How to Apply NIST SP 800-53 Supply Chain Controls to Your Third-Party Risk Program

Las organizaciones pueden realizar evaluaciones especializadas, incluyendo verificación y validación, supervisión de sistemas, evaluaciones de amenazas internas, pruebas de usuarios maliciosos y otras formas de pruebas.

CA-2 (3) Evaluaciones de control | Aprovechamiento de los resultados de organizaciones externas

Las organizaciones pueden basarse en evaluaciones de control de los sistemas organizativos realizadas por otras organizaciones (externas).

Las evaluaciones deben gestionarse de forma centralizada y estar respaldadas por funciones de flujo de trabajo, gestión de tareas y revisión automatizada de pruebas para garantizar que su equipo tenga visibilidad de los riesgos de terceros a lo largo de todo el ciclo de vida de la relación.

Es importante destacar que una solución TPRM debe incluir recomendaciones de corrección integradas basadas en los resultados de la evaluación de riesgos, a fin de garantizar que sus terceros aborden los riesgos de manera oportuna y satisfactoria, y puedan proporcionar las pruebas adecuadas a los auditores.

As part of this process, continuously track and analyze external threats to third parties. Monitor the Internet and dark web for cyber threats and vulnerabilities, as well as public and private sources of reputational, sanction, and financial information.

Todos los datos de supervisión deben correlacionarse con los resultados de la evaluación y centralizarse en un registro de riesgos unificado para cada proveedor, lo que agiliza la revisión de riesgos, la presentación de informes, la corrección y las iniciativas de respuesta.

Asegúrese de incorporar datos operativos, reputacionales y financieros de terceros para añadir contexto a los hallazgos cibernéticos y medir el impacto de los incidentes a lo largo del tiempo.

If required, substitute third-party auditors SOC 2 reports for a vendor’s risk assessments. Review the list of control gaps identified within the SOC 2 report, create risk items against the third party, and track and report against deficiencies over time.

Coordinar el plan de contingencia con los planes de contingencia de los proveedores de servicios externos para garantizar que se puedan satisfacer los requisitos de contingencia.

IR-4 (10) Gestión de incidentes | Coordinación de la cadena de suministro

Coordinar las actividades de gestión de incidentes relacionados con la cadena de suministro con otras organizaciones involucradas en la cadena de suministro.

IR-5 Supervisión de incidentes

Seguir y documentar los incidentes.

IR-6 (3) Notificación de incidentes | Coordinación de la cadena de suministro

Proporcione información sobre el incidente al proveedor del producto o servicio y a otras organizaciones involucradas en la cadena de suministro o en la gobernanza de la cadena de suministro de los sistemas o componentes del sistema relacionados con el incidente.

IR-8(1) Plan de respuesta ante incidentes | Violaciones

Incluya lo siguiente en el Plan de respuesta ante incidentes para violaciones que impliquen información de identificación personal:

(a) Un proceso para determinar si es necesario notificar a personas u otras organizaciones, incluidas las organizaciones de supervisión.

(b) Un proceso de evaluación para determinar el alcance del daño, la vergüenza, las molestias o la injusticia causadas a las personas afectadas y cualquier mecanismo para mitigar dichos daños; y

(c) Identificación de los requisitos de privacidad aplicables.

Las capacidades clave incluyen:

• Cuestionarios de gestión de eventos e incidentes continuamente actualizados y personalizables.
• Seguimiento en tiempo real del progreso en la cumplimentación del cuestionario
• Responsables de riesgos definidos con recordatorios automáticos para mantener las encuestas dentro del calendario previsto.
• Informes proactivos de proveedores
• Vistas consolidadas de las calificaciones de riesgo, recuentos, puntuaciones y respuestas marcadas para cada proveedor.
• Reglas de flujo de trabajo para activar guías automatizadas que actúen sobre los riesgos según su impacto potencial en el negocio.
• Plantillas de informes integradas para partes interesadas internas y externas.
• Orientación a partir de recomendaciones de remediación integradas para reducir el riesgo.
• Mapeo de datos y relaciones para identificar las relaciones entre su organización y terceros, cuartos o enésimos para visualizar las rutas de información y revelar los datos en riesgo.

Además, considere la posibilidad de aprovechar las bases de datos que contienen varios años de historial de violaciones de datos de miles de empresas de todo el mundo, incluyendo los tipos y cantidades de datos robados, cuestiones de cumplimiento y normativas, y notificaciones en tiempo real de violaciones de datos de proveedores.

a. Desarrollar una estrategia integral para gestionar:

1. Riesgos de seguridad para las operaciones y los activos de la organización, las personas, otras organizaciones y la nación asociados con el funcionamiento y el uso de los sistemas de la organización; y

2. Riesgo para la privacidad de las personas derivado del tratamiento autorizado de información de identificación personal.

b. Implementar la estrategia de gestión de riesgos de manera coherente en toda la organización; y

c. Revisar y actualizar la estrategia de gestión de riesgos según sea necesario, para abordar los cambios organizativos.

PM-30 Supply Chain Risk Management Strategy

a. Desarrollar una estrategia para toda la organización con el fin de gestionar los riesgos de la cadena de suministro asociados con el desarrollo, la adquisición, el mantenimiento y la eliminación de sistemas, componentes de sistemas y servicios de sistemas.

b. Implementar la estrategia de gestión de riesgos de la cadena de suministro de manera coherente en toda la organización; y

c. Revisar y actualizar la estrategia de gestión de riesgos de la cadena de suministro con la frecuencia definida por la organización o según sea necesario, para abordar los cambios organizativos.

Seek out experts to collaborate with your team on:

• Definición e implementación de procesos y soluciones TPRM y C-SCRM.
• Selección de cuestionarios y marcos de evaluación de riesgos
• Optimizar su programa para abordar todo el ciclo de vida del riesgo de terceros, desde la contratación y la diligencia debida hasta la rescisión y la salida, de acuerdo con la tolerancia al riesgo de su organización.

Como parte de este proceso, debe definir:

• Funciones y responsabilidades claras (por ejemplo, RACI)
• Inventarios de terceros
• Puntuación de riesgos y umbrales basados en la tolerancia al riesgo de su organización.

Continually evaluate the effectiveness of your TPRM program according to changing business needs and priorities, measuring third-party vendor key performance indicators (KPIs) and key risk indicators (KRIs) through the relationship lifecycle.

Identificar, priorizar y evaluar a los proveedores de tecnologías, productos y servicios críticos o esenciales para la misión.

• Tipo de contenido necesario para validar los controles
• Importancia crítica para el rendimiento y las operaciones empresariales
• Ubicación(es) y consideraciones legales o normativas relacionadas
• Nivel de dependencia de terceros
• Exposición a procesos operativos o de atención al cliente
• Interacción con datos protegidos
• Situación financiera y salud
• Reputación

From this inherent risk assessment, your team can automatically tier suppliers, set appropriate levels of further diligence; and determine the scope of ongoing assessments.

La lógica de clasificación basada en reglas debería permitir la categorización de proveedores utilizando una serie de consideraciones relacionadas con la interacción de datos, las finanzas, la normativa y la reputación.

Desarrollar una estrategia de supervisión continua para toda la organización e implementar programas de supervisión continua que incluyan:

a. Establecer métricas para toda la organización que se supervisarán;

b. Establecer frecuencias definidas para el seguimiento y la evaluación de la eficacia de los controles.

c. Supervisión continua de los parámetros definidos por la organización de acuerdo con la estrategia de supervisión continua.

d. Correlación y análisis de la información generada por las evaluaciones de control y el seguimiento;

e. Medidas de respuesta para abordar los resultados del análisis de la evaluación del control y la información de seguimiento; y

f. Informar sobre el estado de seguridad y privacidad de los sistemas de la organización al personal designado.

Las fuentes de supervisión suelen incluir:

• Foros criminales; páginas onion; foros de acceso especial a la web oscura; fuentes de amenazas; y sitios de pegado para credenciales filtradas, así como varias comunidades de seguridad, repositorios de código y bases de datos de vulnerabilidades.
• Bases de datos que contienen varios años de historial de violaciones de datos de miles de empresas de todo el mundo.

Todos los datos de supervisión deben correlacionarse con los resultados de la evaluación y centralizarse en un registro de riesgos unificado para cada proveedor, lo que agiliza la revisión de riesgos, la presentación de informes, la corrección y las iniciativas de respuesta.

Una vez que todos los datos de evaluación y supervisión se hayan correlacionado en un registro central de riesgos, aplique una puntuación y priorización de riesgos según un modelo de probabilidad e impacto. Este modelo debe enmarcar los riesgos en una matriz, de modo que pueda ver fácilmente los riesgos de mayor impacto y priorizar las medidas correctivas para ellos.

Asignar propietarios y realizar un seguimiento de los riesgos y las medidas correctivas hasta alcanzar un nivel aceptable para la empresa.

Desarrollar, documentar y difundir:

1. Una política de evaluación de riesgos que:

(a) Aborda el propósito, el alcance, las funciones, las responsabilidades, el compromiso de la dirección, la coordinación entre las entidades organizativas y el cumplimiento; y

(b) Sea coherente con las leyes, órdenes ejecutivas, directivas, reglamentos, políticas, normas y directrices aplicables; y

2. Procedimientos para facilitar la aplicación de la política de evaluación de riesgos y los controles de evaluación de riesgos asociados.

b. Designar a un funcionario para que gestione el desarrollo, la documentación y la difusión de la política y los procedimientos de evaluación de riesgos; y

c. Revisar y actualizar la evaluación de riesgos actual:

1. Policy and

2. Procedures.

Realizar una priorización por nivel de impacto de los sistemas organizativos para obtener una mayor granularidad sobre los niveles de impacto de los sistemas.

(a) Evaluar los riesgos de la cadena de suministro asociados con los sistemas, componentes y servicios; y

(b) Actualizar la evaluación de riesgos de la cadena de suministro cuando se produzcan cambios significativos en la cadena de suministro pertinente, o cuando los cambios en el sistema, los entornos operativos u otras condiciones puedan requerir un cambio en la cadena de suministro.

Las evaluaciones deben gestionarse de forma centralizada y estar respaldadas por funciones de flujo de trabajo, gestión de tareas y revisión automatizada de pruebas, con el fin de garantizar que su equipo tenga visibilidad de los riesgos de terceros a lo largo de todo el ciclo de vida de la relación.

Es importante destacar que una solución TPRM debe incluir recomendaciones de corrección integradas basadas en los resultados de la evaluación de riesgos, a fin de garantizar que sus terceros aborden los riesgos de manera oportuna y satisfactoria, y puedan proporcionar las pruebas adecuadas a los auditores.

Utilizar información procedente de todas las fuentes para ayudar en el análisis de riesgos.

RA-3 (3) Evaluación de riesgos | Concienciación dinámica sobre amenazas

Determinar de forma continua el entorno actual de amenazas cibernéticas.

RA-3 (4) Evaluación de riesgos | Análisis cibernético predictivo

Emplee capacidades avanzadas de automatización y análisis para predecir e identificar riesgos.

RA-7 Respuesta al riesgo

Responder a los resultados de las evaluaciones de seguridad y privacidad, la supervisión y las auditorías de acuerdo con la tolerancia al riesgo de la organización.

Las fuentes de supervisión suelen incluir:

• Foros criminales; páginas onion; foros de acceso especial a la web oscura; fuentes de amenazas; y sitios de pegado para credenciales filtradas, así como varias comunidades de seguridad, repositorios de código y bases de datos de vulnerabilidades.
• Bases de datos que contienen varios años de historial de violaciones de datos de miles de empresas de todo el mundo.

Todos los datos de supervisión deben correlacionarse con los resultados de la evaluación y centralizarse en un registro de riesgos unificado para cada proveedor, lo que agiliza la revisión de riesgos, la presentación de informes, la corrección y las iniciativas de respuesta.

Una vez que todos los datos de evaluación y supervisión se hayan correlacionado en un registro central de riesgos, aplique una puntuación y priorización de riesgos según un modelo de probabilidad e impacto. Este modelo debe enmarcar los riesgos en una matriz, de modo que pueda ver fácilmente los riesgos de mayor impacto y priorizar las medidas correctivas.

Asignar propietarios y realizar un seguimiento de los riesgos y las medidas correctivas hasta alcanzar un nivel aceptable para la empresa.

Identificar los componentes y funciones críticos del sistema mediante la realización de un análisis de criticidad en puntos de decisión definidos del ciclo de vida del desarrollo del sistema.

Desarrollar, documentar y difundir:

1. Una política de gestión de riesgos de la cadena de suministro que:

(a) Aborda el propósito, el alcance, las funciones, las responsabilidades, el compromiso de la dirección, la coordinación entre las entidades organizativas y el cumplimiento; y

(b) Sea coherente con las leyes, órdenes ejecutivas, directivas, reglamentos, políticas, normas y directrices aplicables; y

2. Procedimientos para facilitar la implementación de la política de gestión de riesgos de la cadena de suministro y los controles asociados a la gestión de riesgos de la cadena de suministro.

b. Designar a un funcionario para que gestione el desarrollo, la documentación y la difusión de la política y los procedimientos de gestión de riesgos de la cadena de suministro; y

c. Revisar y actualizar la gestión actual de riesgos de la cadena de suministro:

1. Policy and

2. Procedures

a. Desarrollar un plan para gestionar los riesgos de la cadena de suministro asociados con la investigación y el desarrollo, el diseño, la fabricación, la adquisición, la entrega, la integración, las operaciones y el mantenimiento, y la eliminación de sistemas, componentes de sistemas o servicios de sistemas.

b. Revisar y actualizar el plan de gestión de riesgos de la cadena de suministro según sea necesario, para hacer frente a amenazas, cambios organizativos o ambientales; y

c. Proteger el plan de gestión de riesgos de la cadena de suministro contra la divulgación y modificación no autorizadas.

a. Establecer uno o varios procesos para identificar y abordar las debilidades o deficiencias en los elementos y procesos de la cadena de suministro, en coordinación con el personal de la cadena de suministro.

b. Emplear los siguientes controles para proteger contra los riesgos de la cadena de suministro para el sistema, los componentes del sistema o los servicios del sistema, y para limitar los daños o las consecuencias de los eventos relacionados con la cadena de suministro; y

c. Documentar los procesos y controles seleccionados e implementados en la cadena de suministro en el plan de gestión de riesgos de la cadena de suministro.

Emplear controles y análisis para garantizar la integridad del sistema y sus componentes mediante la validación de la composición interna y la procedencia de tecnologías, productos y servicios críticos o esenciales para la misión.

Emplear estrategias de adquisición, herramientas contractuales y métodos de aprovisionamiento para proteger, identificar y mitigar los riesgos de la cadena de suministro.

As all service providers are being centralized and reviewed, teams should create comprehensive vendor profiles that contain insight into a vendor’s demographic information, 4th-party technologies, ESG scores, recent business and reputational insights, data breach history, and recent financial performance.

Este nivel de diligencia debida crea un contexto más amplio para tomar decisiones sobre la selección de proveedores.

Evaluar y revisar los riesgos relacionados con la cadena de suministro asociados a los proveedores o contratistas y al sistema, componente del sistema o servicio del sistema que proporcionan.

Establecer acuerdos y procedimientos con las entidades involucradas en la cadena de suministro del sistema, los componentes del sistema o los servicios del sistema para la notificación de compromisos de la cadena de suministro, así como los resultados de las evaluaciones o auditorías.

• Seguimiento centralizado de todos los contratos y sus atributos, como el tipo, las fechas clave, el valor, los recordatorios y el estado, con vistas personalizadas basadas en funciones.
• Funciones de flujo de trabajo (basadas en el tipo de usuario o contrato) para automatizar el ciclo de vida de la gestión de contratos.
• Recordatorios automáticos y avisos de vencimiento para agilizar las revisiones de contratos.
• Discusión centralizada de contratos y seguimiento de comentarios
• Almacenamiento de contratos y documentos con permisos basados en roles y registros de auditoría de todos los accesos.
• Seguimiento del control de versiones que admite la edición de contratos y documentos sin conexión.
• Role-based permissions that enable allocation of duties, access to contracts, and read/write/modify access. With this capability, you can ensure that clear responsibilities and right-to-audit clauses are articulated in the vendor contract, and SLAs tracked and managed accordingly.

a. Desarrollar, documentar y mantener un inventario de proveedores que:

1. Refleja de forma precisa y mínima los proveedores de primer nivel de la organización que pueden suponer un riesgo para la ciberseguridad en la cadena de suministro.

2. ¿Se encuentra al nivel de detalle necesario para evaluar la criticidad y el riesgo de la cadena de suministro, realizar un seguimiento y elaborar informes?

3. Documenta la siguiente información para cada proveedor de primer nivel (por ejemplo, contratista principal): revisa y actualiza el inventario de proveedores.

i. Identificador único del instrumento de adquisición (es decir, contrato, tarea u orden de entrega);

ii. Descripción de los productos y/o servicios suministrados;

iii. Programa, proyecto y/o sistema que utiliza los productos y/o servicios del proveedor; y

iv. Nivel de criticidad asignado que se ajusta a la criticidad del programa, proyecto y/o sistema (o componente del sistema).

b. Revisar y actualizar el inventario de proveedores.

Importe proveedores mediante una plantilla de hoja de cálculo o a través de una conexión API a una solución de compras existente, eliminando los procesos manuales propensos a errores.

Rellene los datos clave de los proveedores con un formulario de admisión centralizado y personalizable y el flujo de trabajo asociado. Esto debería estar disponible para todos mediante una invitación por correo electrónico, sin necesidad de formación ni conocimientos especializados sobre la solución.

Build comprehensive supplier profiles that compare and monitor supplier demographics, geographic location, fourth-party technologies, and recent operational insights. Having this accumulated data will enable you to report on and take action against geographic and technology concentration risks especially.