¿Por qué es importante la gestión de riesgos de terceros?
La gestión de riesgos de terceros es importante porque si no se evalúan los riesgos de terceros, una organización queda expuesta a ataques a la cadena de suministro, violaciones de datos y daños a la reputación.
Para reducir los inexorables riesgos digitales asociados con las relaciones con los proveedores, los reguladores de todo el mundo están introduciendo nuevas leyes para que la gestión de riesgos de los proveedores sea un requisito reglamentario. Esto puede incluir la gestión de acuerdos de subcontratación y contratación (riesgo de cuarta parte).
¿Qué es la gestión de riesgos de terceros?
La gestión de riesgos de terceros es el proceso de analizar y controlar los riesgos asociados con la subcontratación a proveedores de servicios o proveedores de terceros. Cada vez más, el alcance de la gestión de proveedores se extiende a los acuerdos de subcontratación y contratación para mitigar el riesgo de terceros.
Esto es particularmente importante para los proveedores de alto riesgo que procesan datos confidenciales, propiedad intelectual u otra información confidencial.
Aprenda a reducir el impacto de las infracciones de terceros >
Esto significa que se requiere la debida diligencia para determinar la idoneidad general de los terceros para su tarea determinada y, cada vez más, si pueden mantener la información segura.
La debida diligencia es el proceso de investigación mediante el cual se revisa a un tercero para determinar si es adecuado. Además de la debida diligencia inicial, los proveedores deben revisar de forma continua a lo largo de su ciclo de vida a medida que se introducen nuevos riesgos de seguridad con el tiempo.
El objetivo de cualquier programa de gestión de riesgos de terceros es reducir los siguientes riesgos:
- Riesgo de ciberseguridad: el riesgo de exposición o pérdida resultante de un ciberataque, una violación de datos u otros incidentes de seguridad. Este riesgo a menudo se mitiga mediante la realización de la debida diligencia antes de incorporar nuevos proveedores y la supervisión continua durante el ciclo de vida del proveedor.
- Riesgo operativo: El riesgo de que un tercero cause interrupciones en las operaciones comerciales. Por lo general, esto se gestiona a través de acuerdos de nivel de servicio (SLA) vinculados contractualmente. Dependiendo de la importancia del proveedor, puede optar por tener un proveedor de respaldo para garantizar la continuidad del negocio. Esta es una práctica común para las instituciones financieras.
- Riesgo legal, regulatorio y de cumplimiento: el riesgo de que un tercero afecte el cumplimiento de su organización con la legislación, la regulación o los acuerdos locales. Esto es particularmente importante para los servicios financieros, la atención médica y las organizaciones gubernamentales, así como para sus socios comerciales.
- Riesgo reputacional: Es el riesgo derivado de una opinión pública negativa provocada por un tercero. Los clientes insatisfechos, las interacciones inapropiadas y las malas recomendaciones son solo la punta del iceberg. Los eventos más dañinos son las violaciones de datos de terceros como resultado de controles de seguridad deficientes, como la violación de datos de Target en 2013.
- Riesgo financiero: El riesgo de que un tercero tenga un impacto perjudicial en el éxito financiero de su organización. Por ejemplo, es posible que su organización no pueda vender un nuevo producto debido a una mala gestión de la cadena de suministro.
- Riesgo estratégico: el riesgo de que su organización no cumpla con sus objetivos comerciales debido a un proveedor externo.
Lea nuestra guía detallada sobre la gestión de riesgos de proveedores >
¿Qué hace que un programa de gestión de riesgos de terceros tenga éxito?
La gestión del riesgo de terceros no es nueva, pero el nivel de riesgo que asume la organización promedio sí lo es.
Los ataques cibernéticos son cada vez más frecuentes, sofisticados e impactantes, y los perpetradores refinan continuamente sus esfuerzos para comprometer los sistemas, las redes y la información.
Un acelerador de esta tendencia es el uso cada vez mayor de tecnología y proveedores externos en todas las organizaciones para mejorar la experiencia del cliente e impulsar la eficiencia operativa.
Como resultado, las organizaciones buscan crear procesos eficientes y escalables para gestionar los riesgos de terceros.
Muchas organizaciones están apenas al comienzo del desarrollo de procesos para incorporar nuevos proveedores y someter a sus proveedores existentes a un sólido proceso de evaluación de riesgos de terceros.
Aprenda a comunicar el riesgo de terceros a la Junta >
Un proceso eficaz de gestión de riesgos de terceros suele incluir los siguientes elementos:
- Un inventario de todas las relaciones con terceros
- Un catálogo de todos los riesgos de ciberseguridad a los que los proveedores podrían exponer a su organización
- Evaluación y segmentación de todos los proveedores por riesgos potenciales y plan para remediar los riesgos que están por encima del apetito de riesgo de su organización
- Un marco de gestión de riesgos de terceros basado en reglas y un obstáculo mínimo aceptable para la postura de seguridad de los terceros actuales y futuros, idealmente una calificación de seguridad en tiempo real
- Un propietario establecido de planes y procesos de gestión de terceros
- Tres líneas de defensa: liderazgo, gestión de proveedores y auditoría interna
- La primera línea de defensa: funciones que poseen y gestionan el riesgo
- La segunda línea de defensa: funciones que supervisan o se especializan en la gestión de riesgos y el cumplimiento.
- La tercera línea de defensa: funciones que proporcionan garantía independiente, sobre todo auditoría interna
- Planes de contingencia establecidos para cuando un tercero se considera de alto riesgo, no está disponible o cuando se produce una violación de datos de terceros
Y proporcionará los siguientes beneficios:
- Le permiten abordar los riesgos futuros en menos tiempo y con menos recursos
- Proporcione contexto para su organización y sus proveedores
- Asegúrese de que la reputación y la calidad de sus productos y servicios no se vean dañadas
- Reducción de costes
- Mejora de la confidencialidad, integridad y disponibilidad de sus servicios
- Le permiten concentrarse en las funciones principales de su negocio
- Impulse la eficiencia operativa y financiera
Dicho esto, incluso las mejores prácticas de gestión de riesgos son tan buenas como las personas que las siguen. La mayoría de las infracciones de terceros se deben a la falta de aplicación de las reglas y protocolos existentes. Debe ser transparente con sus proveedores sobre lo que espera de ellos.
Idealmente, la postura de seguridad será un requisito contractual.
Lea nuestra guía sobre las mejores prácticas de gestión de riesgos de terceros >
¿Cuáles son los problemas comunes que tienen los programas de gestión de riesgos de terceros?
Hay una serie de problemas comunes en los programas de gestión de riesgos de terceros, entre ellos:
- Resiliencia: No se ha implementado una evaluación de la continuidad del negocio ni de una planificación de respuesta a incidentes
- Seguimiento de la solvencia: No se ha evaluado la solvencia o la viabilidad financiera de terceros
- Controles de seguridad: el equipo no tiene una visibilidad adecuada de los controles de seguridad de sus proveedores
- Cumplimiento normativo: no se mide si los terceros cumplen con sus requisitos normativos
- AML-CTF y KYC: No hay obligación contractual de realizar comprobaciones AML-CTF o KYC a clientes, proveedores o contratistas
- Responsabilidad social corporativa: No existen procesos para garantizar que terceros protejan la marca y los esfuerzos de RSC de su organización.
- Salud y seguridad: Los proveedores no cuentan con controles de salud y seguridad, lo que puede causar daños a la reputación de su organización
Conozca cómo la norma ISO 31000 apoya la gestión de riesgos >
Cómo utilizar las calificaciones de seguridad para medir el riesgo de terceros
Las calificaciones de seguridad o calificaciones de ciberseguridad son una forma cada vez más popular de medir las posturas de seguridad de terceros en tiempo real. Permiten a los equipos de gestión de riesgos de terceros realizar la debida diligencia sobre los socios comerciales, los proveedores de servicios y los proveedores de terceros en cuestión de minutos en lugar de semanas, evaluando de forma instantánea y objetiva su postura de seguridad externa.
Las calificaciones de seguridad son similares a las calificaciones crediticias, en el sentido de que buscan medir el riesgo de ciberseguridad asociado con una organización. Al igual que las agencias de calificación crediticia, los proveedores de calificaciones de valores son independientes, lo que significa que son objetivos y utilizan los mismos criterios para evaluar a cada empresa. Dicho esto, cada proveedor de calificaciones de seguridad utilizará datos diferentes para generar sus calificaciones.
Según Gartner, las calificaciones de ciberseguridad serán tan importantes como las calificaciones crediticias a la hora de evaluar el riesgo de las relaciones comerciales existentes y nuevas... Estos servicios se convertirán en una condición previa para las relaciones comerciales y formarán parte de la norma de diligencia debida para los proveedores y compradores de servicios. Además, los servicios habrán ampliado su alcance para evaluar otras áreas, como los seguros cibernéticos, la debida diligencia para fusiones y adquisiciones e incluso como una métrica en bruto para los programas de seguridad interna.
Además, muchos líderes de seguridad consideran que las calificaciones de seguridad y las métricas de ciberseguridad que proporcionan son invaluables para informar a su junta directiva, a la alta dirección y a los accionistas.
>Más información sobre por qué las calificaciones de seguridad son importantes >
UpGuard es una de las plataformas de clasificación de seguridad más populares. Nuestras calificaciones son generadas por algoritmos patentados que toman y analizan fuentes de amenazas comerciales y de código abierto confiables, y métodos de recopilación de datos no intrusivos para evaluar cuantitativamente el riesgo empresarial. Con UpGuard, la calificación de seguridad de una organización oscilará entre 0 y 950, compuesta por un promedio ponderado de las calificaciones de riesgo de todos sus dominios.
Cuanto mayor sea la calificación, mejor será la seguridad de la organización. Las calificaciones de seguridad llenan un gran vacío que dejan las metodologías tradicionales de evaluación de riesgos, como las pruebas de penetración y las visitas in situ. Los métodos tradicionales requieren mucho tiempo, se basan en un momento dado, son caros y, a menudo, se basan en evaluaciones subjetivas. Además, puede ser difícil verificar las afirmaciones que hace un proveedor sobre sus controles de seguridad de la información.
Mediante el uso de calificaciones de seguridad junto con las técnicas de gestión de riesgos existentes, los equipos de gestión de riesgos de terceros pueden tener una información objetiva, verificable y siempre actualizada sobre los controles de seguridad de un proveedor.