Evaluación y gestión de los riesgos de seguridad de los proveedores de servicios (en 2023)
Si está considerando asociarse con un proveedor de servicios, es esencial tener en cuenta también los riesgos de seguridad que podrían presentar a su organización. En esta publicación, describimos los principales riesgos de ciberseguridad asociados con los proveedores de servicios y brindamos consejos para administrarlos y ayudarlo a beneficiarse de manera segura de esta estrategia para reducir los costos operativos.
Realice un recorrido por la solución de gestión de riesgos de proveedores de UpGuard >
Los 4 principales riesgos de seguridad asociados con los proveedores de servicios
Los principales riesgos de seguridad asociados con los proveedores de servicios son los siguientes.
1. Acceso a datos confidenciales
La principal desventaja de externalizar las operaciones internas a un proveedor de servicios es la probabilidad de proporcionar acceso a sus datos confidenciales. Aumentar el acceso a datos confidenciales podría violar los requisitos de cumplimiento normativo y aumentar las posibilidades de eventos de seguridad significativos, como ataques de ransomware y violaciones de datos de terceros.
Una violación de terceros ocurre cuando su organización se ve afectada cuando un proveedor de terceros sufre una violación de datos. Durante estos eventos, un proveedor encargado de procesar sus datos confidenciales se ve comprometido, por lo que cuando se violan, usted es violado.
Un proveedor de servicios con una postura de seguridad deficiente tiene más probabilidades de sufrir una violación de datos. Incluso si los acuerdos de nivel de servicio (SLA) limitan significativamente el acceso a recursos confidenciales, un MSSP con malas prácticas de seguridad podría, como mínimo, servir como una vía hacia su red privada, abriendo la puerta a amenazas cibernéticas sofisticadas como las amenazas persistentes avanzadas (APT).
Una mala postura de seguridad hace que usted y sus proveedores sean menos resistentes a los ciberataques sofisticados.
Al asociarse con un proveedor de servicios gestionados, la probabilidad de proporcionar acceso a datos confidenciales aumenta, ya que estas empresas gestionan activamente los servicios de TI, que incluyen tecnología crítica como la seguridad de la red, la infraestructura y la gestión de aplicaciones. La probabilidad aumenta aún más cuando se externalizan las tareas del programa de seguridad a un proveedor de servicios de seguridad administrado (MSSP), ya que estas operaciones abordan las tareas del centro de operaciones de seguridad (SOC) que interactúan con recursos confidenciales.
Dado que el acceso privilegiado suele ser inevitable en las relaciones entre MSP y MSSP, estos proveedores deben clasificarse como críticos y priorizarse en los esfuerzos de administración de riesgos de proveedores.
2. Controles de seguridad inadecuados
Los riesgos asociados con estándares de seguridad inadecuados siguen agravándose. Las medidas de seguridad generales deficientes significan que no se pueden detectar todas las amenazas de seguridad, lo que lleva a una detección de amenazas insuficiente, inteligencia de amenazas y mayores tiempos de respuesta, lo que en última instancia aumenta el impacto en su negocio si el proveedor de servicios se ve comprometido.
Aprenda a diseñar un plan de respuesta a incidentes >
Los controles de seguridad inadecuados incluyen prácticas de gestión de riesgos deficientes, métricas cibernéticas superficiales, flujos de trabajo de corrección ineficientes y una capacitación de conciencia interna deficiente. No asuma que los equipos de seguridad de TI de un MSP o MSSP tienen una buena higiene de ciberseguridad. Todos somos humanos. Cualquiera puede cometer un error involuntario que conduzca a una infección de malware, incluso el personal de seguridad de la información.
Aprenda a defenderse de los ataques de ransomware >
3. Falta de transparencia
Es posible que los proveedores de servicios no sean completamente transparentes con sus políticas de seguridad, estándares de seguridad de datos, prácticas de gestión de seguridad o su estrategia para mitigar los riesgos de los servicios en la nube de terceros, una categoría de vector de ataque crítico.
Sin transparencia en la información de seguridad, no sabrá cómo se manejan los datos de un proveedor de servicios o, peor aún, cómo planean manejar sus datos confidenciales.
4. Mala comunicación
Al igual que todos los proveedores externos, la calidad de las relaciones con los proveedores de servicios es proporcional a lo bien que se comunican con su equipo de tecnología de la información. Las comunicaciones eficientes reducirán los tiempos de respuesta a incidentes, lo que tendrá un impacto significativo en los costos de daños en caso de que ocurra una violación de datos.
La calidad del proceso de comunicación va más allá de métricas como la disponibilidad, la participación de las partes interesadas y los tiempos de respuesta a las consultas. La calidad de la comunicación de una relación con terceros en el contexto de la ciberseguridad está determinada por la rapidez con la que se completan las evaluaciones de riesgos cuando su equipo de TI envía evaluaciones de seguridad. Cuanto más rápido un proveedor de servicios pueda completar las evaluaciones de riesgos y los cuestionarios, más rápido podrá confirmar que cumple con los requisitos de seguridad especificados.
Aprenda a completar las evaluaciones de riesgos de los proveedores más rápido >
Cómo gestionar los riesgos de seguridad de los proveedores de servicios
El objetivo de un programa de ciberseguridad de terceros es reducir los riesgos inherentes de cada proveedor de servicios a niveles aceptables mediante la aplicación estratégica de controles de seguridad. La relación final entre los riesgos inherentes (el perfil de riesgo de un proveedor de servicios antes de que se apliquen los controles de seguridad) y los riesgos residuales (los niveles de riesgo resultantes después de que se implementen los controles de seguridad) debería estar dentro de su apetito de riesgo definido.
Conozca la diferencia entre riesgos inherentes y residuales >
Su apetito de riesgo es la piedra angular de todos los esfuerzos de gestión de riesgos, por lo que si aún no lo ha calculado, asegúrese de hacerlo antes de seguir estos consejos de gestión.
Aprende a calcular tu apetito por el riesgo >
1. Realizar la debida diligencia
La debida diligencia adecuada del proveedor de servicios garantizará que conozca los niveles de riesgo inherentes de un posible proveedor de servicios antes de la incorporación. Este conocimiento avanzado ayudará a los equipos de seguridad a decidir si los recursos necesarios para reducir los riesgos inherentes de un proveedor de servicios a niveles aceptables valen la pena.
La debida diligencia implica la recopilación de pruebas para formar el perfil de riesgo inicial de un proveedor a través de múltiples fuentes, incluidos cuestionarios de seguridad, certificaciones y escaneos de seguridad de los recursos de TI de cara al público.
Más información sobre la diligencia debida de los proveedores >
2. No subcontrate todos los recursos de seguridad a MSP y MSSP
>Los servicios de seguridad gestionados son útiles para encargarse de las tareas que consumen mucho tiempo, como la gestión de SIEM, las configuraciones de firewall, la autenticación de usuarios dentro del acceso a la red Zero Trust (ZTNA) y la eliminación de falsos positivos. Sin embargo, estos servicios deben aumentarse con iniciativas internas de ciberseguridad y no reemplazarlos por completo.
Un servicio de seguridad gestionado debe complementar sus operaciones de seguridad internas y no sustituirlas por completo.
Incluso cuando un programa de ciberseguridad se externaliza a un servicio gestionado, como la gestión de riesgos de terceros, se debe mantener la conectividad con el personal interno de ciberseguridad para supervisar los niveles de acceso y el manejo de datos confidenciales por parte del MSP. Una plataforma de gestión de riesgos de proveedores todo en uno es una herramienta excelente para estos escenarios, ya que permite a los equipos de seguridad internos mantener la visibilidad y el control de todos los procesos gestionados de TPRM.
Un MSP que gestiona el desbordamiento de tareas de ciberseguridad reduce el riesgo de tiempo de inactividad y violaciones de SLA.
Aprenda a elegir el software de automatización de cuestionarios de seguridad >
3. Implementar un programa de gestion de riesgos de proveedores
La implementación de un programa de gestión de riesgos de proveedores eliminará la mayor parte de los problemas de seguridad relacionados con los proveedores. Un programa VRM garantiza que los riesgos inherentes del proveedor permanezcan dentro de niveles aceptables a lo largo de toda la relación con el proveedor.
Un programa VRM recopila información sobre la postura de seguridad de un proveedor a partir de cuestionarios y evaluaciones. Cuando estas evaluaciones se asignan a regulaciones y marcos populares, como NIST y PCI DSS, resaltan las brechas de cumplimiento, lo que reduce la resistencia a las amenazas cibernéticas, una conciencia que lo ayuda a realizar un seguimiento de los cambios en la postura de seguridad de los proveedores de servicios a lo largo del tiempo.
El marco cibernético y la detección de brechas en el cumplimiento de la normativa aumentan la eficiencia de los esfuerzos de corrección de riesgos, lo que garantiza que sus proveedores de servicios se recuperen más rápido de los declives de la postura de seguridad. Para mejorar aún más los beneficios de la concienciación sobre la criticidad del riesgo cibernético, una plataforma VRM ideal debe proyectar el impacto de las tareas de corrección seleccionadas en la postura de seguridad de una organización. Esto ayudará a los equipos de seguridad internos y externos a priorizar las tareas de corrección con los beneficios más significativos de la postura de seguridad, lo que lo ayudará a administrar los riesgos de seguridad de su proveedor de servicios de manera más eficiente.
UpGuard ofrece un servicio de gestión de riesgos de terceros para sus proveedores críticos o todo su proceso de TPRM para ayudarlo a escalar de manera eficiente su programa de TPRM.
Al incluir un portal de TPRMs dentro de su plataforma, UpGuard garantiza que su equipo de seguridad interno permanezca informado y en control de su programa de TPRM dentro del contexto de la gestión de riesgos de los proveedores y las iniciativas internas de prevención de violaciones de datos.
Mire este video para obtener una descripción general de los servicios de gestión de riesgos de terceros de UpGuard.