Los datos son uno de los activos más valiosos de su organización, y los más susceptibles de ser robados. A menudo se les denomina «oro digital», pero, a diferencia del oro físico, su valor reside en su utilización. Sin embargo, cada interacción, especialmente por parte de terceros y de otras partes, aumenta la vulnerabilidad de sus datos ante el robo y el acceso no autorizado.
Proteger los datos no consiste solo en salvaguardar secretos comerciales, sino que es un compromiso para preservar la privacidad de quienes confían en usted su información. Sin embargo, a medida que los datos avanzan en la cadena de valor, alejándose de su organización, garantizar su privacidad se vuelve cada vez más difícil.
Este blog analiza los retos que plantea la privacidad de los datos y ofrece cinco soluciones prácticas para proteger los datos confidenciales en el complejo mundo de las relaciones con terceros.
Cómo afrontar los retos de la protección de datos de terceros
Muchas organizaciones carecen de visibilidad sobre el paradero de sus datos más confidenciales una vez que estos salen de sus sistemas. Los proveedores, contratistas y socios comerciales, junto con sus redes ampliadas, pueden estar manejando o compartiendo sus datos internos o de clientes sin su conocimiento, lo que podría comprometer su seguridad.
Las terceras, cuartas y enésimas partes desempeñan un papel fundamental en diversas funciones organizativas, desde el procesamiento de pagos hasta la entrega de pedidos y la mejora de los servicios a través de API. El denominador común es su dependencia de los datos, lo que plantea retos para una gestión eficaz de los riesgos.
Para navegar por este complejo panorama, su organización debe desentrañar una maraña de expectativas, exigencias y restricciones en medio de una plétora de tecnologías que generan flujos de datos continuos.
Entre los principales retos se incluyen:
1. Proliferación de normativas
Garantizar que terceros protejan los datos confidenciales es un requisito clave de muchas leyes globales de privacidad de datos. Con el 80 % de los países redactando o promulgando leyes, incluidas regulaciones estatales únicas en los EE. UU., las organizaciones se enfrentan a un panorama legal complejo. Para cumplir de manera eficaz, las empresas deben mantenerse informadas y navegar con destreza por este intrincado laberinto de requisitos normativos. Para obtener información detallada sobre regulaciones y marcos específicos, consulte nuestra guía completa de cumplimiento de TPRM.
2. Expectativas de los consumidores y accionistas
Desde la Declaración Universal de Derechos Humanos de las Naciones Unidas de 1948, la privacidad se ha reconocido como un derecho humano fundamental. Según la encuesta TPRM de Prevalent, un tercio de los equipos de gestión de riesgos expresan su preocupación por la gestión de la privacidad y la seguridad de los datos de terceros. Las organizaciones deben abordar esta preocupación, dado que el 63 % no está seguro de cumplir con los requisitos de divulgación obligatorios y la mitad carece de las herramientas de supervisión necesarias en caso de incumplimiento. Cumplir con estas expectativas es fundamental para generar confianza y garantizar el cumplimiento.
3. Procesos obsoletos
A pesar de la disponibilidad de tecnologías que pueden automatizar tareas, ahorrar tiempo y mejorar la concienciación sobre los riesgos, una parte significativa de las organizaciones sigue adoptando un enfoque manual para la gestión de riesgos de terceros (TPRM). Depender de hojas de cálculo y comunicaciones por correo electrónico dificulta el seguimiento y la gestión eficientes de proveedores, vendedores y socios. Las organizaciones deben pasar a utilizar tecnologías TPRM automatizadas para optimizar los procesos, aumentar la eficiencia y responder de manera eficaz al panorama dinámico de la protección de datos de terceros.
5 prácticas recomendadas para gestionar los riesgos relacionados con la protección de datos de terceros
Si la gestión de riesgos de datos de terceros fuera sencilla, todo el mundo la estaría aplicando. Sin embargo, muchas organizaciones saben que no han implementado todo lo que sus empresas necesitan para supervisar y gestionar los riesgos de seguridad de terceros. La situación puede ser peor en el caso de riesgos específicos, como la privacidad de los datos. Al igual que con la ciberseguridad, las empresas suelen quedarse cortas porque no han cuidado los aspectos básicos.
Estas son las mejores prácticas que recomendamos:
1. Establecer la rendición de cuentas
Es fundamental que exista claridad en la responsabilidad de la gestión de riesgos de datos de terceros. Un estudio de Forrester Research reveló que incluso las empresas que prestan atención a los riesgos de los proveedores y distribuidores suelen carecer de una gobernanza o responsabilidad sólida en materia de TPRM. La ausencia de una parte designada para supervisar los riesgos de terceros puede dar lugar a controles débiles o a una falta total de los mismos. Considere la posibilidad de formar un equipo multifuncional de protección de datos que incluya representantes de los departamentos jurídico, de seguridad informática, de auditoría interna y de gestión de proveedores para promover la responsabilidad, la definición de políticas y el compromiso con la protección de datos.
2. Alinearse con un marco
Las normativas especifican lo que hay que hacer, pero no necesariamente cómo hacerlo. Esta complejidad se intensifica cuando se trata con numerosos proveedores en diferentes ubicaciones, cada uno de ellos regido por su propio conjunto de leyes. La adopción de un marco adecuado de gestión de riesgos de terceros (TPRM) adaptado a su sector y a sus requisitos guía el proceso con las mejores prácticas establecidas. Esto garantiza el cumplimiento de las leyes y mantiene la seguridad de los datos. Marcos como el Marco TPRM de Shared Assessments, NIST 800-161, NIST CSF v.2.0 Draft, ISO 27001 e ISO 27036 ofrecen una orientación completa.
3. Manténgase alerta y sea diligente durante todo el ciclo de vida de los terceros.
Los riesgos relacionados con los datos persisten a lo largo de toda la relación de una empresa con proveedores externos, y van más allá de las auditorías de cumplimiento y la rescisión del contrato. Es fundamental mantener una protección constante desde el inicio hasta la eliminación de los datos, lo que abarca varias etapas clave:
Abastecimiento y selección
- Observe atentamente a los posibles terceros en las primeras etapas.
- Priorice la protección de datos en su solicitud de propuesta (RFP), solicitud de información (RFI) u otro tipo de solicitud, haciendo hincapié en los controles estrictos.
- Verifique las afirmaciones de los proveedores a través de fuentes externas, evaluando su situación financiera, reputación y violaciones de seguridad.
- Solicite pruebas de las medidas de seguridad, como el cumplimiento de los marcos de seguridad, los informes de auditoría y una posible calificación de seguridad por parte de un tercero objetivo, antes de formalizar los contratos.
Admisión e incorporación
- Incorporar controles de privacidad en los contratos con los proveedores, especificando claramente los requisitos.
- Establecer protocolos para el intercambio de datos, garantizando la notificación cuando los datos se compartan con terceros.
- Realizar la debida diligencia tareas, tales como:
- Evaluación de los controles de seguridad de los proveedores en comparación con los marcos normativos del sector, como los del NIST y la ISO.
- Supervisión de riesgos cibernéticos, violaciones de datos, problemas financieros, infracciones legales, cobertura mediática adversa y otros riesgos públicos.
- Identificar los posibles riesgos de los proveedores de cuarto y enésimo nivel que no eran evidentes durante el proceso de selección y contratación.
- Detección de riesgos reputacionales y de cumplimiento normativo en la cadena de suministro ampliada del proveedor.
- Certificar que los proveedores han cumplido los requisitos de cumplimiento «derivados» según el RGPD, CMMC, HIPAA y otras normativas.
Calificación del riesgo inherente
- Evaluar los riesgos inherentes a los proveedores, teniendo en cuenta su situación financiera, sus prácticas de seguridad y sus antecedentes en materia de violaciones de la seguridad.
- Utilizar cuestionarios y supervisión para la puntuación interna de riesgos, clasificando a los proveedores en función del riesgo inherente.
- Cree una matriz que combine la probabilidad y el impacto para evaluar y priorizar a los proveedores de manera eficiente.
Evaluación periódica de riesgos de terceros
- Realizar evaluaciones de riesgos periódicas y exhaustivas para los proveedores con riesgos inherentes más elevados.
- Analizar los controles de privacidad, evaluar el cumplimiento de las normativas e identificar los riesgos, alineándose con la tolerancia al riesgo.
- Cuantificar los riesgos basándose en los posibles costes organizativos, garantizando una evaluación continua.
Vigilancia continua de los riesgos
- Implementar un monitoreo automatizado y continuo para identificar riesgos emergentes de privacidad y validar las respuestas de los proveedores.
- Analizar la postura en materia de ciberseguridad, la ética empresarial, la situación financiera y el contexto geopolítico para garantizar una vigilancia continua.
- Adaptarse a los cambios en las prácticas de los proveedores mediante evaluaciones periódicas de riesgos.
Acuerdo de nivel de servicio (SLA) y gestión del rendimiento
- Garantizar el cumplimiento continuo de los requisitos de privacidad establecidos en los contratos con proveedores y distribuidores.
- Evalúe periódicamente el rendimiento de los proveedores, no solo durante la renovación, para mantener unos estándares de privacidad coherentes.
Desvinculación y rescisión
- Durante la celebración del contrato, revocar el acceso del proveedor a los sistemas, especialmente a aquellos que almacenan datos confidenciales.
- Verifique el borrado completo de los datos de los sistemas de los proveedores para mitigar los riesgos de manera eficaz.
- Abordar los riesgos relacionados con la protección de datos en los procesos de salida y despido, que muchas empresas suelen pasar por alto.
Al adoptar estas prácticas en cada etapa, las organizaciones pueden establecer un programa de gestión de riesgos de terceros sólido y eficiente, protegiendo los datos y manteniendo la privacidad en todas las relaciones con los proveedores.
4. No pase por alto el riesgo residual
Los riesgos residuales persisten incluso después de que los proveedores implementen las medidas necesarias. Comprender la tolerancia al riesgo de su organización es esencial para gestionar los riesgos residuales de manera eficaz. Compensar los riesgos residuales puede implicar exigir a los proveedores que implementen controles adicionales, especialmente en el caso de datos altamente sensibles. La norma ISO 27001 hace hincapié en la supervisión continua para abordar y gestionar los riesgos residuales de manera eficaz.
5. Elaborar informes pertinentes y eficaces.
La documentación de todas las actividades de gestión de riesgos de privacidad de datos de los proveedores es fundamental para el cumplimiento normativo y como prueba para las auditorías. Los informes deben demostrar el cumplimiento de las leyes de protección de datos, describir las medidas correctivas y atender a las necesidades de las distintas partes interesadas, incluidos los equipos de cumplimiento normativo, los equipos de seguridad, la dirección ejecutiva, los proveedores y el consejo de administración. El uso de una solución de gestión de riesgos de terceros agiliza la presentación de informes, en consonancia con los sistemas de GRC y de gestión de riesgos empresariales.
La adopción de estas cinco prácticas recomendadas constituye una base sólida para la protección integral de los datos de terceros. En un panorama en constante evolución, un enfoque proactivo garantiza la seguridad y la privacidad de sus datos a lo largo de la compleja red de relaciones con terceros.
Cómo puede ayudar Prevalent
Prevalent ofrece una plataforma única de gestión de riesgos de terceros que los equipos de toda la empresa pueden utilizar para colaborar en materia de riesgos de privacidad de datos de terceros. La plataforma TPRM de Prevalent:
- Ofrece visibilidad sobre dónde se encuentran los datos, cómo fluyen y quién tiene acceso a ellos.
- Acelera la identificación y corrección de riesgos, mitigando los costes de las infracciones y los daños a la reputación.
- Genera informes específicos para reguladores, proveedores y partes interesadas internas con el fin de colaborar en la reducción de riesgos.
- Se integra con otros procesos de gestión de riesgos de proveedores para una gestión centralizada de los riesgos de terceros.
Para obtener más información sobre cómo Prevalent puede ayudar a su organización a descubrir, gestionar y reducir los riesgos de privacidad de datos de terceros, descargue el informe técnico o póngase en contacto con nosotros para solicitar una demostración hoy mismo.
Tipos de riesgos de privacidad de datos de terceros
Las grandes empresas implementan tecnologías avanzadas para proteger sus sistemas, redes y datos, lo que dificulta a los ciberdelincuentes violarlos a través de los canales convencionales. Sin embargo, estas empresas no deben caer en la complacencia, ya que los actores maliciosos buscan constantemente puntos de entrada alternativos. En lugar de renunciar a sus intentos de acceder a datos valiosos, los ciberdelincuentes se dirigen a entidades más pequeñas: socios comerciales de terceros, cuartos y enésimos.
Estas pequeñas empresas, que disfrutan de conexiones y acceso a datos muy codiciados, se convierten en posibles puertas de entrada si se produce una violación de la seguridad. Es alarmante que casi la mitad de todos los ciberataques tengan como objetivo a las pequeñas empresas. A medida que las empresas y las economías globales digitalizan e integran servicios y datos, aumenta el riesgo y la probabilidad de que se produzcan violaciones de la seguridad.
La falta de una visión global de la extensa red de organizaciones que componen su ecosistema de proveedores y distribuidores dificulta la comprensión del flujo de datos, su destino y el nivel de protección que reciben. Por lo tanto, no es de extrañar que cada vez se produzcan más violaciones de datos de gran repercusión a través de vulnerabilidades de terceros.
Aumenta la presión para ampliar el cumplimiento de la normativa de privacidad de datos
En una época en la que las violaciones de datos suelen atribuirse a vulnerabilidades de terceros, es necesario y estratégico adoptar prácticas sólidas de gestión de riesgos de terceros. La entidad que recopila los datos es responsable de protegerlos, tal y como subrayan cada vez más normativas. Las organizaciones deben garantizar que sus proveedores y socios cumplan con una sólida gobernanza y controles de protección de datos, extendiendo estos requisitos a sus socios externos.
Nota de la Redacción: Este artículo se publicó originalmente en Prevalent.net. En octubre de 2024, Mitratech adquirió la empresa de gestión de riesgos de terceros basada en IA, Prevalent. El contenido se ha actualizado desde entonces para incluir información alineada con nuestras ofertas de productos, cambios normativos y cumplimiento.
