Cuatro componentes esenciales de la gestión de riesgos de terceros

Cero es el número de proveedores de servicios gestionados (MSP) que preguntaron a Datto si nosotros, o alguno de nuestros proveedores clave, nos habíamos visto afectados por las vulnerabilidades de ProxyLogon de Microsoft Exchange. ¡Houston, tenemos un problema!

Las consideraciones de seguridad no se limitan al perímetro de nuestras redes. Debemos tener en cuenta la postura de los proveedores que procesan nuestros datos, se integran con nuestros sistemas o aquellos en quienes confiamos para nuestras operaciones diarias. Después de todo, la postura de seguridad de una organización es tan fuerte como su eslabón más débil y, lo creamos o no, los proveedores se han convertido en una cadena de suministro integral que respalda nuestras operaciones comerciales.

Como MSP, el concepto de subcontratar una responsabilidad, un proceso o una función es algo natural. Esta es la base fundamental de los servicios que prestan a sus clientes, pero ¿qué tan segura es la cartera de proveedores con los que se han asociado? ¿Están protegiendo la confidencialidad, la integridad y la disponibilidad de los datos y el acceso de la misma manera que lo haría usted? Y lo más importante, ¿entiende las brechas de seguridad y los riesgos a los que le exponen sus relaciones con los proveedores a lo largo del tiempo? Si no tiene una respuesta rápida a todas estas preguntas, es probable que esté descuidando un componente esencial de la estrategia de resiliencia cibernética de su organización.

¿Llevas un inventario de tus proveedores?

Empecemos por lo básico. Cualquier profesional de TI o de seguridad te diría que el paso fundamental para cualquier buena iniciativa es conocerse a sí mismo, lo que significa comprender tu postura de seguridad. Los inventarios de activos de hardware y software son componentes esenciales del área de capacidad funcional de «Identificación» en la mayoría de los marcos de ciberseguridad adoptados por los MSP, así que, ¿por qué no hacer también un inventario de tus proveedores?

¿Cómo se puede gestionar eficazmente un problema sin recopilar y comprender sus parámetros? Sin una comprensión general de qué proveedores se utilizan en su organización, es probable que no pueda identificar los puntos vulnerables reales en su cartera de riesgos de terceros. La taxonomía de sus adquisiciones juega un papel importante aquí. Cada proveedor que entra o sale debe ser contabilizado e identificado adecuadamente en un sistema de registro basado en el tipo de servicio y la relación. Ese sistema de registro puede ser también tecnológico, o una simple hoja de cálculo. La clave aquí es simplemente desarrollar procesos y mantenerlos.

La gestión centralizada de una cartera de proveedores ofrece muchas ventajas, algunas de las cuales están relacionadas con la seguridad y el riesgo. Con un buen conocimiento de lo que existe, ahora puede evaluar las redundancias y las relaciones innecesarias en un solo lugar. Sin mencionar que, una vez que los proveedores se han centralizado en un solo lugar, puede comenzar a priorizar su diligencia en función de la importancia del proveedor para las operaciones de su organización.

¿Quién es quién en el zoológico de los proveedores?

No todos los proveedores son iguales, y puede resultar difícil analizar en profundidad a cada uno de los que forman parte de su cartera, especialmente cuando se cuenta con recursos de seguridad limitados. Por lo tanto, en un mundo en el que la gestión de riesgos es un lujo, priorice sus esfuerzos en aquellos proveedores cuya vulnerabilidad podría causar el mayor daño a su organización o provocar una perturbación significativa en su ritmo operativo.

La priorización, o la clasificación por niveles de los proveedores, puede utilizarse para orientar una serie de procesos en el ciclo de gestión de proveedores:

• Establezca una cadencia para la diligencia debida de los proveedores en toda la empresa
• Defina requisitos específicos para los proveedores de cada nivel
• Acelerar los procesos de adquisición para proveedores de bajo riesgo
• Permitir priorizar la investigación de proveedores de alto nivel

A continuación, se presentan algunos criterios clave que deben tenerse en cuenta al clasificar a sus proveedores.

Una lista de verificación de más: cómo evaluar adecuadamente a tus proveedores

A medida que evoluciona la complejidad de las relaciones con los proveedores, también deberían hacerlo los métodos con los que las evaluamos. La era de las listas de verificación estandarizadas ya pasó, y sin embargo muchas organizaciones siguen confiando únicamente en la capacidad de una lista de verificación para evaluar procesos de seguridad complejos. Esto es como tratar de cuantificar un problema tridimensional con un enfoque bidimensional.

Ahora que ha desarrollado criterios para identificar a sus proveedores más críticos, puede dar un paso atrás y desarrollar una forma adecuada de evaluarlos, una que mida a los proveedores de manera que refleje sus requisitos internos. En la mayoría de los casos, esos proveedores de Nivel 1 deben ser tratados como una extensión de su organización y, por lo tanto, debe asegurarse de que cuenten con políticas, procedimientos, procesos y capacidades similares o mejores que los que ha establecido para su organización.

Es imprescindible preguntarse: si este proveedor en particular sufriera una violación de seguridad, ¿cuál sería el impacto en nuestras operaciones y en las de nuestros clientes? Evalúe al proveedor en función de esas prioridades. Si le preocupa la disponibilidad, incluya acuerdos de nivel de servicio (SLA) sólidos en el contrato y asegúrese de que cuenten con un plan de respuesta adecuado en caso de un incidente. Asegúrese de que sus planes de continuidad del negocio estén diseñados y probados para resistir lo imprevisto, no solo para cumplir con un requisito. Si sus preocupaciones se centran principalmente en los datos, asegúrese de que se incorporen los controles de acceso adecuados en su entorno, analice cada capa, verifique que se adopten estándares de cifrado, asegúrese de que se revisen los registros de seguimiento de auditoría, etc.

Los escenarios podrían seguir indefinidamente, pero lo importante es no pasar por alto las brechas en los procesos del proveedor y orientar su evaluación basándose en una comprensión sólida de lo que hacen por usted y cómo eso impacta su resiliencia. Es muy fácil atribuirse el mérito por la existencia de un proceso, pero demostrar su efectividad y eficiencia a través de la documentación es mucho más difícil de lograr. Así que asegúrese de investigar más a fondo, hacer preguntas, reunirse con los representantes adecuados y documentar sus planes para abordar cualquier problema o inquietud. Recuerde, ha priorizado a unos cuantos de estos proveedores como críticos; es hora de que empiece a tratarlos como tales.

Si no existen tales planes, colabore con ellos para desarrollar un plan de acción con hitos. Esto les ayudará a dar seguimiento al progreso para alcanzar la solución deseada. Si esta opción no está sobre la mesa, asegúrese de contar con un sistema para transferir el riesgo de vuelta al proveedor o establecer el cumplimiento mediante cláusulas contractuales. Ya no se puede esperar que las mejores prácticas y las garantías sean algo implícito; deben establecerse como requisitos al iniciar una relación con un proveedor y, si no se cumplen, el proveedor deberá asumir la totalidad o parte de los daños.

La redacción de las cláusulas de seguridad en los contratos no solo te protegerá al obligar a los proveedores a cumplir con las mejores prácticas, sino que también marcará el ritmo de la relación. Obligará a ambas partes a cumplir con los estándares que deben respetarse en caso de un incidente. Aspectos como la respuesta ante incidentes, la recuperación de datos, la propiedad de los datos, los derechos a una evaluación, etc., deben definirse desde el principio en estas relaciones. Estos pueden parecer requisitos básicos, pero cuando llegue el momento decisivo, se alegrará de que su equipo legal pueda recurrir a estas cláusulas para acelerar una respuesta o una acción por parte del proveedor.