Cumplimiento de los requisitos ISO de gestión de riesgos de terceros en 2023
ISO 27001 es la norma más popular y reconocida internacionalmente para la gestión de la seguridad de la información. Su creación fue un esfuerzo conjunto entre la Organización Internacional de Normalización (ISO) y la Comisión Electrotécnica Internacional (IEC), por lo que el marco también se conoce como ISO/IEC 27001.
La norma ISO 27001 también puede implementarse en un programa de gestión de riesgos de terceros. Sin embargo, muchas organizaciones luchan por identificar qué controles de seguridad se aplican a la seguridad del proveedor y cómo asignarlos con éxito a una plataforma de gestión de riesgos del proveedor.
En esta publicación, destacamos los controles ISO específicos que se aplican a la gestión de riesgos de terceros y cómo asignarlos a las funciones dentro de la plataforma UpGuard.
¿Qué normas ISO se aplican a la gestión de riesgos de terceros?
El establecimiento del programa de TPRM más resistente con las normas ISO requiere el aumento de tres marcos específicos: ISO 27001, ISO 27002 e ISO 27018.
A continuación se resume la relación específica de cada norma con la seguridad de terceros.
ISO 27001
ISO 27001 es la norma internacionalmente más popular y reconocida para mejorar la seguridad de la información de todos los sistemas de TI y procesos de datos, incluidos los requeridos en las relaciones con proveedores externos.
La norma ISO 27001 utiliza un enfoque de gestión de riesgos para proteger sistemáticamente los datos confidenciales en los tres departamentos principales de una organización: sistemas de TI, personas y procesos.
Para obtener una descripción general del proceso de implementación de ISO 27001, consulte esta lista de comprobación.
Aprenda a cumplir con los requisitos de gestión de riesgos de terceros de la norma ISO 27001.
ISO 27002
La norma ISO 27002 admite la implementación de todos los controles de seguridad enumerados en el Anexo A de la norma ISO 27001. Estos controles abordan todas las regiones de superficie de ataque comúnmente explotadas en la cadena de suministro.
Los 14 conjuntos de control del anexo A son:
- Anexo A.5 - Políticas de seguridad de la información (2 controles)
- Anexo A.6 - Organización de la seguridad de la información (7 controles)
- Anexo A.7 - Seguridad de los recursos humanos (6 controles)
- Anexo A.8 - Gestión de activos (10 controles)
- Anexo A.9 - Control de acceso (14 controles)
- Anexo A.10 - Criptografía (2 controles)
- Anexo A.11 - Seguridad física y ambiental (15 controles)
- Anexo A.12 - Seguridad de las operaciones (14 controles)
- Anexo A.13 - Seguridad de las comunicaciones (7 controles)
- Anexo A.14 - Adquisición, desarrollo y mantenimiento de sistemas (13 controles)
- Anexo A.15 - Relaciones con los proveedores (5 controles)
- Anexo A.16 - Gestión de incidentes de seguridad de la información (7 controles)
- Anexo A.17 - Aspectos de seguridad de la información de la gestión de la continuidad de las actividades (4 controles)
- Anexo A.18 - Cumplimiento (8 controles)
ISO/IEC 27018
La norma ISO 27018 presenta a los proveedores de servicios en la nube de terceros orientación adicional para proteger la información de identificación personal (PII) del cliente.
Las directrices de la norma ISO 27018 ofrecen controles de seguridad adicionales de terceros que no se ofrecen en la norma ISO 27002.
Esta es una sección particularmente importante de la gestión moderna de riesgos de terceros porque la PII es la categoría más codiciada de datos confidenciales entre los ciberdelincuentes.
Según el informe sobre el coste de una violación de datos de 2021 de IBM y el instituto Ponemon, la PII de los clientes se vio comprometida en casi la mitad de todas las violaciones observadas.
Al implementar también una norma ISO dedicada a salvaguardar la PII de los clientes en un TPRM, las organizaciones podrían reducir a la mitad el número de violaciones de datos exitosas.
Aprenda a comunicar el riesgo de terceros a la Junta >
Cómo cumplir con los requisitos del TPRM con las normas ISO 27001, ISO 27002 e ISO 27018
El marco completo de la norma ISO 27018 es aplicable a la gestión de riesgos de los proveedores, pero solo las secciones 15 de los controles de seguridad de las normas ISO 27001 e ISO 27002 abordan las relaciones de la cadena de suministro.
Cada control de seguridad aplicable que se enumera a continuación se asigna a una función UpGuard para demostrar cómo se puede utilizar la plataforma para establecer un programa TPRM resistente con marcos ISO.
Cómo cumplir con los requisitos de gestión de riesgos de terceros de la norma ISO 27018
Proteger la tecnología en la nube no es fácil. La facilidad de incorporación, junto con su amplia gama de opciones de integración, significa que la superficie de ataque en la nube se expande continuamente, lo que convierte a la tecnología en la nube en un vector de ataque de alto riesgo.
Para cumplir con las expectativas de seguridad de datos estrictamente personales de la norma ISO 27018, una solución debe ser capaz de escalar junto con la red en la nube en expansión.
La plataforma de gestión de riesgos de terceros UpGuard es capaz de monitorear los sistemas de información tanto de soluciones en la nube como de proveedores externos en busca de vulnerabilidades de seguridad que podrían facilitar las violaciones de datos.
Debido a que UpGuard es capaz de monitorear múltiples superficies de ataque, no es necesario invertir en sistemas de administración de seguridad de la información separados para proveedores de nube y servicios de terceros.
UpGuard puede gestionar el ciclo de vida completo de todos los riesgos de seguridad, incluidos los riesgos financieros, en todas las superficies de ataque, desde la detección hasta la corrección y la supervisión.
Haga clic aquí para probar UpGuard gratis durante 7 días.
Cómo cumplir con los requisitos de gestión de riesgos de terceros de las normas ISO 27001 e ISO 27002
Control de seguridad: 15.1 - Seguridad de la información en las relaciones con proveedores
"Asegurar la protección de los activos de la organización que son accesibles por los proveedores.">
El creador de cuestionarios personalizados de UpGuard permite a las organizaciones desarrollar evaluaciones de riesgo que sean más relevantes para los perfiles de riesgo únicos de cada activo.
Los resultados de la evaluación se pueden utilizar para clasificar a los proveedores en función de los niveles de riesgo que representan para activos específicos. Esto permite una distribución más eficiente de los esfuerzos de corrección, donde las vulnerabilidades de los activos más críticas se abordan primero para mitigar significativamente el potencial de compromiso.
Al monitorear continuamente las vulnerabilidades de seguridad de terceros, UpGuard garantiza que todos los proveedores que acceden a activos confidenciales no sean vulnerables a los ciberataques, lo que reduce significativamente el potencial de violaciones de terceros.
Haga clic aquí para probar UpGuard gratis durante 7 días.
Control de seguridad: 15.1.1 - Política de seguridad de la información para las relaciones con los proveedores
"Los requisitos de seguridad de la información para mitigar los riesgos asociados con el acceso del proveedor a los activos de la organización deben ser acordados con el proveedor y documentados".
UpGuard mapea el perfil de riesgo de cada proveedor con respecto a los marcos de ciberseguridad más populares, como la ISO 27001 y el Reglamento General de Protección de Datos (RGPD).
Este proceso identifica brechas de cumplimiento específicas que deben abordarse para lograr el cumplimiento total.
Con el panel de control de panel único de UpGuard y el algoritmo de calificación de seguridad basado en 70+ vectores de ataque, puede identificar instantáneamente las posturas de seguridad en declive y los riesgos específicos de ciberseguridad que son los culpables.
Haga clic aquí para probar UpGuard gratis durante 7 días.
Control de seguridad: 15.1.2 - Abordar la seguridad en los acuerdos con los proveedores
"Todos los requisitos relevantes de seguridad de la información deben establecerse y acordarse con cada proveedor que pueda acceder, procesar, almacenar, comunicar o proporcionar componentes de infraestructura de TI para la información de la organización".
Con los creadores de cuestionarios para clientes de UpGuard, puede crear evaluaciones personalizadas que aborden las obligaciones específicas de seguridad de la información que cada proveedor externo ha acordado.
Haga clic aquí para probar UpGuard gratis durante 7 días.
Control de seguridad: 15.1.2 (d)
"... obligación de cada parte contractual de aplicar un conjunto acordado de controles, incluidos el control de acceso, la revisión del rendimiento, la supervisión, la presentación de informes y la auditoría".
Con los informes incorporados de UpGuard, las partes interesadas pueden realizar un seguimiento del desarrollo de los riesgos de seguridad de la información de cada proveedor en comparación con sus estándares de seguridad contractuales.
Los proveedores altamente regulados, como los del sector financiero o sanitario, deben cumplir con marcos específicos de ciberseguridad, como SOC 2 y NIST.
Con el mapeo del marco de riesgos de UpGuard y el flujo de trabajo de corrección incorporado, puede identificar y abordar fácilmente cualquier deficiencia de control de seguridad que impida dicho cumplimiento.
Por último, las calificaciones de seguridad y las notificaciones personalizadas le permiten automatizar la auditoría de riesgos mediante la configuración de alertas para los riesgos detectados de una gravedad determinada.
Haga clic aquí para probar UpGuard gratis durante 7 días.
Control de seguridad: 15.1.2 (m)
"... derecho a auditar los procesos y controles del proveedor relacionados con el acuerdo".
Con el diseño superior de UX de UpGuard, puede ubicar de manera intuitiva las funciones que se requieren regularmente para auditar los procesos y controles de los proveedores, como las evaluaciones de riesgos y el mapeo de cumplimiento.
Esta facilidad de acceso admite un flujo de trabajo de auditoría repetible y escalable.
Haga clic aquí para probar UpGuard gratis durante 7 días.
Control de seguridad: 15.1.2 (n)
"... Procesos de resolución de defectos y resolución de conflictos... "
Con el flujo de trabajo de corrección incorporado de UpGuard, puede realizar un seguimiento del progreso de cada solicitud de corrección e identificar los obstáculos que requieren su atención.
Haga clic aquí para probar UpGuard gratis durante 7 días.
Control de seguridad: 15.1.2 (p)
"... obligaciones del proveedor de cumplir con los requisitos de seguridad de la organización".
El sistema de gestión de riesgos de terceros UpGuard le ayuda a realizar un seguimiento de los requisitos reglamentarios de seguridad de datos de cada servicio de terceros a través de evaluaciones de riesgos de proveedores estándar de la industria y/o cuestionarios personalizados.
Control de seguridad: 15.1.3 - Cadena de suministro de tecnologías de la información y la comunicación
"Los acuerdos con los proveedores deben incluir requisitos para abordar los riesgos de seguridad de la información asociados con los servicios de tecnología de la información y las comunicaciones y la cadena de suministro de productos".
UpGuard monitorea continuamente toda la superficie de ataque en busca de vulnerabilidades que podrían facilitar las violaciones de datos. Estas exposiciones podrían estar relacionadas con cualquier proceso de productos a lo largo de la cadena de suministro, incluidas las tecnologías de la información y la comunicación.
Haga clic aquí para probar UpGuard gratis durante 7 días.
Control de seguridad: 15.1.3 (d)
"... la implementación de un proceso de monitoreo y métodos aceptables para validar que los productos y servicios de tecnología de la información y las comunicaciones entregados se adhieren a los requisitos de seguridad establecidos".
Las calificaciones de seguridad en tiempo real de UpGuard lo ayudan a monitorear y confirmar los esfuerzos de corrección de todos los proveedores externos para garantizar el cumplimiento de las prácticas de diligencia debida y los requisitos de cumplimiento.
Haga clic aquí para probar UpGuard gratis durante 7 días.
Control de seguridad: 15.2.1 - Seguimiento y revisión de los servicios de los proveedores
"Las organizaciones deben monitorear, revisar y auditar regularmente la prestación de servicios a los proveedores.
El seguimiento y la revisión de los servicios de los proveedores deben garantizar que se cumplan los términos y condiciones de seguridad de la información de los acuerdos y que los incidentes y problemas de seguridad de la información se gestionen adecuadamente.
A través de calificaciones de seguridad en tiempo real y monitoreo de la superficie de ataque, UpGuard escanea continuamente en busca de vulnerabilidades de seguridad que reflejen la eficacia de los procesos de gestión de riesgos.
Esto le ayuda a descubrir cualquier fallo en las prácticas de seguridad de la información que infrinjan los acuerdos de ciberseguridad.
Haga clic aquí para probar UpGuard gratis durante 7 días.
Control de seguridad: 15.2.1 (c)
"... llevar a cabo auditorías de los proveedores, junto con una revisión de los informes de los auditores independientes, si están disponibles, y hacer un seguimiento de los problemas identificados".
UpGuard permite a los proveedores externos mostrar su debida diligencia en materia de ciberseguridad con su función Compartir perfil.
Cualquier documento de seguridad se puede cargar en un perfil compartido, incluidas las evaluaciones de riesgos completadas, los cuestionarios e incluso los informes de auditoría de auditores externos independientes.
Haga clic aquí para probar UpGuard gratis durante 7 días.
Control de seguridad: 15.2.1 (g)
"... revisar los aspectos de seguridad de la información de las relaciones del proveedor con sus propios proveedores".
La función de monitoreo de riesgos de cuarta parte de UpGuard mapea las relaciones entre sus proveedores externos y sus proveedores, lo que lo ayuda a rastrear las vulnerabilidades emergentes hasta la superficie de ataque de cuarta parte.
UpGuard también puede ayudarlo a detectar y detener cualquier fuga de datos, lo que aumenta el riesgo de una violación de datos, tanto internamente como en toda la superficie de ataque de terceros y cuartos.