9 formas de prevenir violaciones de datos de terceros en 2023
Las violaciones de terceros ocurren cuando se roban datos confidenciales de un proveedor externo o cuando sus sistemas se utilizan para acceder y robar información confidencial almacenada en sus sistemas. En el panorama digital actual, se ha convertido en una práctica habitual externalizar los procesos empresariales a proveedores especializados en cada función concreta, ya sea a través de un proveedor de SaaS, un proveedor de servicios externo o un contratista.
Estos terceros no suelen estar bajo el control de su organización y es poco probable que proporcionen una transparencia completa en sus controles de seguridad de la información. Algunos proveedores pueden tener estándares de seguridad sólidos y buenas prácticas de gestión de riesgos, mientras que otros no.
Una encuesta de eSentire de 2019 encontró que el 44% de todas las empresas encuestadas habían experimentado una violación de datos significativa causada por un proveedor externo. Y el informe sobre el costo de una violación de datos de IBM encontró que la participación de terceros fue uno de los cinco mayores amplificadores de costos, aumentando el costo promedio en más de $370,000 a $4.29 millones.
Esta es la razón por la que la gestión de riesgos de terceros y la gestión de riesgos de proveedores forman una parte importante de la estrategia de gestión de riesgos empresariales de cualquier organización.
Aprenda a evitar costosas filtraciones de datos. Descargue la guía gratuita >
1. Evalúe a sus proveedores antes de la incorporación
La incorporación de proveedores externos que tendrán acceso a su red y a sus datos confidenciales sin medir el riesgo de ciberseguridad que introducen es arriesgado. Sin embargo, demasiadas organizaciones no realizan la debida diligencia adecuada durante el proceso de selección de proveedores.
Una manera fácil de evaluar a un proveedor potencial sin introducir una sobrecarga operativa para su equipo de administración de proveedores es usar calificaciones de seguridad. Las calificaciones de seguridad se han adoptado ampliamente porque complementan y, a veces, pueden reemplazar las técnicas de evaluación de riesgos de los proveedores, que requieren mucho tiempo, como cuestionarios, visitas in situ y pruebas de penetración.
Las calificaciones de seguridad le permiten comprender al instante la postura de seguridad externa de un proveedor potencial y las amenazas cibernéticas a las que puede ser susceptible. Esto reduce en gran medida la carga operativa de los equipos de TPRM durante la selección de proveedores, la diligencia debida, la incorporación y el seguimiento. Además, los informes se pueden compartir con los proveedores y utilizar para solucionar problemas.
Con UpGuard Vendor Risk, puede evaluar rápidamente los riesgos del sitio web, la seguridad del correo electrónico, la seguridad de la red, el riesgo de phishing y malware, y la protección de la marca.
Debido a que UpGuard mide controles verificables externamente, esta evaluación previa se puede realizar sin requerir el consentimiento o el trabajo de un proveedor. Incluso puede comparar y comparar a un proveedor con sus pares y otros en su sector para ayudarlo a tomar una decisión informada sobre qué proveedor debe seleccionar.
El resultado es una imagen más precisa y en tiempo real del riesgo que el proveedor introducirá en su cadena de suministro, sin tener que perder tiempo completando costosas evaluaciones de riesgos, pruebas de penetración o análisis de vulnerabilidades.
Más información sobre las evaluaciones de riesgos de proveedores >
2. Incorpore la gestión de riesgos en sus contratos
Adopte la práctica de incorporar el riesgo cibernético en su programa de gestión de riesgos de proveedores y en los contratos con los proveedores. Si bien esto no evitará una violación de datos de terceros, significa que sus proveedores serán responsables en caso de que su postura de seguridad se debilite.
Muchos de nuestros clientes incorporan calificaciones de seguridad en sus contratos. Por ejemplo, algunos estipulan que un proveedor que procesa información personal o tarjetas de crédito debe mantener una calificación de seguridad superior a 900, o corre el riesgo de que se rescinda su contrato.
También recomendamos incorporar SLA en sus contratos para que pueda dirigir el comportamiento de gestión de riesgos de ciberseguridad de sus proveedores y reducir su riesgo de ciberseguridad. Considere la posibilidad de agregar un lenguaje que requiera que sus proveedores se comuniquen o incluso solucionen cualquier problema de seguridad dentro de un período de tiempo determinado, como 72 horas para problemas de alto riesgo. Además, considere la posibilidad de añadir el derecho a solicitar un cuestionario de seguridad cumplimentado una vez por trimestre, ya que pueden poner de manifiesto problemas que el análisis de seguridad externo pasa por alto.
3. Mantenga un inventario de sus proveedores en uso
Antes de poder determinar adecuadamente el riesgo que presentan sus proveedores externos, debe comprender quiénes son todos sus terceros y cuánto se comparte con cada uno de ellos.
Sin un inventario de sus relaciones con terceros, es imposible medir el nivel de riesgo que introducen los proveedores. A pesar de esto, solo el 46% de las organizaciones realizan evaluaciones de riesgos de ciberseguridad en los proveedores que manejan datos confidenciales.
Por simple que parezca, no siempre es fácil conocer a todos los proveedores utilizados por su organización. Especialmente si trabajas en una organización grande.
Aquí es donde herramientas como UpGuard Vendor Risk pueden ayudar. Podemos ayudarlo a encontrar y monitorear a sus proveedores utilizando nuestra búsqueda instantánea de proveedores. Nuestra plataforma escanea y califica a millones de empresas todos los días para brindarle acceso instantáneo a las calificaciones de seguridad de los proveedores. Si actualmente no monitoreamos la empresa, puede agregarla fácilmente a su lista de proveedores monitoreados y comenzaremos a escanearla desde el momento en que la agregue.
4. Supervise continuamente a los proveedores para detectar riesgos de seguridad
La postura de seguridad de un proveedor puede cambiar, y lo hará, a lo largo de su contrato. Es por eso que es fundamental que monitoree continuamente sus controles de seguridad a lo largo del tiempo.
El problema es que la mayoría de las organizaciones no supervisan continuamente a sus proveedores. En su lugar, se basan en evaluaciones puntuales, como auditorías o cuestionarios de seguridad, que suelen ser solo una instantánea de la postura de seguridad de una organización.
Definitivamente hay un lugar para este tipo de evaluaciones, ya que resaltan problemas que a menudo se pasan por alto por las soluciones de escaneo externas, es por eso que UpGuard Vendor Risk tiene herramientas para ayudarlo a automatizar los cuestionarios de seguridad.
Sin embargo, no están bien posicionados como una solución de monitoreo de seguridad continua que destaca las vulnerabilidades que podrían facilitar las violaciones de datos.
Más información sobre cómo evitar filtraciones de datos >
5. Colabora con tus proveedores
Si bien nunca se puede prevenir por completo el acceso no autorizado, los ciberataques y las violaciones de seguridad de terceros, es importante trabajar en colaboración, no combativo, con los proveedores para reducir el riesgo y solucionar los problemas de seguridad rápidamente.
>Hay varias características de UpGuard Vendor Risk que respaldan este proceso.
Por ejemplo, puede utilizar nuestro perfil de riesgo de cartera para priorizar los riesgos más críticos en todo su ecosistema de proveedores y solicitar soluciones a través de nuestra plataforma para garantizar que los riesgos se resuelvan rápidamente y con un registro de auditoría. Esto facilita el alcance y le permite a usted y a su proveedor comprender lo que debe corregirse y por qué representa un riesgo para los usuarios finales y los datos personales.
6. Hable sobre el riesgo de terceros
Las organizaciones de mayor rendimiento (las que han sido capaces de evitar una brecha en el último año y las que tienen programas de gestión de riesgos maduros) tienen un liderazgo comprometido.
De acuerdo con el informe Data Risk in the Third-Party Ecosystem del Ponemon Insitute, el 53 por ciento de los encuestados dentro de las organizaciones de alto rendimiento dijeron que tienen compromiso a nivel ejecutivo y de la junta directiva, en comparación con solo el 25 por ciento de los encuestados entre las organizaciones que han experimentado una violación de datos de terceros.
Este compromiso significa que los líderes de los equipos de mayor rendimiento son conscientes de la importancia de proteger la información confidencial, así como de las prácticas de privacidad cada vez más estrictas impulsadas por la introducción de regulaciones generales de protección de datos en todo el mundo, como GDPR, LGPD, CCPA, FIPA, PIPEDA y la Ley SHIELD.
Por lo general, también comprenderán los riesgos de una seguridad operativa deficiente y de compartir demasiado en las redes sociales, que los ciberdelincuentes suelen explotar y utilizar en ataques de spear phishing y whaling.
Esta es la razón por la que UpGuard Vendor Risk tiene informes ejecutivos incorporados, que incluyen:
- La puntuación media de nuestros proveedores a lo largo del tiempo
- La distribución de las puntuaciones de los proveedores
- Sus proveedores con la puntuación más alta y más baja
- Las tecnologías más utilizadas por sus proveedores
7. Cortar los lazos con los malos proveedores
Si una pequeña empresa o un proveedor externo no puede cumplir con sus estándares, o si ha sufrido un ataque de ransomware o una violación de datos, ¿está dispuesto a cortar lazos? Y si está dispuesto a hacerlo, ¿cuenta con los procesos necesarios para desvincular con éxito al proveedor sin causar problemas de continuidad del negocio?
Muchas empresas son buenas en la incorporación de proveedores, pero luchan por desvincularlos adecuadamente. Las organizaciones más seguras se preocupan por los detalles y entienden que la incorporación adecuada es una parte importante de la gestión de riesgos de terceros.
Si no está seguro de qué proveedores representan el mayor riesgo para su organización, considere registrarse para una prueba gratuita de siete días de la plataforma UpGuard. Podremos mostrarle qué proveedores tienen la peor postura de seguridad.
8. Medir el riesgo de terceros
Tan importante como es comprender el riesgo de terceros, también es importante saber en quién confían sus terceros. Estas organizaciones se conocen como proveedores de cuarta parte e introducen el riesgo de cuarta parte.
Al igual que las organizaciones están adoptando rápidamente la autenticación multifactor, vemos que nuestros mejores clientes exigen contractualmente a los proveedores que les notifiquen cuando comparten datos con una cuarta o quinta parte. Esto les permite rastrear el intercambio de información confidencial y comprender mejor quién tiene acceso.
El módulo de Riesgo de Concentración de UpGuard Vendor Risk detecta automáticamente a muchos de sus proveedores de cuarta parte y le muestra a qué proveedor de cuarta parte tiene la mayor exposición. Esto también puede ayudarle a planificar la continuidad del negocio. Por ejemplo, si sabe que 30 de sus proveedores críticos dependen de AWS, puede optar por elegir otros proveedores que utilicen Google Cloud Platform para distribuir el riesgo de que una interrupción en uno de estos proveedores de nube haga que no pueda realizar sus actividades como de costumbre.
Más información sobre los riesgos de terceros >
9. Siga el principio de mínimo privilegio (POLP)
Muchas violaciones de datos de terceros se producen porque al tercero se le proporciona más acceso del que necesita para hacer su trabajo.
Considere la posibilidad de invertir en un sólido sistema de control de acceso basado en roles que siga el principio de privilegios mínimos (POLP), la práctica de limitar los derechos de acceso para los usuarios, las cuentas y los procesos informáticos solo a los necesarios para hacer el trabajo en cuestión.
Más información sobre POLP >
UpGuard Vendor Risk puede minimizar la cantidad de tiempo que su organización dedica a evaluar los controles de seguridad de la información relacionados y de terceros mediante la automatización de cuestionarios de proveedores y el suministro de plantillas de cuestionarios de proveedores. También podemos ayudarlo a comparar instantáneamente a sus proveedores actuales y potenciales con su industria, para que pueda ver cómo se comparan.
Esto incluye puertos abiertos y otros servicios que están expuestos a la Internet pública. Nuestra plataforma comprueba explícitamente casi 200 servicios que se ejecutan en miles de puertos e informa sobre los servicios que no podemos identificar, así como sobre los puertos abiertos sin que se hayan detectado servicios.
La principal diferencia entre UpGuard y otros proveedores de calificaciones de seguridad es que hay pruebas muy públicas de nuestra experiencia en la prevención de violaciones y fugas de datos. Nuestra experiencia ha aparecido en medios como The New York Times, The Wall Street Journal, Bloomberg, The Washington Post, Forbes, Reuters y TechCrunch.
Puedes leer más sobre lo que dicen nuestros clientes en las reseñas de Gartner.
Si desea ver la calificación de seguridad de su organización, haga clic aquí para solicitar su calificación de seguridad gratuita.