Las organizaciones deben priorizar la protección de su ecosistema de proveedores terceros ante el aumento de los ciberataques.
La gestión del riesgo de terceros no es solo un problema de TI, sino también un problema empresarial.
Mediante un enfoque holístico, las empresas pueden aumentar su ciberresiliencia y convertirla en una ventaja competitiva.
Tras el reciente hackeo de MOVEit, está claro que las organizaciones deben hacer más para proteger su ecosistema de proveedores. De hecho, una investigación de SecurityScorecard y el Cyentia Institute reveló que el 98% de las organizaciones hacen negocios con un tercero que ha sufrido una brecha. El informe también reveló que la empresa promedio tiene 11 relaciones con terceros y cientos de relaciones indirectas relaciones de cuarto y enésimo nivel. En resumen: un ataque en expansión hace que las empresas sean más vulnerables a los ciberataques.
¿Qué hace el Foro Económico Mundial en materia de ciberseguridad?
El Centro de Ciberseguridad ofrece una plataforma de confianza donde los líderes se reúnen para comprender los riesgos cibernéticos en evolución y sus implicaciones sistémicas. Se centra en generar comprensión y confianza en un mundo digital cada vez más interconectado.
Al facilitar la colaboración intersectorial y el intercambio de conocimientos, el Centro ayuda a sus socios a fortalecer la ciberresiliencia y a abordar retos que requieren respuestas colectivas.
Incluso las organizaciones que cuentan con un programa de gestión del riesgo de terceros (TPRM) pueden seguir teniendo problemas, porque supervisar periódicamente el cumplimiento de los proveedores puede resultar difícil sin el nivel adecuado de respaldo. Aunque muchas organizaciones tienen un equipo de TI o de seguridad de la información (InfoSec), esos departamentos podrían no ser los más adecuados para dirigir el TPRM. Aunque son competentes en el ámbito técnico, aún deben considerarse el cumplimiento normativo, la gestión de contratos y la relación con los proveedores. En lugar de asignar más trabajo a un departamento que ya está muy sobrecargado, un enfoque más holístico del TPRM puede ayudar.
Gestión del riesgo de terceros: no solo un problema de TI
Al abordar la gestión del riesgo de terceros, es fundamental establecer procesos y directrices sobre cómo se recopilan los datos, cómo se revisan las respuestas y cómo se subsanan los problemas. Además, seleccionar una solución de cuestionarios y recopilación de evidencias ayudará a que el proceso sea más fluido y reduzca el riesgo de verse abrumado por correos electrónicos constantes y múltiples fuentes de datos. Con esta tecnología implementada, las organizaciones están mejor posicionadas para aumentar su ciberresiliencia y reducir el riesgo en todo el ecosistema de proveedores.
La gestión del riesgo de proveedores puede parecer un problema de TI, pero en realidad es un problema empresarial. Si las empresas quieren que sus clientes confíen en ellas, primero deben confiar en sus proveedores. Cuando más departamentos integren las mejores prácticas de TPRM en sus flujos de trabajo diarios, antes de que el riesgo de proveedores se convierta en un problema, la gestión de este riesgo pasará de ser un punto débil a una fortaleza.
5 mejores prácticas para gestionar eficazmente el riesgo cibernético de terceros
Para gestionar eficazmente el riesgo de terceros y garantizar que su organización se mantenga segura, es importante implementar las siguientes mejores prácticas:
1) Evaluar el riesgo de terceros
Al evaluar el riesgo que representa un tercero, es importante centrarse en las áreas más críticas para su negocio. Además, delimitar la evaluación en función del riesgo inherente y de los datos de los proveedores garantiza que destine recursos a las áreas con mayor probabilidad de ser blanco de los atacantes. Esto implica adoptar un enfoque basado en el riesgo para sus evaluaciones y aprovechar los datos de riesgo cibernético para comprender mejor la postura de seguridad de cada proveedor.
2) Identificar ineficiencias en los flujos de trabajo
No basta con evaluar el riesgo que representan los proveedores terceros; también es necesario identificar las ineficiencias en sus propios procesos y flujos de trabajo. Así podrá incorporar a su hoja de ruta soluciones que aborden estas ineficiencias y mejoren su postura general de seguridad. Esto incluye revisar desde los procesos de incorporación de proveedores hasta los flujos de respuesta a incidentes, e identificar las áreas en las que la automatización y la simplificación pueden ayudar.
3) Alinear las evaluaciones de controles internos y externos
Para gestionar eficazmente el riesgo de terceros, es importante alinear las evaluaciones de sus controles internos y externos. Esto implica garantizar que los controles que utiliza para gestionar el riesgo internamente correspondan a riesgos similares entre los proveedores terceros. Así podrá asegurarse de que todos hablen el mismo idioma en materia de gestión de riesgos y de que no existan lagunas ni incoherencias en su enfoque.
4) Incorporar la supervisión continua
No basta con evaluar el riesgo de terceros una sola vez y pasar a otra cosa. Para garantizar la seguridad continua, es necesario incorporar la supervisión continua a sus procesos. Aprovechar la automatización para supervisar a sus proveedores en tiempo real, señalar cualquier posible problema en cuanto surja y trabajar con sus terceros para subsanar esos problemas son formas de adelantarse en la respuesta a las amenazas y de asegurarse de estar siempre al día con los riesgos más recientes.
5) Priorizar la visibilidad en tiempo real
Desde el momento en que un proveedor se incorpora hasta que se da de baja, es importante hacer un seguimiento continuo de su salud cibernética. Así podrá identificar cualquier posible riesgo o problema en cuanto surja y tomar medidas para mitigarlo antes de que se convierta en un problema grave. Esto implica aprovechar la automatización y la supervisión en tiempo real para tener siempre una visión clara de la postura de riesgo de sus proveedores.
