¿Qué es el riesgo de terceros?

El riesgo de terceros es cualquier riesgo provocado por partes externas en una organización en su ecosistema o cadena de suministro. Dichas partes pueden incluir vendedores, proveedores, socios, contratistas o proveedores de servicios, que tienen acceso a datos internos de la empresa o del cliente, sistemas, procesos u otra información privilegiada.

Si bien una organización puede contar con fuertes medidas de ciberseguridad y un sólido plan de corrección, es posible que las partes externas, como los proveedores externos, no mantengan los mismos estándares. Estas relaciones con terceros pueden aumentar las vulnerabilidades al proporcionar una forma más fácil para que las amenazas potenciales ataquen incluso los sistemas de seguridad más sofisticados.

Descubra cómo UpGuard optimiza la gestión de riesgos de los proveedores >

¿Por qué debería preocuparme por el riesgo de terceros?

Dado que la mayoría de las organizaciones confían en la externalización para gestionar al menos algunos aspectos de sus operaciones diarias, el riesgo de terceros debe ser una prioridad. Esto es especialmente cierto dado el creciente número de violaciones de seguridad que surgen de las relaciones con terceros.

Un estudio reciente muestra que casi un tercio de los proveedores externos se considerarían un riesgo material si se produjera una infracción. Además, otro estudio reveló que el 80% de las organizaciones encuestadas experimentaron una violación de datos originada por un tercero en 2020.

En última instancia, la junta directiva y la alta dirección de su organización son responsables de gestionar las relaciones con terceros. La identificación y el control de los riesgos asociados deben estar sujetos al mismo estándar que las actividades que se manejan desde dentro de la organización.

A pesar de los numerosos riesgos que surgen de las relaciones con terceros a lo largo del ciclo de vida de los proveedores, muchas organizaciones todavía no gestionan los riesgos de terceros con la misma diligencia que los internos.

La falta de gestión de estos riesgos puede dejar a las organizaciones expuestas a medidas regulatorias, acciones financieras, litigios, daños a la reputación y puede perjudicar la capacidad de la organización para obtener nuevos clientes o dar servicio a los existentes.

Aprenda a gestionar los riesgos de los proveedores de servicios >

Tipos de riesgos de terceros

Hay muchos riesgos potenciales que los terceros pueden aportar a una organización, que abarcan seis áreas clave:

• Riesgo de ciberseguridad: el riesgo de exposición o pérdida resultante de un ataque cibernético, una violación de datos u otros incidentes de seguridad. Este riesgo a menudo se mitiga mediante la realización de la debida diligencia antes de incorporar nuevos proveedores y la supervisión continua durante el ciclo de vida del proveedor.
• Riesgo operativo: El riesgo de que un tercero cause interrupciones en las operaciones comerciales. Por lo general, esto se gestiona a través de acuerdos de nivel de servicio (SLA) vinculados contractualmente. Dependiendo de la importancia del proveedor, puede optar por tener un proveedor de respaldo para garantizar la continuidad del negocio. Esta es una práctica común para las instituciones financieras.
• Riesgo legal, regulatorio y de cumplimiento: el riesgo de que un tercero afecte el cumplimiento de su organización con la legislación, la regulación o los acuerdos locales, por ejemplo, el Reglamento General de Protección de Datos (RGPD) de la UE. Esto es particularmente importante para los servicios financieros, la atención médica y las organizaciones gubernamentales, así como para sus socios comerciales.
• Riesgo reputacional: Es el riesgo derivado de una opinión pública negativa provocada por un tercero. Los clientes insatisfechos, las interacciones inapropiadas y las malas recomendaciones son solo la punta del iceberg. Los eventos más dañinos son las violaciones de datos de terceros como resultado de controles de seguridad deficientes, como la violación de datos de alto perfil de Target en 2013.
• Riesgo financiero: El riesgo de que un tercero tenga un impacto perjudicial en el éxito financiero de su organización. Por ejemplo, es posible que su organización no pueda vender un nuevo producto debido a una mala gestión de la cadena de suministro.
• Riesgo estratégico: el riesgo de que su organización no cumpla con sus objetivos comerciales debido a un proveedor externo.

Vale la pena señalar que estas áreas a menudo se superponen, por ejemplo, si una empresa experimenta una violación de ciberseguridad y los datos de los clientes se ven comprometidos, esto también plantearía riesgos operativos, de cumplimiento, de reputación y financieros.

Obtén información sobre cómo comunicar el riesgo de terceros a la Junta Directiva >

¿Cómo puedo minimizar los riesgos de terceros?

La acción inmediata que deberá tomar para mitigar los riesgos de terceros depende del estado del programa de administración de riesgos de terceros (TPRM) de su organización. En primer lugar, debe evaluar su programa actual de TPRM para identificar qué medidas de seguridad, si las hay, tiene actualmente implementadas. En pocas palabras, las etapas iniciales del proceso de gestión de riesgos del proveedor deben cubrir:

1. Mantenga un inventario actualizado de los proveedores

¿Quiénes son sus proveedores? Primero debe identificar con precisión quiénes son sus proveedores. Un proveedor externo es cualquier persona u organización que proporciona un producto o servicio a su organización, que no trabaja en su organización, por ejemplo, fabricantes y proveedores, proveedores de servicios, contratistas a corto y largo plazo y personal externo. El inventario debe mantenerse actualizado, realizar un seguimiento de los flujos de trabajo de incorporación y salida, y extenderse a terceros (los proveedores de su proveedor externo).

Para automatizar el proceso de descubrimiento de nuevos proveedores y activos de terceros, los equipos de gestión de riesgos deben utilizar una solución de gestión de la superficie de ataque.seguimiento de las direcciones IP emergentes en su superficie de ataque en tiempo real.

Para obtener una descripción general de cómo mantener un inventario actualizado de sus activos digitales con técnicas de gestión de la superficie de ataque, vea este video.

Obtenga más información sobre las principales soluciones de gestión de superficie expuesta a ataques >

2. Establecer un proceso de evaluación de proveedores

Después de crear un inventario completo de proveedores, debe desarrollar un flujo de trabajo de evaluación de riesgos de terceros. Las organizaciones utilizan este proceso para evaluar y aprobar a los posibles proveedores y proveedores externos para asegurarse de que pueden cumplir con todas las estipulaciones y acuerdos contratados. En esta etapa, debe incluir una plantilla de cuestionario de proveedor para agilizar la incorporación de nuevos proveedores y la evaluación de los proveedores actuales.

La evaluación de riesgos de los proveedores podría revelar los siguientes datos valiosos de mitigación de riesgos:

• Información de riesgo y cumplimiento: los datos de evaluación de riesgos indicarán brechas de cumplimiento normativo.
• Eficacia de la gestión de proveedores: la eficacia del programa VRM de un proveedor indicará la probabilidad de que se vea afectado por los riesgos de terceros.
• Niveles de postura de seguridad: la evaluación de riesgos proporciona información más detallada sobre la postura de seguridad de un proveedor. Cuando está respaldado por clasificaciones de seguridad, este proceso le permite realizar un seguimiento de los niveles de ciberseguridad de cada proveedor con respecto a los estándares de la industria.

Para comprender la estructura ideal de un flujo de trabajo de evaluación de riesgos, vea este vídeo:

Realice un recorrido autoguiado por la solución de gestión de riesgos de proveedores de UpGUard >

3. Implementar un programa de gestión de riesgos de terceros

Si bien estas medidas son importantes para establecer una base sólida para el MEPC, no son suficientes por sí solas. Un programa eficaz de gestión de riesgos de terceros también debe tener en cuenta lo siguiente:

• La mayoría de las grandes organizaciones gestionan cientos o miles de proveedores, cada uno de los cuales presenta diferentes niveles de riesgo. Cada nivel de riesgo tiene un proceso único de debida diligencia y evaluación de riesgos y otros requisitos específicos del nivel, lo que significa que su equipo de seguridad de la información deberá categorizar individualmente a cada proveedor en consecuencia. También tendrán que colaborar con los proveedores para solicitar la cumplimentación del cuestionario sobre el perfil de riesgos y comunicar la importancia de la RPT dentro de la organización.
• La gestión de un número tan grande de proveedores también requiere dar prioridad a los proveedores de alto riesgo sobre los de menor riesgo. Sin embargo, sigue siendo esencial evaluar regularmente a todos los proveedores con los mismos controles estandarizados para garantizar que nada se pierda.
• La gestión del riesgo de terceros no es una tarea de "configurar y olvidar". Los cuestionarios para proveedores no solo deben formar parte del proceso de incorporación, sino que también deben completarse al menos una vez al año. Los proveedores requieren una supervisión continua, con evaluaciones y comprobaciones periódicas para garantizar que su postura de seguridad sea saludable.

Teniendo en cuenta estas consideraciones, es evidente que un TPRM eficaz requiere mucho tiempo y recursos. Los equipos de seguridad de la información deben atender todas las demás facetas del programa de seguridad de su organización y es posible que no tengan la capacidad necesaria para administrar a fondo el riesgo de terceros. La solución más rentable a este problema es aprovechar los servicios de un proveedor de TPRM administrado.

Para obtener una descripción general de los procesos involucrados en un servicio de gestión de riesgos de terceros, vea este video: