La violación de la cadena de suministro de SolarWinds sigue causando estragos entre los clientes de Orion de todo el mundo, que continúan identificando y mitigando sus riesgos. Consciente del impacto potencialmente perjudicial para las operaciones de las empresas, Prevalent publicó una evaluación gratuita de la gestión de eventos e incidentes para sus clientes poco después de que se informara por primera vez de la violación en diciembre de 2020. El objetivo de esta encuesta era permitir a nuestros clientes obtener la visibilidad que tanto necesitan sobre los riesgos entre sus comunidades de proveedores, para que puedan tomar las medidas correctivas adecuadas.
Lo que aprendimos de los resultados de la encuesta fue alentador y revelador.
Alcance e impacto de la violación de SolarWinds en terceros
Prevalent lanzó nuestra evaluación gratuita de gestión de incidentes y eventos de SolarWinds a los proveedores de nuestras redes de riesgos de terceros. El análisis de los datos de respuesta de estas evaluaciones muestra tanto la magnitud como el impacto de la violación. Entre la población de proveedores de la red Prevalent, solo un pequeño porcentaje calificó el impacto de la violación como bajo o nulo.
- Magnitud de la violación: En general, el 16 % de los proveedores de la red Vendor Risk Networks de Prevalent tenían instalada una versión de Orion que fue comprometida por los atacantes.
- Impacto de la violación: el 5 % de los terceros evaluados admitieron haber sido afectados por la violación de SolarWinds. De ellos, el 34 % consideró que el impacto en la red, las operaciones o la seguridad era bajo, y ningún tercero informó de un impacto crítico para la prestación de servicios.
Los tres principales riesgos para los proveedores derivados de la brecha de seguridad de SolarWinds
Sin embargo, más reveladores fueron los resultados, ya que más de un tercio de las partes afectadas indicaron que carecían de políticas de notificación a los clientes y de gestión de incidentes.
- Notificaciones limitadas a los clientes: el 40 % de las partes afectadas no contaba con un proceso formal para notificar a sus clientes.
- Política limitada de gestión de incidentes: el 37 % de las partes afectadas no contaba con una política documentada de gestión de incidentes para responder a la violación de SolarWinds.
- La mitigación avanza lentamente: el 16 % de las partes afectadas seguían aplicando activamente controles para mitigar el ataque, pero solo el 9 % no había podido aplicar plenamente las medidas de mitigación contra el ataque a SolarWinds.
Recomendaciones para mejorar la gestión de riesgos de terceros ante violaciones de seguridad como la de SolarWinds
Los datos de respuesta de la evaluación gratuita de SolarWinds realizada por Prevalent muestran claramente que demasiadas empresas se vieron sorprendidas por esta violación, lo que puso de manifiesto las deficiencias de los procesos internos en materia de notificación a los clientes y las limitaciones en la gestión de incidentes.
Para hacer frente a estos riesgos, Prevalent recomienda a las organizaciones lo siguiente:
- Establezca un plan de comunicación con los clientes como parte de un plan general de respuesta ante incidentes. Este plan debe ser personalizable y adaptable a los requisitos específicos de su empresa, e incluir pasos claros para notificar a las partes pertinentes, desde clientes y terceros hasta el público en general. Contar con un plan de este tipo, que incluya los factores desencadenantes para activarlo, ayudaría a su organización a demostrar a sus principales partes interesadas que tiene el incidente bajo control y que está investigando a fondo su impacto.
- Elabore y aplique un plan de continuidad del negocio que incluya directrices para la gestión de incidentes y su escalamiento. Las crisis pueden adoptar muchas formas, desde la pandemia actual hasta una violación de seguridad como la de SolarWinds. Por lo tanto, contar con un plan adaptable de continuidad del negocio y respuesta a incidentes demuestra que su organización es previsora y planifica todas las contingencias.
- Implemente una clasificación y un perfilado avanzados para garantizar que los proveedores más críticos se evalúen en función de los riesgos más importantes para su negocio. Contar con una estructura de clasificación lógica acelerará la detección de proveedores en riesgo y la mitigación de riesgos.
- Unifique las evaluaciones periódicas
con la supervisión continua para validar los resultados de las evaluaciones y obtener una visión casi en tiempo real de los riesgos de ciberseguridad y reputación de los proveedores. Esta visión le proporcionará una mayor confianza para detectar los riesgos potenciales antes de que afecten a su negocio.
Cómo puede ayudar Prevalent
Si aún está determinando el impacto de la violación de SolarWinds en sus terceros, póngase en contacto con Prevalent hoy mismo. A través de nuestra solución de gestión de riesgos de terceros y nuestra comunidad de socios certificados, hemos ayudado a las organizaciones a obtener visibilidad de los riesgos en este tipo de eventos en miles de proveedores en tan solo dos semanas.
Nota de la Redacción: Este artículo se publicó originalmente en Prevalent.net. En octubre de 2024, Mitratech adquirió la empresa de gestión de riesgos de terceros basada en IA, Prevalent. El contenido se ha actualizado desde entonces para incluir información alineada con nuestras ofertas de productos, cambios normativos y cumplimiento.
