Cómo utilizar NIST SP 800-53 para mejorar la gestión de riesgos de la cadena de suministro de terceros

Las organizaciones pueden llevar a cabo evaluaciones especializadas, como verificación y validación, supervisión de sistemas, evaluaciones de amenazas internas, pruebas de usuarios malintencionados y otras formas de pruebas.

CA-2 (3) Evaluaciones de control | Aprovechamiento de los resultados de organizaciones externas

Las organizaciones pueden confiar en las evaluaciones de control de los sistemas organizativos realizadas por otras organizaciones (externas).

Las evaluaciones deben gestionarse de forma centralizada y estar respaldadas por capacidades de flujo de trabajo, gestión de tareas y revisión automatizada de pruebas para garantizar que su equipo tenga visibilidad de los riesgos de terceros durante todo el ciclo de vida de la relación.

Es importante destacar que una solución TPRM debe incluir recomendaciones de corrección integradas basadas en los resultados de la evaluación de riesgos para garantizar que sus terceros aborden los riesgos de manera oportuna y satisfactoria y puedan proporcionar las pruebas adecuadas a los auditores.

Como parte de este proceso, rastree y analice continuamente [amenazas externas a terceros](/products/vendor-risk-monitoring/). Supervise Internet y la web oscura en busca de ciberamenazas y vulnerabilidades, así como fuentes públicas y privadas de información sobre reputación, sanciones y finanzas.

Todos los datos de supervisión deben correlacionarse con los resultados de la evaluación y centralizarse en un registro de riesgos unificado para cada proveedor, agilizando las iniciativas de revisión de riesgos, elaboración de informes, corrección y respuesta.

Asegúrese de incorporar datos operativos, de reputación y financieros de terceros para añadir contexto a los hallazgos cibernéticos y medir el impacto de los incidentes a lo largo del tiempo.

Si es necesario, sustituya las evaluaciones de riesgos de un proveedor por auditorías de terceros [informes SOC 2](/blog/aicpa-soc-2-third-party-risk-management/). Revise la lista de deficiencias de control identificadas en el informe SOC 2, cree elementos de riesgo contra el tercero y realice un seguimiento e informe de las deficiencias a lo largo del tiempo.

Coordinar el plan de contingencia con los planes de contingencia de los proveedores de servicios externos para garantizar que puedan satisfacerse los requisitos de contingencia.

IR-4 (10) Gestión de incidentes | Coordinación de la cadena de suministro

Coordinar las actividades de gestión de incidentes relacionados con la cadena de suministro con otras organizaciones implicadas en la cadena de suministro.

IR-5 Supervisión de incidentes

Seguimiento y documentación de incidentes.

IR-6 (3) Notificación de incidentes | Coordinación de la cadena de suministro

Proporcionar información sobre el incidente al proveedor del producto o servicio y a otras organizaciones implicadas en la cadena de suministro o en la gobernanza de la cadena de suministro para sistemas o componentes de sistemas relacionados con el incidente.

IR-8(1) Plan de respuesta a incidentes | Infracciones

Incluya lo siguiente en el Plan de Respuesta a Incidentes para violaciones que involucren información personal identificable:

(a) Un proceso para determinar si es necesaria la notificación a particulares u otras organizaciones, incluidas las organizaciones de supervisión;

(b) Un proceso de evaluación para determinar el alcance del perjuicio, la vergüenza, la inconveniencia o la injusticia para las personas afectadas y cualquier mecanismo para mitigar tales perjuicios; y

(c) Identificación de los requisitos de privacidad aplicables.

Entre las funciones clave del [Servicio de respuesta a incidentes de terceros](/services/third-party-incident-response-service/) se incluyen:
* Cuestionarios de gestión de incidentes y eventos continuamente actualizados y personalizables.
* Seguimiento en tiempo real del progreso en la cumplimentación de los cuestionarios
* Propietarios de riesgos definidos con recordatorios de persecución automatizados para mantener las encuestas dentro del calendario.
* Informes proactivos de proveedores
* Vistas consolidadas de las calificaciones de riesgo, recuentos, puntuaciones y respuestas marcadas para cada proveedor.
* Reglas de flujo de trabajo para activar programas automatizados que actúen sobre los riesgos en función de su impacto potencial en la empresa.
* Plantillas de informes integradas para las partes interesadas internas y externas.
* Guía de recomendaciones de corrección integradas para reducir el riesgo.
* Mapeo de datos y relaciones para identificar las relaciones entre su organización y terceras, cuartas o enésimas partes, con el fin de visualizar las rutas de la información y revelar los datos de riesgo.

Asimismo, considere la posibilidad de aprovechar las bases de datos que contienen varios años de historial de filtraciones de datos de miles de empresas de todo el mundo, incluidos los tipos y cantidades de datos robados, cuestiones de cumplimiento y normativas, y notificaciones de filtraciones de datos de proveedores en tiempo real.

a. Desarrollar una estrategia global de gestión:

1. El riesgo de seguridad para las operaciones y activos de la organización, los individuos, otras organizaciones y la Nación asociado con la operación y uso de los sistemas de la organización; y

2. Riesgo para la intimidad de las personas derivado del tratamiento autorizado de información personal identificable;

b. Aplicar la estrategia de gestión de riesgos de forma coherente en toda la organización; y

c. Revisar y actualizar la estrategia de gestión de riesgos según sea necesario, para abordar los cambios organizativos.

PM-30 Estrategia de gestión de riesgos en la cadena de suministro

a. Desarrollar una estrategia a nivel de toda la organización para gestionar los riesgos de la cadena de suministro asociados al desarrollo, adquisición, mantenimiento y eliminación de sistemas, componentes de sistemas y servicios de sistemas;

b. Aplicar la estrategia de gestión de riesgos de la cadena de suministro de forma coherente en toda la organización; y

c. Revisar y actualizar la estrategia de gestión de riesgos de la cadena de suministro con una frecuencia definida por la organización o según sea necesario, para abordar los cambios organizativos.

Busque [expertos](/servicios/profesionales-servicios/) para que colaboren con su equipo en:
* Definir y aplicar procesos y soluciones de GTRC y GCRC.
* Selección de cuestionarios y marcos de evaluación de riesgos
* Optimizar su programa para abordar todo el ciclo de vida del riesgo de terceros -desde la contratación y la diligencia debida hasta la rescisión y la salida- de acuerdo con el apetito de riesgo de su organización.

Como parte de este proceso, debe definir:
* Funciones y responsabilidades claras (por ejemplo, RACI)
* Inventarios de terceros
* Puntuación y umbrales de riesgo basados en la tolerancia al riesgo de su organización.

Evalúe continuamente la eficacia de su programa TPRM en función de las necesidades y prioridades empresariales cambiantes, midiendo los [indicadores clave de rendimiento (KPI) y los [indicadores clave de riesgo (KRI)] del proveedor externo (/content-library/25-kpis-and-kris-for-third-party-risk-management/) a lo largo del ciclo de vida de la relación.

Identificar, priorizar y evaluar a los proveedores de tecnologías, productos y servicios críticos o esenciales para las misiones.

Desarrollar una estrategia de supervisión continua en toda la organización y aplicar programas de supervisión continua que incluyan:

a. Establecimiento de métricas a nivel de toda la organización para su seguimiento;

b. Establecer frecuencias definidas para el seguimiento y la evaluación de la eficacia del control;

c. Supervisión continua de las métricas definidas por la organización de acuerdo con la estrategia de supervisión continua;

d. Correlación y análisis de la información generada por las evaluaciones de control y la supervisión;

e. Acciones de respuesta para abordar los resultados del análisis de la evaluación del control y la información de seguimiento; y

f. Informar del estado de seguridad y privacidad de los sistemas de la organización al personal definido.

Las fuentes de vigilancia suelen incluir:
* Foros criminales; páginas cebolla; foros de acceso especial de la web oscura; feeds de amenazas; y sitios de pegado de credenciales filtradas - así como varias comunidades de seguridad, repositorios de código y bases de datos de vulnerabilidades.
* Bases de datos con varios años de historial de filtraciones de datos de miles de empresas de todo el mundo.

Todos los datos de supervisión deben correlacionarse con los resultados de la evaluación y centralizarse en un registro de riesgos unificado para cada proveedor, agilizando las iniciativas de revisión de riesgos, elaboración de informes, corrección y respuesta.

Una vez que todos los datos de evaluación y supervisión estén correlacionados en un registro central de riesgos, aplique una puntuación y una priorización de los riesgos según un modelo de probabilidad e impacto. Este modelo debe enmarcar los riesgos en una matriz, de modo que pueda ver fácilmente los riesgos de mayor impacto y priorizar los esfuerzos de corrección en ellos.

Asignar propietarios y realizar un seguimiento de los riesgos y las soluciones hasta un nivel aceptable para la empresa.

Desarrollar, documentar y difundir:

1. Una política de evaluación de riesgos que:

(a) Aborda la finalidad, el alcance, las funciones, las responsabilidades, el compromiso de la dirección, la coordinación entre las entidades de la organización y el cumplimiento; y

(b) Es coherente con las leyes, decretos, directivas, reglamentos, políticas, normas y directrices aplicables; y

2. Procedimientos para facilitar la aplicación de la política de evaluación de riesgos y los controles de evaluación de riesgos asociados;

b. Designar a un funcionario que gestione el desarrollo, la documentación y la difusión de la política y los procedimientos de evaluación de riesgos; y

c. Revisar y actualizar la evaluación de riesgos actual:

1. Política y
2. Procedimientos.

Llevar a cabo una priorización a nivel de impacto de los sistemas de la organización para obtener una mayor granularidad en los niveles de impacto del sistema.

(a) Evaluar los riesgos de la cadena de suministro asociados a los sistemas, componentes y servicios; y

(b) Actualizar la evaluación de riesgos de la cadena de suministro cuando se produzcan cambios significativos en la cadena de suministro pertinente, o cuando los cambios en el sistema, los entornos de operación u otras condiciones puedan hacer necesario un cambio en la cadena de suministro.

Las evaluaciones deben gestionarse de forma centralizada y estar respaldadas por flujos de trabajo, gestión de tareas y capacidades automatizadas de revisión de pruebas para garantizar que su equipo tenga visibilidad de los riesgos de terceros durante todo el ciclo de vida de la relación.

Es importante destacar que una solución TPRM debe incluir recomendaciones de corrección integradas basadas en los resultados de la evaluación de riesgos para garantizar que sus terceros aborden los riesgos de manera oportuna y satisfactoria y puedan proporcionar las pruebas adecuadas a los auditores.

Utilizar todas las fuentes de inteligencia para ayudar en el análisis de riesgos.

RA-3 (3) Evaluación de riesgos | Conocimiento dinámico de las amenazas

Determinar de forma continua el entorno actual de las ciberamenazas.

RA-3 (4) Evaluación de riesgos | Ciberanálisis predictivo

Emplee funciones avanzadas de automatización y análisis para predecir e identificar riesgos.

RA-7 Respuesta al riesgo

Responder a las conclusiones de las evaluaciones, supervisiones y auditorías de seguridad y privacidad de acuerdo con la tolerancia al riesgo de la organización.

Las fuentes de control suelen incluir:

* Foros de delincuentes, páginas cebolla, foros de acceso especial en la web oscura, fuentes de amenazas y sitios de pegado de credenciales filtradas, así como varias comunidades de seguridad, repositorios de código y bases de datos de vulnerabilidades.
* Bases de datos con varios años de historial de filtraciones de datos de miles de empresas de todo el mundo.

Todos los datos de supervisión deben correlacionarse con los resultados de la evaluación y centralizarse en un registro de riesgos unificado para cada proveedor, agilizando las iniciativas de revisión de riesgos, elaboración de informes, corrección y respuesta.

Una vez que todos los datos de evaluación y supervisión estén correlacionados en un registro central de riesgos, aplique la puntuación y priorización de riesgos según un modelo de probabilidad e impacto. Este modelo debe enmarcar los riesgos en una matriz, para que pueda ver fácilmente los riesgos de mayor impacto y priorizar los esfuerzos de corrección.

Asignar propietarios y realizar un seguimiento de los riesgos y las soluciones hasta un nivel aceptable para la empresa.

Identificar los componentes y funciones críticos del sistema realizando un análisis de criticidad en puntos de decisión definidos del ciclo de vida de desarrollo del sistema.

Desarrollar, documentar y difundir:

1. Una política de gestión de riesgos en la cadena de suministro que:

(a) Aborda la finalidad, el alcance, las funciones, las responsabilidades, el compromiso de la dirección, la coordinación entre las entidades de la organización y el cumplimiento; y

(b) Es coherente con las leyes, decretos, directivas, reglamentos, políticas, normas y directrices aplicables; y

2. Procedimientos para facilitar la aplicación de la política de gestión de riesgos en la cadena de suministro y los controles asociados a la gestión de riesgos en la cadena de suministro;

b. Designar a un funcionario que gestione el desarrollo, la documentación y la difusión de la política y los procedimientos de gestión de riesgos de la cadena de suministro; y

c. Revisar y actualizar la actual gestión de riesgos de la cadena de suministro:

1. Política y
2. Procedimientos

a. Desarrollar un plan para gestionar los riesgos de la cadena de suministro asociados con la investigación y el desarrollo, el diseño, la fabricación, la adquisición, la entrega, la integración, las operaciones y el mantenimiento, y la eliminación de sistemas, componentes de sistemas o servicios de sistemas.

b. Revisar y actualizar el plan de gestión de riesgos de la cadena de suministro según sea necesario, para hacer frente a los cambios en las amenazas, la organización o el entorno; y

c. Proteger el plan de gestión de riesgos de la cadena de suministro contra la divulgación y modificación no autorizadas.

a. Establecer un proceso o procesos para identificar y abordar las debilidades o deficiencias en los elementos y procesos de la cadena de suministro en coordinación con el personal de la cadena de suministro;

b. Emplear los siguientes controles para proteger contra los riesgos de la cadena de suministro al sistema, componente del sistema o servicio del sistema y para limitar el daño o las consecuencias de los eventos relacionados con la cadena de suministro; y

c. Documentar los procesos y controles de la cadena de suministro seleccionados y aplicados en el plan de gestión de riesgos de la cadena de suministro.

Emplear controles y analizar para garantizar la integridad del sistema y sus componentes validando la composición interna y la procedencia de tecnologías, productos y servicios críticos o esenciales para la misión.

Utilizar estrategias de adquisición, herramientas contractuales y métodos de contratación para proteger, identificar y mitigar los riesgos de la cadena de suministro.

A medida que se centralizan y revisan todos los proveedores de servicios, los equipos deben crear [perfiles completos de proveedores] (/content-library/risk-profiling-snapshot/) que contengan información demográfica de los proveedores, tecnologías de terceros, puntuaciones ESG, información reciente sobre negocios y reputación, historial de violación de datos y rendimiento financiero reciente.

Este nivel de diligencia debida crea un contexto más amplio para tomar decisiones de [selección de proveedores](/products/rfp-rfi-management/)

Evaluar y revisar los riesgos relacionados con la cadena de suministro asociados con los proveedores o contratistas y el sistema, componente del sistema o servicio del sistema que proporcionan.

Establecer acuerdos y procedimientos con las entidades implicadas en la cadena de suministro del sistema, componente o servicio del sistema para la notificación de los compromisos de la cadena de suministro y los resultados de las evaluaciones o auditorías.

a. Desarrollar, documentar y mantener un inventario de proveedores que:

1. Refleja de forma precisa y mínima los proveedores de primer nivel de la organización que pueden presentar un riesgo de ciberseguridad en la cadena de suministro;

2. Tiene el nivel de granularidad que se considera necesario para evaluar la criticidad y el riesgo de la cadena de suministro, el seguimiento y la elaboración de informes;

3. Documenta la siguiente información para cada proveedor de primer nivel (por ejemplo, contratista principal): revisa y actualiza el inventario de proveedores.

i. Identificación única del instrumento de contratación (es decir, contrato, tarea u orden de entrega);

ii. Descripción de los productos y/o servicios suministrados;

iii. Programa, proyecto y/o sistema que utiliza los productos y/o servicios del proveedor; y

iv. Nivel de criticidad asignado que se alinea con la criticidad del programa, proyecto y/o sistema (o componente del sistema).

b. Revisar y actualizar el inventario de proveedores.

Importe proveedores mediante una plantilla de hoja de cálculo o a través de una conexión API a una solución de aprovisionamiento existente, eliminando procesos manuales propensos a errores.

Rellene los datos clave del proveedor con un formulario de admisión centralizado y personalizable y el flujo de trabajo asociado. Esto debería estar disponible para todos a través de una invitación por correo electrónico, sin necesidad de formación o experiencia en soluciones.

Cree [perfiles exhaustivos de proveedores](/assets/documents/resources/Prevalent-Risk-Profiling-Snapshot-Data-Sheet.pdf) que comparen y supervisen los datos demográficos, la ubicación geográfica, las tecnologías de cuarta parte y la información operativa reciente de los proveedores. Disponer de estos datos acumulados le permitirá informar y tomar medidas contra los riesgos de concentración geográfica y tecnológica especialmente.

Cómo ayuda Prevalent a cumplir las directrices de gestión de riesgos de la cadena de suministro NIST SP 800-53