En la actualidad, las brechas de seguridad causadas por proveedores externos y proveedores de servicios se han convertido en un problema importante y creciente para las organizaciones. Los ataques a la cadena de suministro, también conocidos como Supply Chain Attacks, están en aumento. Según una encuesta realizada el año pasado, el 61% de las organizaciones estadounidenses encuestadas afirmaron haber sufrido una brecha de seguridad causada por uno de sus proveedores o un tercero. Además, el 75% de ellas creía que este tipo de incidentes iban a aumentar en el futuro.

La creciente complejidad del panorama de terceros es en gran parte responsable de esta situación, según revela una encuesta realizada por Opus/Ponemon Institute. Aunque las empresas encuestadas afirmaron compartir información confidencial y sensible con hasta 583 terceros en promedio, apenas una tercera parte tenía un inventario de estas entidades. Además, el 69% de las organizaciones no tenía un control centralizado sobre los terceros y más del 60% carecía de recursos adecuados para gestionar el riesgo de terceros.

En otra encuesta realizada este año por BitSight y el Center for Financial Professionals, el 97% de las empresas de servicios financieros afirmaron que el riesgo de terceros se estaba convirtiendo en una preocupación importante. Casi el 80% de las empresas afirmaron haber terminado una relación comercial o haberla reducido debido a problemas de ciberseguridad. Apenas el 22% dijo que monitoreaba continuamente el riesgo cibernético de terceros.

La gestión de los riesgos de terceros es un desafío complejo. Estos riesgos son difíciles de identificar, complicados de cuantificar y costosos de abordar, según Steve Durbin, director ejecutivo del Information Security Forum. A continuación, presentamos algunos consejos de Durbin y otros expertos en seguridad para gestionar los riesgos de terceros:

Estipular requisitos de seguridad en los contratos

Es fundamental incluir requisitos de seguridad y mitigación de riesgos en los contratos de una organización con proveedores y proveedores de servicios externos. Estos requisitos deben incluir la capacidad de auditar las prácticas de seguridad y los planes de continuidad del negocio de los terceros, establecer estándares de rendimiento y definir claramente los términos de incumplimiento y terminación. El contrato también debe incluir disposiciones que regulen el uso de proveedores de servicios con sede en el extranjero y establecer reglas de gobernanza de datos y subcontratación de proveedores.

Realizar evaluaciones estandarizadas de proveedores

Las evaluaciones de proveedores son fundamentales para la gestión del riesgo de terceros. Sin embargo, la forma en que se realicen puede marcar la diferencia entre comprender completamente el perfil de riesgo de un proveedor o tener solo una visión parcial del mismo. La clave está en no reinventar la rueda cada vez que se desee evaluar la postura de ciberseguridad de un proveedor. Es importante utilizar y aceptar contenido de cuestionarios estandarizados, como el cuestionario de Recopilación de Información Estandarizada (SIG, por sus siglas en inglés), que cubre todas las áreas de gestión de riesgos de terceros y ha sido perfeccionado por cientos de expertos en la materia durante 14 años.

La gestión del riesgo de terceros es una categoría tan amplia que es imposible ser un experto en todos los aspectos, como ciberseguridad, privacidad, estabilidad financiera, cumplimiento normativo y resiliencia operativa. Por ello, es importante conocer a expertos en la materia en su industria y unirse a organizaciones impulsadas por sus miembros, como Shared Assessments, que discuten y educan sobre la gestión del riesgo de terceros.

En conclusión, la gestión de los riesgos de terceros es esencial para proteger la seguridad y la continuidad del negocio de una organización. Establecer requisitos de seguridad en los contratos y realizar evaluaciones estandarizadas de proveedores son medidas clave para mitigar los riesgos asociados con terceros. Al tomar estas precauciones, las organizaciones pueden reducir la probabilidad de sufrir brechas de seguridad causadas por terceros y proteger su reputación y sus activos.