Como director ejecutivo o miembro del consejo de administración de su empresa, la gestión de riesgos de terceros debe ser una prioridad.
Aquí hay cinco cosas que debes saber:
1. Los contratos ya no son suficientes para proteger el negocio.
Los contratos son increíblemente importantes, sin embargo, no proporcionan la visibilidad que necesita para reducir los riesgos asociados con las violaciones de datos. Lograr una visibilidad adecuada y supervisar el cumplimiento de las normas y mejores prácticas de ciberseguridad por parte de sus proveedores externos es ahora un requisito de muchas directrices normativas y de seguridad, entre ellas PCI 3.0, OCC, HIPAA Omnibus y la SEC.
Es importante señalar que, para cumplir con estos requisitos normativos y de seguridad de los datos, los contratos con sus proveedores externos deben incluir cláusulas que le otorguen expresamente el derecho a realizar evaluaciones, así como la autoridad para supervisar a sus proveedores externos de forma continua.
2. Una violación de los datos de sus clientes o pacientes por parte de un tercero es SU responsabilidad.
El concepto de que externalizar una función empresarial elimina efectivamente su responsabilidad por la seguridad de los datos de sus clientes ya no es una práctica comercial aceptable. La diligencia debida con los proveedores externos que tienen acceso a datos confidenciales se considera a menudo la única forma de reducir el riesgo, comprender las áreas que deben mejorarse y demostrar la debida diligencia. Ciertos organismos reguladores asocian automáticamente la falta de diligencia debida y de diligencia debida con un aumento de la responsabilidad (y los costes).
3. Una evaluación única y puntual ya no es suficiente.
La mayoría de los programas de gestión de riesgos de terceros comienzan como una iniciativa de cumplimiento normativo, con evaluaciones puntuales realizadas durante el proceso de contratación o inmediatamente después. En muchos casos, esta era la única vez que se realizaba una evaluación. El ritmo de la innovación tecnológica es vertiginoso. Organizaciones de todos los tamaños están trasladando más datos a la nube y a aplicaciones móviles. Si bien esto puede aumentar la eficiencia y reducir los costos, ¿no le gustaría saber que esto sucedió en un proveedor de servicios, antes de recibir una notificación de violación? Ahora es necesario realizar evaluaciones continuas y ejercicios de monitoreo de amenazas para comprender mejor los riesgos en constante evolución que representan los proveedores externos para sus datos.
4. El riesgo de terceros debe formar parte de su plan de ciberseguridad.
La gestión de riesgos de terceros es una función de seguridad, así como un requisito de cumplimiento normativo. Cuando se cuenta con un plan de ciberseguridad que solo se centra en la seguridad interna, se corre el riesgo de pasar por alto el 50 % del problema. Numerosos estudios han demostrado que los terceros representan entre el 40 % y el 80 % de los riesgos asociados a las violaciones de datos. Garantizar una amplia cobertura de ciberseguridad significa comprender los riesgos que plantean tanto sus proveedores externos como los proveedores de estos (cuartos).
Es importante señalar también que comprender dónde se encuentran sus datos, tanto interna como externamente, le ayuda a aislar mejor sus riesgos y a comprender dónde debe centrar sus esfuerzos.
5. Su CISO (o equivalente) debe informar de estos riesgos directamente al consejo de administración.
Debe tomar medidas para garantizar que usted, su equipo directivo y su junta directiva obtengan la información necesaria para tomar decisiones oportunas, reducir el riesgo de violación de datos y proteger su marca. Una de las formas de lograrlo es alineando el gasto con las prioridades de seguridad, que a menudo quedan relegadas a un segundo plano frente a otras iniciativas tecnológicas. Esto también ayudará a reducir la fricción que existe entre sus ejecutivos en lo que respecta a las prioridades de gasto.
La realidad es que un CISO exitoso que ha reducido los riesgos de seguridad de una empresa puede no parecer eficiente a simple vista. Pero si se analiza más a fondo, se verá que está ayudando a la empresa a ahorrar entre decenas y cientos de millones de dólares en pérdidas de ingresos, multas y daños a la marca mediante la prevención de violaciones de datos por parte de terceros. Hablar directamente con su CISO le ayudará a comprender mejor los riesgos para tomar decisiones y ajustar los gastos.
Recuerde que las situaciones de crisis suelen dar lugar a decisiones precipitadas que pueden crear más problemas a largo plazo. Decida ahora y prepare un plan sobre lo que usted, su equipo directivo y su consejo de administración harán para proteger su negocio y su reputación, en caso de que su empresa se vea afectada por lo impensable.
Nota de la Redacción: Este artículo se publicó originalmente en Prevalent.net. En octubre de 2024, Mitratech adquirió la empresa de gestión de riesgos de terceros basada en IA, Prevalent. El contenido se ha actualizado desde entonces para incluir información alineada con nuestras ofertas de productos, cambios normativos y cumplimiento.
