¿Qué es la diligencia debida del proveedor? Aprenda a proteger a sus proveedores
La debida diligencia del proveedor (VDD) es una revisión de seguridad exhaustiva de un posible proveedor externo antes de formar una asociación. La evaluación identifica si un cliente potencial está siendo honesto sobre su postura de seguridad y describe cualquier riesgo de seguridad potencial que pueda poner en peligro a un negocio asociado.
Los proveedores suelen requerir acceso a datos confidenciales de la empresa, como la información de identificación personal e incluso la información financiera de los clientes.
Si un proveedor se ve comprometido en un ciberataque, los ciberdelincuentes podrían obtener acceso a estos datos confidenciales y lanzar un ataque de ransomware contra su organización. Su empresa también podría sufrir una multa reglamentaria por malas prácticas de gestión de proveedores.
La debida diligencia de los proveedores ayuda a las organizaciones a establecer un programa de gestión de riesgos de terceros fiable y relaciones saludables con los proveedores.
Estadísticas de incumplimiento de proveedores externos
Las infracciones de proveedores externos ocurren con más frecuencia de lo que piensa. Aquí hay algunas estadísticas reveladoras.
Casa de aglomeración
Febrero de 2019: Los atacantes cibernéticos penetraron en el proveedor externo de punto de venta (POS) de Huddle House. Las herramientas de asistencia violadas del proveedor se utilizaron para instalar malware en algunos sistemas POS de Huddle House.
Productos comerciales del norte del país (NCBP)
Febrero de 2019: NCBP, un proveedor que ayuda a las empresas con transacciones con tarjetas de crédito, se vio comprometido. La violación puede haber expuesto los detalles de las tarjetas de crédito de los consumidores que realizaron transacciones con clientes de NCBP entre el 3 y el 24 de enero de 2019.
Grupo de Soluciones Wolverine (WSG)
Marzo de 2019: Wolverine solutions group, un proveedor de soluciones de gestión de contenidos para el sector sanitario, sufrió un ataque de ransomware que expuso la información personal de casi 1,2 millones de pacientes. Esta brecha afectó a casi 700 organizaciones de atención médica que estaban asociadas con WSG en ese momento.
Spectrum Health Lakeland fue uno de los clientes de WSG afectados por el ciberataque. Aproximadamente 60.000 de sus registros de pacientes quedaron expuestos en la violación.
Agencia Americana de Cobranzas Médicas (AMCA)
Junio de 2019: American Medical Collections Agency, un proveedor de servicios de facturación de pacientes para la industria de la salud, se vio comprometido al exponer los registros personales de más de 20 millones de estadounidenses.
Empresas de reembolso de California
Julio de 2019: California Reimbursement Enterprises, un antiguo proveedor de servicios de facturación para la industria de la salud, fue víctima de un astuto ataque cibernético que expuso 14,500 registros de pacientes. La violación de datos se produjo después de que un miembro del personal de California Reimbursement Enterprises fuera engañado por un ataque de phishing por correo electrónico.
Obtenga información sobre el costo promedio de las violaciones de datos que involucran a terceros >
Cuestionarios de ciberseguridad de diligencia debida del proveedor
El método más eficiente para realizar la debida diligencia cibernética es a través de cuestionarios. Los cuestionarios VDD están diseñados estratégicamente para desarrollar todos los riesgos de seguridad de un proveedor potencial.
Estas son algunas señales de alerta comunes de seguridad de los proveedores que los cuestionarios ayudan a exponer:
- Casos históricos de filtraciones de datos
- Evidencia de prácticas negligentes
- La ausencia de defensas clave contra amenazas
- Protocolos deficientes de corrección de amenazas
- Presencia de vectores de ataque en la red de terceros del proveedor
- Mala calificación de la resiliencia a las amenazas cibernéticas
Cuestionarios de evaluación de riesgos de proveedores
Cada organización tiene requisitos únicos, por lo que no puede adoptar a ciegas el cuestionario de proveedores de otra organización. La mejor práctica estándar es ajustar un cuestionario estándar de la industria a sus necesidades específicas de ciberseguridad.
Para acelerar el proceso, puede utilizar esta plantilla de cuestionario de evaluación de riesgos del proveedor.
A continuación, se presentan cinco metodologías de evaluación de seguridad estándar del sector que puede utilizar como base para sus cuestionarios de seguridad de proveedores. Potencialmente, podría extraer miles de cuestionarios de proveedores de estas metodologías y adaptarlos a su negocio.
- Marco de control del Centro para la Seguridad de Internet (CIS)
- Cuestionario de la Iniciativa de Evaluaciones de Consenso (CAIQ)
- NIST SP 800-171
- Cuestionario de la Alianza para la Seguridad de los Proveedores (VSAQ)
Pero la debida diligencia en ciberseguridad no comienza y termina con un cuestionario inicial de evaluación de riesgos. Como indican las estadísticas anteriores, los proveedores son víctimas de ataques cibernéticos a menudo, incluso después de pasar un control de seguridad inicial.
Para mantener una defensa sólida contra las violaciones de terceros, debe enviar continuamente cuestionarios de amenazas personalizados a los proveedores que corren el riesgo de sufrir una violación de datos. Luego, una vez que se corrige una amenaza, se deben enviar cuestionarios de seguimiento para examinar más a fondo la postura de seguridad actualizada de un proveedor.
Este proceso de cuestionario continuo de diligencia debida de proveedores mantendrá a todos sus proveedores responsables y a su negocio protegido de infracciones de terceros.
A continuación, se muestra un ejemplo de un cuestionario de proveedor para la categoría Seguridad y privacidad de la información:
- ¿Su organización procesa información de identificación personal (PII) o información de salud protegida (PHI)?
- ¿Su organización tiene un programa de seguridad?
- En caso afirmativo, ¿qué normas y directrices sigue?
- ¿Su programa de seguridad y privacidad de la información cubre todas las operaciones, servicios y sistemas que procesan datos confidenciales?
- ¿Quién es responsable de administrar su programa de privacidad y seguridad de la información?
- ¿Qué controles emplea como parte de su programa de seguridad y privacidad de la información?
- Proporcione un enlace a su política de privacidad y/o seguridad de la información pública
- ¿Hay algún detalle adicional que le gustaría proporcionar sobre su programa de seguridad y privacidad de la información?
Aprenda a crear cuestionarios de riesgo de proveedores >
Planes de continuidad del negocio y recuperación ante desastres de proveedores
Los resultados de un cuestionario de riesgo del proveedor deben exponer el plan de continuidad del negocio y recuperación ante desastres (BCDR) de cada proveedor evaluado. Incluso las entidades más prestigiosas son víctimas de ciberataques, lo que diferencia a los proveedores seguros son sus planes de respuesta a incidentes.
El proceso de gestión de riesgos de un proveedor debe incluir tanto un plan de continuidad del negocio como un plan de recuperación ante desastres.
Plan de continuidad del negocio
Un plan de continuidad del negocio es el plan de un proveedor para restaurar todas las operaciones afectadas después de un ciberataque. El plan de restauración debe incluir una entrega inmediata de información crítica a todas las partes interesadas relevantes, así como una definición clara de la cantidad de pérdida de datos que sea aceptable para un proveedor.
>Un plan de continuidad del negocio es un documento escrito que los proveedores deben estar dispuestos a compartir con usted en cualquier momento. Este documento identificará los procedimientos de diligencia debida en materia de seguridad de datos de cada proveedor.
Plan de recuperación ante desastres
Un plan de recuperación ante desastres describe claramente el proceso de corrección de un proveedor cuando se produce un ataque cibernético.
Este documento debe identificar todos los equipos de seguridad involucrados en el plan de recuperación y el conjunto de responsabilidades de cada individuo. Un plan de respuesta a incidentes eficiente debe enumerar todo el inventario y el software potencialmente afectados en orden de riesgo de ciberseguridad.
El proceso de diligencia debida de un proveedor debe implicar una actualización anual de sus planes de continuidad del negocio y recuperación ante desastres. Las prácticas de ciberseguridad deben evolucionar continuamente para seguir siendo eficaces contra las nuevas amenazas cibernéticas.
Por qué un cuestionario de riesgo del proveedor no es suficiente
Recibir una respuesta positiva de un cuestionario enviado no es una garantía de la postura de seguridad superior de un proveedor. Se requiere un proceso de verificación adicional para confirmar la honestidad de un proveedor.
Las calificaciones de seguridad proporcionan a las organizaciones un estado actualizado de la postura de ciberseguridad de cada proveedor. La calificación se basa en múltiples vectores de ataque que hacen que una empresa sea vulnerable a los ciberataques. Es un equivalente en ciberseguridad a las calificaciones crediticias.
Las calificaciones de seguridad ayudan a las organizaciones a identificar cuándo se debe enviar un cuestionario de riesgos y ofrecen un medio para realizar un seguimiento de los riesgos potenciales de cada proveedor a lo largo del tiempo.
Esta relación simbiótica hace que la combinación de calificaciones de seguridad y cuestionarios de riesgo de proveedores sea una poderosa estrategia de ciberseguridad de proveedores para la mitigación de violaciones de terceros.
En UpGuard, podemos proteger su empresa de las filtraciones de datos, identificar todas sus fugas de datos y ayudarlo a monitorear continuamente la postura de seguridad de todos sus proveedores.