¿Qué es un proveedor externo?
Un proveedor externo es cualquier entidad con la que su organización hace negocios.
Esto incluye proveedores, fabricantes, proveedores de servicios, socios comerciales, afiliados, corredores, distribuidores, revendedores y agentes.
Los proveedores pueden ser ascendentes (proveedores y vendedores) y descendentes (distribuidores y revendedores), así como entidades no contractuales.
La externalización a los proveedores de servicios proporciona ventajas estratégicas, como el ahorro de costes y la experiencia externa, pero también introduce el riesgo de terceros y el riesgo de terceros.
Ya no basta con centrarse únicamente en la ciberseguridad interna. La debida diligencia y las evaluaciones de riesgos de ciberseguridad deben utilizarse antes de incorporar nuevos proveedores.
La gestión de riesgos de la información significa mirar más allá de las paredes de su organización a proveedores externos y de cuarta parte que tienen acceso a sus datos confidenciales.
¿Qué riesgos conllevan los proveedores externos?
Los proveedores, socios, contratistas y consultores externos pueden aportar la experiencia y los servicios necesarios a su organización, pero a menudo pueden tener acceso a los sistemas internos y a los datos confidenciales. Esto significa que pueden robar datos de la empresa, cambiar las configuraciones del sistema o sabotear infraestructuras críticas.
Incluso sin intenciones maliciosas, la mala seguridad de un proveedor externo representa un gran riesgo de seguridad.
Esta es la razón por la que los gobiernos de todo el mundo han introducido estrictos requisitos regulatorios que requieren una forma de gestión de riesgos de los proveedores para garantizar que los datos confidenciales y la información de identificación personal (PII) se transfieran, almacenen y procesen de una manera que proteja la seguridad de la información.
Las instituciones financieras, por ejemplo, APRA CPS 234, y las organizaciones sanitarias, por ejemplo, HIPAA, están sujetas a un escrutinio regulatorio particular.
¿Tengo que preocuparme por los proveedores que no trabajan en actividades empresariales críticas?
Sí, los terceros que no llevan a cabo actividades comerciales críticas aún pueden representar un riesgo significativo para los proveedores externos. En algunos casos, los limpiadores pueden representar un riesgo de terceros mayor que un proveedor típico de software como servicio (SaaS).
Esto se debe a que el limpiador puede tener acceso a la computadora del CEO que almacena información que podría ser el objetivo del espionaje corporativo.
El papel y el tamaño del tercero generalmente no son tan importantes como la naturaleza de la relación con el proveedor, la criticidad de sus actividades, el nivel de acceso que tiene a datos o propiedades confidenciales y la responsabilidad de su organización por sus acciones inapropiadas.
Esta es la razón por la que un limpiador podría introducir más riesgo de ciberseguridad que una función comercial subcontratada.
La conclusión clave es comprender que los estándares de seguridad de su organización son tan buenos como las prácticas de seguridad de su proveedor externo más débil.
Por ejemplo, la violación de datos de Target de 2013 comenzó con la instalación de malware por parte del proveedor de HVAC de una sola tienda.
Cada proveedor es un posible vector de ataque que los ciberdelincuentes pueden utilizar para lanzar ciberataques.
¿Cuáles son los ejemplos de terceros?
Recuerde que un proveedor externo es cualquier persona que proporcione un producto o servicio a su organización, incluidos:
- Fabricantes y proveedores (todo, desde PCB hasta comestibles)
- Proveedores de servicios, incluidos limpiadores, trituradores de papel, consultores y asesores
- Contratistas a corto y largo plazo. Es importante gestionar a los contratistas a corto y largo plazo con el mismo estándar y evaluar la información a la que tienen acceso.
- Cualquier personal externo. Es importante entender que la comprensión del riesgo cibernético puede ser muy diferente dependiendo del personal externo.
- Los contratos de cualquier duración pueden representar un riesgo para su organización, y el Servicio de Impuestos Internos (IRS) tiene regulaciones sobre las relaciones con proveedores y terceros que van más allá de plazos específicos, por lo que incluso la duración de un contrato puede representar un riesgo. A los ojos del IRS, un proveedor que trabaja en el sitio con una dirección de correo electrónico de la empresa durante más de un período de tiempo específico debe clasificarse como empleado y recibir beneficios.
¿Qué es la gestión de riesgos de proveedores?
La gestión de riesgos de proveedores (VRM) o la gestión de terceros se ocupa de la gestión y el seguimiento de los riesgos derivados de proveedores y proveedores externos.
Los programas VRM se preocupan por garantizar que los productos de terceros, los proveedores de TI y los proveedores de servicios no dañen la continuidad del negocio, la seguridad de los datos ni expongan información confidencial como números de tarjetas de crédito o información de identificación personal (PII).
La demanda y la necesidad de gestión de riesgos de los proveedores ha crecido en los últimos años debido a la introducción de leyes como el Reglamento General de Protección de Datos (GDPR) de la UE, así como al hecho de que las organizaciones confían más sus procesos comerciales a terceros.
La seguridad de los proveedores debe ser una parte clave de su estrategia general de ciberseguridad.
No basta con centrarse en los acuerdos de nivel de servicio (SLA) y la recuperación ante desastres en su programa de gestión de riesgos de terceros. Necesita una supervisión continua y en tiempo real para formar parte de su programa de gestión de proveedores externos.
Su política de seguridad de la información debe centrarse tanto en la seguridad de origen como en la de terceros para minimizar el riesgo cibernético total. Dedique algún tiempo a crear un marco de gestión de riesgos de terceros y a ponerlo en práctica. Considere la posibilidad de invertir en la automatización de la gestión de riesgos de los proveedores.
¿Es mi empresa responsable de las infracciones de terceros?
Depende de su industria. En los Estados Unidos, la Oficina del Contralor de la Moneda (OCC, por sus siglas en inglés) escribió en su guía de gestión de riesgos:
>El uso de terceros por parte de un banco no disminuye la responsabilidad de su junta directiva y alta gerencia de garantizar que la actividad se realice de manera segura y sólida y de conformidad con las leyes aplicables.
Junto con la OCC, el Sistema de la Reserva Federal (FRS) y la Corporación Federal de Seguro de Depósitos (FDIC) tienen autoridad legal para supervisar a los proveedores de servicios de terceros en acuerdos contractuales con instituciones financieras reguladas.
Incluso si no eres legalmente responsable, tus clientes esperan que protejas sus datos y probablemente no les importe que una violación de datos haya sido el resultado de un tercero.
El cuadernillo de Supervisión de Proveedores de Servicios Tecnológicos de la FFIEC, destaca el uso de terceros proveedores "no disminuye la responsabilidad de la... Junta Directiva y gerencia para garantizar que las actividades se lleven a cabo de manera segura y sólida y en cumplimiento con las leyes y regulaciones aplicables, al igual que si las instituciones fueran a realizar las actividades internamente. "
¿Qué son los proveedores de cuarta parte?
Un proveedor externo es un proveedor externo de su proveedor externo. En otras palabras, se trata de un proveedor con el que no tiene contacto directo, pero que puede tener un impacto en su organización en caso de una violación o fuga de datos.
Debe comprender cuatro cosas sobre sus proveedores de cuarta parte:
- Quiénes son
- Qué productos y servicios proporcionan a su proveedor
- El nivel de diligencia debida que su proveedor ha realizado con sus proveedores
- Su calificación de ciberseguridad
Esto permitirá a su organización comprender mejor qué riesgos pueden residir y cómo sus datos confidenciales pueden compartirse o almacenarse en el sistema de un proveedor externo.
Una violación de datos de terceros puede ser tan impactante como una violación de primera o tercera parte, especialmente si están almacenando información de identificación personal (PII) de sus clientes.
¿Cómo puedo obtener información sobre mis proveedores externos?
Pida a sus proveedores externos que le proporcionen:
- Su política de gestión de proveedores
- Una lista completa de los proveedores que procesan sus datos confidenciales
- Su evaluación de riesgos de ciberseguridad más reciente de cada uno de estos proveedores
- El informe SOC 2 de la cuarta parte
Las mejores organizaciones de su clase que desean minimizar el riesgo de terceros y el riesgo de terceros supervisan y puntúan continuamente a los proveedores de terceros y de cuarta parte y envían cuestionarios de seguridad a lo largo del ciclo de vida de la relación con el proveedor.
Para obtener más información, lea nuestros documentos técnicos sobre la guía del comprador sobre la gestión de riesgos de terceros y los cuestionarios para proveedores.
Incluso los antiguos proveedores externos pueden crear riesgos para su organización. Por ejemplo, el antiguo proveedor de reclutamiento de TigerSwan dejó información confidencial disponible públicamente en un bucket de S3 hasta hace poco. Si bien el contrato con el proveedor se rescindió en febrero de 2017, miles de currículos permanecieron almacenados en el subdominio de Amazon S3 "tigerswanresumes". ”
Con el coste de una violación de datos en su punto más alto de la historia (3,92 millones de dólares) y las filtraciones que involucran a terceros disparándose a 4,29 millones de dólares, vale la pena prevenir las violaciones de datos.