes saber:
1. Los contratos ya no bastan para proteger la empresa.
Los contratos son increíblemente importantes, sin embargo, no proporcionan la visibilidad que usted necesita para reducir los riesgos asociados a las violaciones de datos. Lograr una visibilidad adecuada y supervisar el cumplimiento de las normativas y mejores prácticas de ciberseguridad por parte de su proveedor externo es ahora un requisito de muchas directrices normativas y de seguridad, como PCI 3.0, OCC, HIPAA Omnibus y la SEC.
Es importante señalar que, para cumplir estos requisitos normativos y de seguridad de los datos, sus contratos con proveedores externos deben incluir un lenguaje que le otorgue expresamente el derecho a realizar una evaluación, así como la autoridad para supervisar a sus proveedores externos de forma continua.
2. Una violación de los datos de su cliente o paciente en un tercero es SU responsabilidad.
El concepto de que la externalización de una función empresarial elimina efectivamente su responsabilidad sobre la seguridad de los datos de sus clientes ya no es una práctica empresarial aceptable. La diligencia debida con los proveedores externos que tienen acceso a datos sensibles se considera a menudo la única forma de reducir el riesgo, comprender las áreas de mejora y mostrar la debida diligencia. Algunos organismos reguladores asocian automáticamente la falta de cuidado y diligencia debidos con una mayor responsabilidad (y costes).
3. Una única evaluación puntual ya no es suficiente.
La mayoría de los programas de gestión de riesgos de terceros comienzan como un esfuerzo de cumplimiento, con evaluaciones puntuales realizadas durante o inmediatamente después del proceso de contratación. En muchos casos, esta fue la única vez que se realizó una evaluación. El ritmo de la innovación tecnológica es asombroso. Organizaciones de todos los tamaños están trasladando más datos a la nube y a las aplicaciones móviles. Si bien esto puede aumentar la eficiencia y reducir los costes, ¿no le gustaría saber que esto ha ocurrido en un proveedor de servicios, antes de una notificación de violación? Ahora es necesario realizar evaluaciones continuas y ejercicios de supervisión de amenazas para comprender mejor los riesgos en constante evolución que plantean a sus datos los proveedores externos.
4. El riesgo de terceros debe formar parte de su plan de ciberseguridad.
La gestión de riesgos de terceros es una función de seguridad, así como un requisito de cumplimiento. Cuando se tiene un plan de ciberseguridad que sólo se centra en la seguridad interna, se corre el riesgo de pasar por alto el 50% del problema. Numerosos estudios han demostrado que los terceros representan entre el 40% y el 80% de los riesgos asociados a las violaciones de datos. Garantizar una amplia cobertura de ciberseguridad significa comprender los riesgos que plantean tanto sus proveedores terceros como los proveedores de éstos (cuartas partes).
También es importante señalar que entender dónde están sus datos, tanto interna como externamente, le ayuda a aislar mejor sus riesgos y a comprender dónde debe centrar sus esfuerzos.
5. Su CISO (o equivalente) debe informar de estos riesgos directamente al consejo.
Debe tomar medidas para asegurarse de que usted, su equipo directivo y su consejo de administración obtienen la información necesaria para tomar decisiones oportunas, reducir el riesgo de violación de datos y proteger su marca. Una de las formas de conseguirlo es alinear el gasto con las prioridades de seguridad, que a menudo quedan relegadas a un segundo plano frente a otras iniciativas tecnológicas. Esto también ayudará a reducir la fricción que existe entre sus ejecutivos cuando se trata de prioridades de gasto.
La realidad es que un CISO exitoso que ha reducido los riesgos de seguridad de una empresa puede no parecer eficiente en la superficie. Pero profundice y verá que están ayudando a ahorrar a la empresa de decenas a cientos de millones de dólares en ingresos perdidos, multas y daños a su marca a través de la prevención de violaciones de datos de terceros. Hablar directamente con su CISO le ayudará a comprender mejor los riesgos para tomar decisiones y alinear el gasto.
Recuerde que las situaciones de crisis suelen dar lugar a decisiones precipitadas que pueden crear más problemas a largo plazo. Decida ahora y prepare un plan sobre lo que usted, su equipo directivo y su consejo de administración harán para proteger su negocio y su reputación, en caso de que su empresa se vea afectada por lo impensable.
Nota de la Redacción: Este artículo se publicó originalmente en Prevalent.net. En octubre de 2024, Mitratech adquirió la empresa de gestión de riesgos de terceros basada en IA, Prevalent. El contenido se ha actualizado desde entonces para incluir información alineada con nuestras ofertas de productos, cambios normativos y cumplimiento.
