En los últimos años, hemos sido testigos de una avalancha de ataques de ransomware contra empresas destacadas, violaciones a gran escala de la seguridad de organismos gubernamentales y piratería informática contra infraestructuras críticas. Si bien la globalización ha traído consigo beneficios económicos sin precedentes, también ha complicado la resiliencia empresarial y la gestión de riesgos de la mayoría de las organizaciones.
Según nuestro último estudio sobre TPRM, el 61 % de las empresas informaron de una violación de datos de terceros o un incidente cibernético en el último año. Hoy en día, un solo ciberataque puede paralizar servicios críticos. Por ejemplo, UnitedHealth Group, la mayor aseguradora sanitaria de Estados Unidos, sufrió una violación de datos a través de un ataque de ransomware dirigido a su filial de tecnología sanitaria Change Healthcare, lo que provocó interrupciones en hospitales y farmacias de todo el país. El ciberataque paralizó las operaciones de las farmacias y causó interrupciones generalizadas y problemas en la tramitación de los seguros y la facturación a los pacientes.
Un programa práctico de supervisión de riesgos cibernéticos puede ayudar a identificar vulnerabilidades de seguridad en su cadena de suministro y operaciones comerciales, garantizar el cumplimiento normativo y reducir el riesgo de interrupciones graves por parte de proveedores externos.
¿Qué es la supervisión de riesgos cibernéticos?
La supervisión de riesgos cibernéticos consiste en evaluar periódicamente a los proveedores externos para garantizar que sus políticas de ciberseguridad se ajustan a las mejores prácticas y no suponen un riesgo inaceptable para su organización. Forma parte de un programa más amplio de supervisión de terceros.
Las organizaciones supervisan a sus proveedores basándose en diversos criterios, entre los que se incluyen la salud financiera, los riesgos ESG y el cumplimiento de los contratos. La supervisión de los proveedores en materia de riesgos de ciberseguridad suele constar de varios elementos, entre los que se incluyen:
-
Supervisión de violaciones de datos
-
Supervisión de credenciales expuestas
-
Supervisión del cumplimiento
-
Cuestionarios rutinarios de evaluación de riesgos de proveedores
¿Cuáles son las ventajas de la supervisión de riesgos de ciberseguridad por parte de terceros?
Muchas organizaciones dan por sentado que pueden mitigar eficazmente los riesgos cibernéticos mediante la creación de un sólido programa interno de seguridad de la información. Sin embargo, en los últimos años, los actores maliciosos se han centrado cada vez más en contratistas y proveedores externos con acceso a sistemas críticos y datos confidenciales de otras organizaciones más grandes. Los atacantes pueden eludir programas de seguridad complejos y bien financiados secuestrando el acceso de un proveedor a sus clientes y socios comerciales.
Reduzca los riesgos de violación de datos por parte de terceros
Las violaciones de datos de terceros se están convirtiendo en un problema cada vez mayor para organizaciones de todos los tamaños. Un incidente de ciberseguridad en un proveedor tercero o cuarto puede poner en peligro la información confidencial, los datos de los clientes, los datos de los empleados y mucho más. La supervisión continua puede alertarle sobre credenciales de proveedores expuestas o fallos de ciberseguridad que podrían dar lugar a una violación de datos.
Reducir los riesgos de cumplimiento normativo
Las empresas están sujetas a una serie cada vez mayor de requisitos de cumplimiento en materia de ciberseguridad y protección de datos. Los requisitos de cumplimiento suelen incluir disposiciones estrictas relativas al intercambio de datos con terceros y requisitos de seguridad de la información. Compartir información confidencial y regulada con un proveedor inseguro puede dar lugar a multas, sanciones y posibles consecuencias legales tanto para su organización como para el proveedor.
Por ejemplo, según la HIPAA, los proveedores que manejan información médica protegida (PHI) se clasifican como socios comerciales. Esto les obliga a emplear los mismos procedimientos y medidas de seguridad cibernética que la organización principal. Si un socio comercial de la HIPAA incumple los requisitos de cumplimiento, la organización sanitaria y el proveedor externo pueden ser considerados responsables y enfrentarse a multas elevadas.
A continuación se indican algunas normativas y estándares adicionales que establecen requisitos específicos para la supervisión del riesgo cibernético de terceros:
Comprender la postura de seguridad a lo largo del ciclo de vida del proveedor
No todos los proveedores necesitan acceder a información confidencial o regulada. Sin embargo, puede resultar útil conocer su postura en materia de seguridad si tienen acceso a sistemas de información o trabajan en las instalaciones. Los perfiles de ciberseguridad de los proveedores suelen cambiar a medida que sus organizaciones adoptan nuevas normas, cambian de software, adquieren otras empresas y se expanden. Llevar a cabo un seguimiento continuo a lo largo del ciclo de vida de la relación puede ayudar a evitar sorpresas que el cuestionario inicial sobre riesgos de los proveedores no habría detectado.
Por ejemplo, Target fue víctima de una violación de datos en 2013 que expuso la información de identificación personal (PII) de decenas de millones de sus clientes. La violación se originó en un proveedor de sistemas de climatización, no en una empresa que normalmente sería sometida a un examen detallado. Comprender la postura de un proveedor en materia de ciberseguridad y supervisar continuamente las violaciones puede ayudar a su organización a decidir a qué sistemas e información acceder y a formular controles para reducir el riesgo de una violación.
Creación de su programa de supervisión de riesgos de ciberseguridad
Hemos establecido la importancia de supervisar a sus proveedores terceros, cuartos y en general a todos los proveedores en lo que respecta al riesgo cibernético. Pero, ¿cómo se puede conceptualizar una supervisión eficaz de los proveedores en lo que respecta al riesgo cibernético en un mundo cada vez más interconectado y complejo? A continuación, le indicamos los pasos que debe seguir para crear un sistema sólido de supervisión del riesgo cibernético que le avise de cualquier problema antes de que suspenda una auditoría de cumplimiento o sufra una violación de datos.
1. Defina su nivel de riesgo aceptable.
Cada proveedor con el que trabajas supone un cierto nivel de riesgo para tu organización. Debes definir los riesgos con los que te sientes cómodo y asegurarte de que los proveedores reciban calificaciones de seguridad que reflejen con precisión el riesgo que suponen para tus operaciones y datos confidenciales. En muchos casos, es posible que tengas que exigir a los proveedores que reduzcan su nivel de riesgo hasta que su riesgo residual sea aceptable.
2. Utilizar cuestionarios de riesgo de proveedores
Los cuestionarios de riesgo de proveedores son fundamentales para la incorporación de proveedores externos. Especialmente cuando los proveedores pueden acceder a datos confidenciales o su organización opera bajo numerosos requisitos de cumplimiento. Los cuestionarios de riesgo de proveedores pueden abarcar la salud financiera, la estabilidad operativa, los criterios ESG y otras cuestiones, pero la ciberseguridad es uno de los componentes más importantes. Algunas preguntas que podría considerar incluir son:
-
¿Tu organización cuenta con certificaciones de seguridad de la información de terceros, como SOC2, ISO27001 o CMMC?
-
¿Tu organización se adhiere a un marco o modelo específico de ciberseguridad?
-
¿Tu organización cuenta con un equipo interno de ciberseguridad o trabaja con un proveedor de servicios de TI externo o un proveedor de servicios de seguridad gestionados?
El uso de software de gestión de riesgos de terceros le permite crear rápida y fácilmente cuestionarios basados en una biblioteca con docenas de plantillas personalizables. Puede considerar la posibilidad de realizar cuestionarios de evaluación rutinarios a los proveedores con perfiles de riesgo especialmente elevados o que manejan grandes cantidades de datos confidenciales de su organización.
3. Supervisar las violaciones de datos y las credenciales expuestas.
Antes de incorporar a un nuevo proveedor, recopile información sobre las violaciones de datos que haya sufrido, incluidos los detalles sobre los sistemas y registros afectados, así como las medidas correctivas y de mitigación. A continuación, supervise continuamente las noticias y las pruebas de nuevas violaciones de datos. Por ejemplo, el escaneo de la web oscura se convierte rápidamente en algo fundamental para la gestión de riesgos de terceros. En muchos casos, las organizaciones tendrán correos electrónicos y contraseñas expuestos a la venta en la web oscura sin saberlo, lo que podría dar lugar fácilmente a una violación de datos o a un incidente de seguridad. Afortunadamente, el escaneo específico de credenciales expuestas es fácil y puede proporcionar información valiosa sobre si la organización ya ha sufrido una violación de datos o tiene prácticas deficientes de gestión de usuarios. Busque soluciones que ofrezcan escaneo de la web oscura e informes de violaciones de datos como parte de su solución de supervisión de riesgos de proveedores.
4. Supervisar al proveedor cuando se encuentre en las instalaciones o cuando acceda a su entorno informático.
Los proveedores suelen necesitar acceso in situ a los activos informáticos para completar el trabajo contratado. Sin embargo, el riesgo de ciberseguridad no desaparece una vez que el proveedor abandona las instalaciones, por lo que debe asegurarse de que su organización cuenta con políticas claras que regulen el acceso del proveedor a su tecnología de la información. Es importante recordar que los errores de los proveedores o las violaciones de datos pueden acabar convirtiéndose en su responsabilidad, especialmente en el caso de requisitos de cumplimiento específicos.
Mejores prácticas de supervisión cibernética
Puede reducir su exposición a amenazas de ciberseguridad de terceros incorporando estas prácticas recomendadas en su programa:
Realizar un seguimiento continuo por parte de terceros
Las evaluaciones de ciberseguridad basadas en cuestionarios suelen realizarse una o dos veces al año. Complementar las evaluaciones periódicas con una supervisión continua de los riesgos cibernéticos le permite mantenerse al tanto de los cambios en la postura de los proveedores frente a los riesgos cibernéticos a medida que surgen nuevas amenazas. La supervisión del rendimiento de la ciberseguridad de un proveedor también le permite validar sus respuestas a las evaluaciones con pruebas observables externamente de violaciones de datos y otros incidentes. Mediante la implementación de una solución sólida de supervisión de riesgos de terceros, puede gestionar con confianza el ciclo de vida de la gestión de riesgos de los proveedores y responder a las brechas de seguridad, los problemas de cumplimiento y las posibles violaciones de datos antes de que afecten a su negocio.
Analizar minuciosamente el rendimiento pasado en materia de ciberseguridad
El pasado no predice necesariamente el futuro, pero puede proporcionar información sobre la seriedad con la que una organización se toma la ciberseguridad. Si una organización ha sufrido numerosas violaciones de datos en el pasado reciente, esto puede ser un buen indicador de que los datos de su organización podrían verse comprometidos.
Aplique el principio del mínimo privilegio.
Debe aplicar el principio del privilegio mínimo a todos los proveedores con los que trabaje. Asegúrese de que solo tengan acceso a los sistemas y datos críticos necesarios para realizar su trabajo. Mientras el proveedor realiza su trabajo, compruebe que dispone de la supervisión adecuada para garantizar que no accede a sistemas o datos innecesarios. Por último, asegúrese de contar con un programa eficaz de baja de proveedores para revocar el acceso una vez finalizado el trabajo.
Adapte su programa en función del perfil de riesgo
Los proveedores con programas sólidos de ciberseguridad que no manejan información confidencial pueden requerir menos supervisión que los proveedores que trabajan con información de clientes o secretos comerciales. Durante el proceso de incorporación de proveedores, asegúrese de perfilar, categorizar y clasificar a los terceros según su riesgo inherente. Esto le facilitará determinar la frecuencia y el alcance de las evaluaciones de riesgo y el nivel de supervisión que debe realizar para cada proveedor. Como resultado, utilizará sus recursos de forma inteligente y adaptará sus actividades de supervisión cibernética al riesgo que representa el proveedor.
Próximos pasos para garantizar la ciberseguridad de los proveedores externos
Nunca ha sido tan importante crear un programa eficaz de supervisión de riesgos cibernéticos. Prevalent facilita la gestión de los riesgos de terceros y cuartos a lo largo de toda la cadena de suministro. Nuestra plataforma de gestión de riesgos de proveedores combina la supervisión continua de los riesgos cibernéticos con la supervisión comercial, financiera y de reputación, junto con funciones automatizadas de evaluación de riesgos de proveedores para obtener una visión de 360 grados de los riesgos de los proveedores. Solicite una demostración hoy mismo para ver si Prevalent es adecuado para usted.
Nota de la Redacción: Este artículo se publicó originalmente en Prevalent.net. En octubre de 2024, Mitratech adquirió la empresa de gestión de riesgos de terceros basada en IA, Prevalent. El contenido se ha actualizado desde entonces para incluir información alineada con nuestras ofertas de productos, cambios normativos y cumplimiento.
