Hoy en día, ninguna organización puede realizar su trabajo y operar sin la colaboración de terceras partes, bien sean estos proveedores, consultores, socios, en general colaboradores de cualquier índole. Y aquí es precisamente dónde debemos poner especial atención. Por eso, ¿has valorado alguna vez el riesgo al que te pueden exponer estos terceros y cómo elaborar un programa eficaz de prevención? Te los contamos en este artículo redactado por nuestro director de NextVision: Roberto Heker, para nuestros compañeros de ISMS Forum.
Efectivamente, las empresas u organismos públicos y privados funcionan gracias a un cierto grado de dependencia en los servicios que se externalizan. La decisión de contratar los servicios se puede deber a diversas razones, pero conceptualmente esto se suele hacer para mejorar la eficiencia y/o coste de determinadas actividades que por sus características son susceptibles de ser subcontratadas. Esta situación de subcontratación o externalización no significa que la responsabilidad sobre los riesgos a los que están expuestas dichas actividades se transfieran de igual manera, la responsabilidad sobre los mismos sigue estando en la empresa, y en particular hablando de riesgos de seguridad de la información, la responsabilidad sobre los datos y sistemas gestionados por un tercero sigue siendo absolutamente nuestra.
La transformación digital ha acelerado la integración con proveedores, generando un desafío muy importante, ya que nos encontramos frente a potenciales brechas en organizaciones que no gestionamos pero que pueden, sin embargo, causarnos un impacto negativo como consecuencia de un incidente. Según Gartner más del 55% de los presupuestos de TI se los llevan los servicios y tecnologías contratados a terceras partes. No obstante, no parece ser que las organizaciones estén invirtiendo en la misma proporción en la gestión de los potenciales riesgos provenientes de los suministradores de servicios.
Y no debemos olvidar a los reguladores. Como es sabido, cada vez más están considerando a los terceros como un factor determinante en el ciberriesgo. Podríamos decir, sin temor a equivocarnos, que todas las regulaciones del ámbito de la seguridad de la información incluyen la gestión de riesgos de terceras partes como un requisito a cumplir por las entidades reguladas, de igual manera que ya lo venían haciendo los distintos estándares, guías, recomendaciones y marcos de control.
La cuestión, entonces, es dilucidar cómo instrumentar un programa eficaz de gestión de terceras partes. Y no es un desafío menor, dado que uno de los factores más relevantes es que las organizaciones aún no tienen un proceso coherente para identificar, monitorizar, y analizar los múltiples riesgos provenientes de terceros.
Efectivamente, encontramos que no hay un proceso de análisis para diferenciar los distintos niveles de riesgo entre proveedores de diferentes servicios, los que tienen diferente criticidad y potencial impacto sobre nuestra organización. En consecuencia, deberíamos determinar en primer lugar el riesgo inherente del servicio a contratar. Incluso es conveniente hacerlo antes de haberse lanzado el proceso de búsqueda de proveedores. Esto nos permitirá segmentar los distintos servicios, con criterios del estilo:
- Sin acceso a datos y sistemas.
- Con acceso a datos no sensibles.
- Servicios importantes con accesos a los sistemas.
- Servicios críticos para el negocio que pueden ocasionar su disrupción.
- Otros.
Cuando analizamos el servicio en el que involucraremos terceras partes (incluyendo a filiales de nuestra propia organización) debemos estipular qué tipo de daño podrían ocasionarnos, por ejemplo:
- Filtración de Información Propietaria.
- Información financiera de clientes.
- Datos de carácter personal.
- Información estratégica.
- Otros datos.
Y entonces debemos pensar en las potenciales consecuencias para la organización:
- Daño reputacional.
- Impacto económico o financiero.
- Penalizaciones de los reguladores.
- Interrupción del negocio.
- Otras
En función de todos estos factores podremos determinar los servicios que tienen mayor impacto en la ciberseguridad de nuestra organización y qué presupuesto se asignará a evaluar a los proveedores de cada una de las prestaciones, según su criticidad.
Una vez identificados los factores críticos y su relación con las terceras partes, podemos comenzar a evaluar los riesgos asociados a éstas. Actualmente, cuando se evalúan proveedores, en muchos casos se ejecuta de forma periódica (anual, semestral, cuatrimestral.) y en consecuencia la información obtenida queda rápidamente desactualizada. Sabemos muy bien que, en el ecosistema de nuestras terceras partes, al igual que en el nuestro, surgen continuamente nuevas amenazas y vulnerabilidades, así como cambios en su postura de seguridad. Si no realizamos análisis continuos no podremos nunca mantener actualizada nuestra valoración del riesgo asociado a estos terceros. De hecho, la mayoría de las veces no podremos enterarnos de un incidente hasta que el proveedor decide alertarnos o se ha hecho público y en ese intervalo, un ciberataque proveniente de dicho incidente podría haberse materializado en nuestra organización. Por el contrario, disponiendo de información adecuada, monitorizando a los proveedores críticos y evaluando en proporción a la criticidad del servicio prestado, tendremos la oportunidad de reaccionar y mitigar a tiempo potenciales incidentes.
Ante este escenario, consideramos que la monitorización continua es un proceso que debe incorporarse en la gestión del riesgo de terceros. De hecho, según diversas encuestas, es sabido que la mayoría de las grandes organizaciones carecen de un proceso que permita obtener información en tiempo real sobre problemas o incidentes críticos en nuestras terceras partes.
Yendo un paso más allá, disponer de procesos y recursos dedicados al Vendor Risk Management ha de ser el objetivo a cubrir por cualquier organización de un determinado tamaño. Y durante este proceso pueda evaluarse el impacto que tiene el servicio y el proveedor en la ciberseguridad.
A lo largo del camino hacia un modelo más maduro de gestión de proveedores, podemos incorporar medidas adicionales, tales como el diseño de los controles, métodos de reporting y monitorización de procesos específicos. Incluso, deberíamos exigir a nuestras terceras partes que hicieran esto mismo con sus propias subcontratas. Estos son potencialmente sujetos de los mismos riesgos.
A partir de este punto, establecer el proceso de seguimiento y colaboración con nuestros proveedores, definir KPIs, y pactar con ellos qué información deben suministrar. Y acordar cómo será la cooperación mutua durante el proceso de mitigación de riesgos o remediación de una eventual brecha. Asimismo, esta cooperación les pueda facilitar a nuestros proveedores la monitorización de las subcontratas o cuartas partes.
Dentro de los procesos comentados, la utilización de plataformas va a facilitarnos una gestión mucho más óptima del riesgo de terceros. Podemos puntualizar como recomendable que el servicio disponga de:
- Monitorización continua de proveedores con una plataforma de Scoring, potente y continuamente actualizada, con baja tasa de falsos positivos.
- Segmentación por servicios, riesgo, grupos a los proveedores.
- Evaluación del cumplimiento de las normativas.
- Emisión de alertas ante brechas o amenazas emergentes.
- Integración de los terceros para facilitarles su proceso de mejora.
- Disposición de cuestionarios para agilizar el proceso de due diligence , permitiendo a nuestra organización el envío, gestión y revisión de cuestionarios a gran escala.
- Integración entre scoring y cuestionarios, que permita utilizar la información de la huella digital del vendor como evidencia de que su respuesta a los cuestionarios es o no coherente con las vulnerabilidades detectadas.
- Cibervigilancia de terceras partes que permita identificar potenciales amenazas contra estos o incluso incidentes no reportados.
Concluyendo, la criticidad de las terceras partes y su impacto en el ciberriesgo ya es un hecho que no puede soslayarse. Debemos coordinar acciones, procesos e implementar plataformas que nos lleven a disponer de un programa maduro de Gestión de Riesgos de Terceras Partes.
