¿Qué es el riesgo del proveedor? El gran impacto de las violaciones de terceros
Los investigadores de UpGuard descubren e informan regularmente sobre las violaciones de datos corporativos. A menudo nos encontramos con que la violación no es causada directamente por la empresa, sino por uno de sus proveedores externos. Esta serie de publicaciones trata sobre un aspecto menos comprendido del riesgo de los proveedores, las violaciones de datos por parte de proveedores externos. Le explicaremos muchos tipos de filtraciones de datos, cómo se relacionan con sus proveedores externos y, en última instancia, qué puede hacer para evitar que perjudiquen su negocio. Los proveedores externos son objetivos comunes de espionaje industrial.
Entonces, ¿tal vez trabajas para una gran multinacional que externaliza funciones comerciales completas? ¿O una pequeña y mediana empresa que ejecuta sus operaciones utilizando aplicaciones SaaS (software como servicio), pagadas con una tarjeta de crédito? El uso de proveedores externos es ahora la regla, en lugar de la excepción.
Para proporcionar valor a su negocio, sus proveedores suelen necesitar acceso al menos a algunos de sus datos importantes. Desde secretos comerciales hasta claves API, confía datos confidenciales a sus proveedores externos. Al confiar en sus proveedores con datos confidenciales, también está asumiendo el riesgo asociado de una violación de datos.
Hay muchos tipos diferentes de datos confidenciales que se pueden exponer, cada uno con sus propias hazañas y consecuencias particulares.
Credenciales del sistema
Comencemos con las "credenciales del sistema", los datos que otorgan acceso a otros recursos o capacidades. El impacto de una violación de credenciales suele ser alto, al igual que el nivel de riesgo asociado, ya que son un facilitador para que los atacantes comprometan otra información aún más confidencial.
Al comprender mejor qué tipos de credenciales del sistema existen, por qué son importantes y cuáles son las posibles consecuencias de su exposición, puede tomar medidas más eficaces para controlar esta información y evitar futuras filtraciones de datos.
Las credenciales expuestas son una forma bien conocida de violación de datos, pero hay muchos tipos diferentes de credenciales, algunas más obvias que otras, y las consecuencias de una violación diferirán en consecuencia.
Y, por último, las exposiciones de datos a las que hacemos referencia en estos artículos se encuentran en la Internet abierta, no en la web oscura. Nuestra investigación corrobora la de otros expertos en seguridad, que la web oscura está sobreestimada como fuente de información sobre violaciones de datos: cuando dichos datos llegan a la web oscura, ya han sido explotados.
¿Por qué es importante esto? Porque atrapar exposiciones de datos en la Internet abierta es una estrategia proactiva para proteger los datos antes de que lleguen a manos de aquellos que intentarían beneficiarse de ellos en la web oscura.
¿Qué medidas puedo tomar para reducir los riesgos de los proveedores?
Ahora sabe que sus proveedores podrían estar exponiendo su negocio al riesgo de varias maneras:
- Filtrando datos de sus sistemas
- Filtrando datos de sus sistemas
- Por la filtración de datos de sus proveedores. Estas son sus cuartas partes.
Este es un espectro de riesgo bastante amplio. Le recomendamos encarecidamente que tenga en cuenta la posibilidad de fugas de datos como un componente crítico de su estrategia de gestión de riesgos del proveedor.
Un enfoque de mejores prácticas (estamos sesgados, nos involucra) podría ser el siguiente:
- Comience a monitorear de manera proactiva la tecnología y la postura de seguridad cibernética de su propia empresa. Utilice UpGuard BreachSight para monitorear sus exposiciones externas.
- Utilice un proceso formal para incorporar a sus proveedores externos y supervise continuamente sus niveles de riesgo para su negocio a través de una combinación de calificaciones de seguridad automatizadas y cuestionarios de seguridad de proveedores, con un producto como UpGuard Vendor Risk. Puede obtener más información sobre este tema en nuestra breve historia de la puntuación de proveedores.
- Por último, profundice aún más para comprender a sus proveedores externos, sus riesgos asociados y su exposición a ellos. UpGuard Vendor Risk también se encarga de esto.
Este es solo un enfoque. Debes hacer lo que sea correcto para tu negocio. Pero hagas lo que hagas, ¡no ignores el problema! En el mundo actual, está a solo un formulario de registro de SaaS de una violación de datos. En 2018, una estrategia proactiva de gestión de riesgos de proveedores se ha convertido en un requisito crítico para permanecer en el negocio, no solo en una capacidad opcional propuesta por los gerentes de seguridad de la información.