FFIEC y sus Requisitos de Gestión de Riesgos de Terceros

El Consejo Federal de Examen de Instituciones Financieras (FFIEC, por sus siglas en inglés) ha establecido estándares de ciberseguridad para proteger a las instituciones financieras de la creciente amenaza de los ciberataques. Dado que los riesgos de seguridad de terceros se están convirtiendo rápidamente en uno de los vectores de ataque más críticos que facilitan las violaciones de datos en el sector financiero, la FFIEC incluye sólidos requisitos de gestión de riesgos de terceros en sus folletos de TI.

Sin embargo, la gestión de riesgos de terceros (TPRM, por sus siglas en inglés) sigue siendo una disciplina relativamente nueva y complicada de ciberseguridad que muchas instituciones financieras supervisadas por el gobierno federal todavía luchan por dominar.

Para reducir la confusión en torno a los requisitos de riesgos de terceros de la FFIEC y sus consecuentes multas por incumplimiento, esta publicación explica claramente cómo cumplir con todos los requisitos de gestión de riesgos de terceros de la FFIEC.

¿Quién debe cumplir con el FFIEC?

Todas las instituciones financieras supervisadas por el gobierno federal deben cumplir con la FFIEC. Ejemplos de instituciones financieras supervisadas por el gobierno federal incluyen:

• Bancos nacionales y federales
• Cooperativas de ahorro y crédito
• Ahorros

¿Cuáles son las Sanciones por Incumplimiento de la FFIEC?

La FFIEC es una junta examinadora que supervisa el cumplimiento a través de los siguientes cinco reguladores financieros:

• La Junta de Gobernadores de la Reserva Federal (FRB) - Regula los bancos nacionales
• La Corporación Federal de Seguro de Depósitos (FDIC) - Regula los bancos federales
• La Oficina del Contralor de la Moneda (OCC) - Regula los bancos federales
• La Administración Nacional de Cooperativas de Ahorro y Crédito (NCUA) - Regula las cooperativas de ahorro y crédito.
• Oficina para la Protección Financiera del Consumidor (CFPB, por sus siglas en inglés) - Regula los bancos, las cajas de ahorro y las cooperativas de crédito.

Estos reguladores realizan auditorías para evaluar la alineación con los estándares de ciberseguridad de la FFIEC. Las sanciones por infracción dependen del grado de incumplimiento y de la fiscalización que lleve a cabo la auditoría.

No todos los casos de incumplimiento pueden dar lugar a una multa. Algunos auditores podrían responder a una infracción con una orden de cese y desistimiento, mientras que otros podrían imponer multas de hasta 2 millones de dólares.

Ya sea a través de un daño reputacional duradero o una multa, las repercusiones por no cumplir con los estándares FFIEC siempre son muy costosas.

¿Qué es el Manual de Examen de TI de FFIEC?

El Manual de Examen de TI de FFIEC detalla las pautas de ciberseguridad recomendadas para los servicios financieros en los siguientes 10 folletos:

1. Auditoría.
2. Continuidad del negocio.
3. Desarrollo y Adquisición.
4. Seguridad de la información.
5. Administración.
6. Arquitectura, Infraestructura y Operaciones.
7. Tercerización de Servicios Tecnológicos.
8. Sistemas de pago minoristas.
9. Supervisión de Proveedores de Servicios Tecnológicos.
10. Sistemas de pago al por mayor.

Se puede acceder a todos estos folletos a través del Manual de TI completo de FFIEC.

Dos de estos 10 folletos abordan específicamente las normas de gestión de riesgos de terceros de la FFIEC: Externalización de Servicios Tecnológicos y Supervisión de Proveedores de Servicios Tecnológicos.

Guía de cumplimiento en 4 etapas para los requisitos del TPRM de la FFIEC

Las directrices que se indican a continuación abordan todas las principales normas de cumplimiento de riesgos de terceros de la FFIEC.

1. Comprenda su nivel de riesgo y preparación para la ciberseguridad

Un programa de gestión de riesgos de terceros que se alinee con las pautas de seguridad de FFIEC debe ser una extensión de un programa de seguridad de la información establecido. Para ayudar a las instituciones financieras con estándares de seguridad deficientes a establecer prácticas fundamentales de gestión de riesgos cibernéticos, la FFIEC ha desarrollado una herramienta de evaluación de ciberseguridad gratuita basada en el Marco de Ciberseguridad de los Institutos Nacionales de Estándares y Tecnología.

Más información sobre el > de CSF del NIST

Puede utilizar esta herramienta para realizar un análisis de brechas en un conjunto de dominios de ciberseguridad que se alineen con las principales iniciativas de seguridad de tecnología de la información de FFIEC:

• Procesos de Gestión de Riesgos.
• Seguridad de la información del cliente.
• Funcionalidad eficaz de auditoría de gestión de riesgos.
• Controles internos.
• Inteligencia de amenazas en los sistemas de información.
• Seguridad de endpoints.
• Prácticas de codificación seguras.

Aunque el uso de esta herramienta es opcional, es un método muy recomendable para evaluar la resiliencia de la ciberseguridad si actualmente no tienes un programa de ciberseguridad establecido.

Acceda a la herramienta de evaluación de ciberseguridad de FFIEC >

UpGuard ofrece un conjunto de funciones que respaldan la concienciación continua sobre los riesgos de ciberseguridad en las regiones más explotadas de la superficie de ataque.

• Calificaciones de seguridad: evaluaciones cuantitativas de la postura de seguridad de sus ecosistemas de TI internos y de todos los proveedores externos (incluidos los subcontratistas) que se actualizan en tiempo real.
• Riesgo del proveedor de UpGuard: evalúe el nivel de riesgo y la probabilidad de que cada proveedor sufra una violación de datos.
• Gestión de evaluación de riesgos de terceros: elija entre una biblioteca de evaluaciones de riesgos basadas en marcos de ciberseguridad populares y realice un seguimiento de su estado.
• Seguimiento del cumplimiento normativo: mapee las respuestas de seguridad de terceros con respecto a los estándares de seguridad cibernética más populares para identificar los requisitos normativos no cumplidos.
• Generación de informes de ciberseguridad: mantenga informados a la junta directiva y a la alta dirección sobre el estado de su postura de seguridad y su rendimiento en relación con las métricas de ciberseguridad.

Solicite una prueba gratuita de 7 días de UpGuard >

2. Implementar un programa de gestión de riesgos de terceros

Un programa de gestión de riesgos de terceros equipa a las instituciones financieras con el método más completo para mitigar los riesgos de ciberseguridad con relaciones con terceros. La FFIEC espera que un programa de TPRM aborde los requisitos esenciales finales:

• Diligencia debida: evalúe las capacidades de recuperación de incidentes de los proveedores de servicios tecnológicos (TSP) nuevos y existentes y la alineación con los estándares de seguridad internos.
• Monitoreo continuo: monitoree continuamente los niveles de riesgo operativo, especialmente para actividades críticas que involucran datos confidenciales del cliente (consulte el punto 3 a continuación para obtener más información sobre este requisito).
• Contratos: asegúrese de que los contratos de los proveedores estipulen el cumplimiento de las leyes aplicables, el derecho a revisiones independientes y las responsabilidades de terceros para abordar los riesgos de seguridad. El derecho a los acuerdos de auditoría debe incluir la frecuencia y el nombre de cada informe requerido, por ejemplo, los informes SOC 2.

Para obtener orientación sobre cómo identificar y controlar los riesgos asociados con la lucha contra el lavado de dinero, consulte este manual de la FFIEC.

Si ya tiene un marco de ciberseguridad establecido, un programa de TPRM debe integrarse con él y no reemplazarlo.

Aprenda a implementar un TPRM en un marco cibernético existente >

UpGuard ofrece una solución TPRM que aborda el ciclo de vida completo de los riesgos de seguridad para todas las relaciones con terceros. Esta guía de gestión de riesgos se ofrece a través de las siguientes características:

• Diligencia debida: asegure el proceso de incorporación de proveedores con evaluación de seguridad y superficie de ataque antes de que se apruebe el uso de terceros. Además, evalúe el perfil de riesgo y los niveles de riesgo inherentes de los nuevos TSP frente a los apetitos de riesgo.
• Administración de correcciones: realice un seguimiento de los esfuerzos de corrección de todas las vulnerabilidades detectadas y su impacto previsto en las calificaciones de seguridad.
• Monitoreo continuo: monitoreo en tiempo real de riesgos de seguridad emergentes de terceros
• Evaluaciones personalizadas de terceros: cree cuestionarios personalizados para evaluar la eficacia de la planificación de contingencias, las estrategias de prevención de interrupciones del servicio y las condiciones financieras de todos los proveedores externos.
• Seguimiento del cumplimiento: cree cuestionarios personalizados para evaluar el cumplimiento de las leyes aplicables, como la Ley Gramm-Leach-Bliley (GLBA) y las leyes contra el lavado de dinero.
• Perfil compartido de proveedor: haga que los proveedores externos alojen contratos y otra documentación relevante en un perfil compartido disponible para los auditores de FFIEC.
• Detección de fugas de datos: detecte y aborde las fugas de datos que podrían acelerar las violaciones de datos de terceros y otros riesgos de terceros que violen los estándares de seguridad de FFIEC.

Solicite una prueba gratuita de 7 días de UpGuard >

3. Monitoreo continuo de la superficie de ataque

La FFIEC requiere que las instituciones financieras monitoreen continuamente a los proveedores de servicios tecnológicos (TSP) para detectar posibles impactos en la resiliencia empresarial. Este esfuerzo de seguimiento debe incluir evaluaciones en las siguientes áreas clave:

• Planificación de la Continuidad del Negocio (BCP)
• Controles de seguridad.
• Alineación con los acuerdos de nivel de servicio de los proveedores.
• Impacto potencial de eventos externos (que podrían incluir incidentes de seguridad dentro de la cadena de suministro).

UpGuard monitorea continuamente la superficie de ataque de terceros para descubrir riesgos emergentes de terceros que podrían facilitar las violaciones de datos. Los resultados de estos análisis alimentan un algoritmo de clasificación de seguridad para formar un análisis cuantitativo de la eficacia de los controles de seguridad de cada proveedor de servicios de terceros.

Para los esfuerzos de monitoreo a medida, UpGuard ofrece un creador de cuestionarios de seguridad personalizable, lo que permite a las instituciones financieras crear evaluaciones de seguridad para prácticamente cualquier área de cumplimiento de FFIEC, incluidas las cuatro categorías de monitoreo esenciales enumeradas anteriormente.

Solicite una prueba gratuita de 7 días de UpGuard >

4. Seguimiento del cumplimiento de terceros

La FFIEC requiere que la gerencia realice una evaluación formal para identificar el alcance de los riesgos en las siguientes cuatro categorías de riesgo.

• Riesgos de reputación: cualquier amenaza a la reputación que surja de errores de tecnología de la información, incluidas las notificaciones de violación de datos ineficientes o retrasadas a los clientes afectados.
• Riesgos estratégicos: cualquier amenaza a las malas decisiones estratégicas causada por una experiencia de gestión inadecuada.
• Riesgos de cumplimiento: cualquier amenaza de incumplimiento de las regulaciones financieras, incluido el incumplimiento con proveedores externos.
• Riesgos de tasas de interés: errores de procesamiento que conducen a malas decisiones de inversión.

Aprenda a comunicar el riesgo de terceros a la Junta >

UpGuard ayuda a las instituciones financieras a identificar las brechas de cumplimiento de los proveedores que podrían resultar en una violación de FFIEC mediante el mapeo de las respuestas del cuestionario de seguridad a los marcos de ciberseguridad populares.

Solicite una prueba gratuita de 7 días de UpGuard >

Otros estándares de ciberseguridad que podrían respaldar el cumplimiento de FFIEC

Otros controles que podrían respaldar el cumplimiento de los estándares de seguridad de terceros de FFIEC incluyen:

• Autenticación de factor múltiple (MFA): implemente MFA en todas las cuentas de usuario, no la autenticación de un solo factor, ya que los piratas informáticos pueden explotar fácilmente este mecanismo de seguridad. Lo ideal es implementar la MFA adaptativa.
• Cifre todos los procesos de transacciones en línea (OLTP): todas las actividades financieras y la información confidencial de los clientes deben cifrarse en reposo y en movimiento.
• Evaluaciones internas periódicas: realice evaluaciones periódicas de seguridad internas y de terceros para identificar y abordar de manera preventiva las vulnerabilidades antes de que se conviertan en infracciones.
• Garantizar un sólido apoyo de la junta directiva y de la alta dirección: mantenga a la junta directiva y a los altos directivos involucrados en todos los planes del programa de seguridad de la información. Además, asegúrese de que la gerencia esté continuamente informada del estado y la eficacia de los esfuerzos de ciberseguridad.
• Defina las funciones y responsabilidades de ciberseguridad: asigne responsabilidades para iniciativas y respuestas clave de ciberseguridad, garantizando la alineación con los planes de respuesta a incidentes.