Preguntas esenciales para evaluar proveedores terceros en riesgo de ciberseguridad

Desde consultores de marketing y socios de cadena de suministro hasta contables y proveedores de servicios TI, las organizaciones hoy dependen de todo tipo de terceros para prácticamente cada función empresarial concebible.

Según una investigación reciente del Instituto Ponemon, la consecuencia no intencionada de las dependencias de terceros es que el 61 % de las organizaciones en EE. UU. han sufrido una violación de datos causada por un tercero o proveedor. El 57 % de las empresas no puede determinar si las políticas y defensas de seguridad de sus proveedores pueden prevenir adecuadamente una brecha, y menos de la mitad evalúan las prácticas de seguridad y privacidad de los proveedores antes de iniciar un acuerdo comercial que requiera compartir información sensible o confidencial.

No es sorprendente, por tanto, que según la misma investigación solo el 16 % de los encuestados calificaran a sus empresas como «altamente efectivas» en la mitigación del riesgo de terceros. De hecho, quienes priorizan la gestión de sus riesgos de externalización son minoría.

El mejor momento para empezar a reducir el riesgo de terceros es al inicio de la relación, antes de firmar un acuerdo. Ese es el momento en que necesitas hacer preguntas críticas para identificar la posible exposición que asumes y cómo evitar mejor un compromiso. Los proveedores con fuertes prácticas de seguridad suelen estar dispuestos a hablar de ellas, mientras que quienes evitan esas discusiones podrían tener algo que ocultar. Con eso en mente, aquí hay cinco preguntas —una interna y cuatro para candidatos serios— que debes hacer al considerar un tercero:

¿Qué datos y sistemas poseerá o accederá el tercero?

Muchos terceros no tendrán acceso a datos o sistemas sensibles, por lo que si sufren una brecha, la amenaza para ti es mínima. Un proveedor de jardinería, por ejemplo, tiene poco acceso a datos o sistemas, y probablemente ninguno al interior de cualquier instalación. Quizás la única red computarizada a la que podría acceder sea un sistema de riego, que más que probablemente estaría aislado de los sistemas corporativos internos. Por tanto, cualquier brecha potencial de este proveedor hipotético de jardinería tendría poco o ningún impacto esperado.

Un proveedor de RR. HH., sistema financiero o proveedor, por el contrario, sería muy diferente. Por ejemplo, si contratas a un consultor para desarrollar analítica de clientes en apoyo de la estrategia de marketing o negocio, esa entidad podría tener acceso a datos de la empresa que abarcan números de tarjetas de crédito y direcciones de clientes, o finanzas corporativas. Este tipo de consultor debe ser examinado cuidadosamente.

¿Qué tipo de registro y monitorización realiza el tercero?

El registro y la monitorización son las formas principales en que una organización registra y responde a la actividad dentro de su entorno. Pero los registros de actividad de sistemas y redes son extensos. Y en los entornos informáticos modernos, compuestos por múltiples sistemas diversos y redes de alto ancho de banda, el volumen de eventos de registro rápidamente se vuelve abrumador para un humano. Para monitorizar adecuadamente eventos de seguridad, deben desplegarse herramientas para almacenar y priorizar estos eventos. Conociendo las elecciones de personal y herramientas del proveedor, entenderás qué tan en serio se toma la seguridad. Al fin y al cabo, personas + herramientas = dinero = recursos = prioridades. Busca socios que prioricen e inviertan en seguridad.

¿Cómo gestiona el tercero los controles de acceso físicos y técnicos?

Los controles de acceso son una forma de reducir la vulnerabilidad y, por tanto, el riesgo. Tienen dos formas principales: físicos y técnicos. En nuestro mundo hiperconectado, es fácil olvidar la importancia de los controles físicos. Necesitas identificar las ubicaciones físicas donde el tercero almacena, procesa y transmite datos, así como el nivel de seguridad física en esas ubicaciones. Si tus datos se van a almacenar en dispositivos móviles, es importante entender los controles de seguridad asociados a esos dispositivos, ya que podrían no estar siempre en una ubicación física estática.

Los controles de acceso técnicos también son importantes para la evaluación de sistemas y redes. Pregunta cuántos individuos tendrán acceso a tus datos y con qué propósito. Entiende cómo el tercero usa autenticación multifactor, con qué frecuencia se revisan los usuarios en el grupo de administradores, con qué frecuencia se revisan los permisos del sistema y cómo se elimina el acceso de empleados que se van. Además, aprende cómo se usan las prácticas y herramientas de segmentación de red. Por ejemplo, ¿qué controles hay para aislar sistemas de producción de otros entornos como internet? ¿Cómo segmenta el tercero su red interna?

Muchas veces, buenos controles de acceso físicos pueden compensar controles técnicos débiles, y viceversa. Pero la mejor práctica es limitar el acceso físico y técnico a datos y sistemas a aquellos individuos necesarios para proporcionar el servicio. Controles de acceso laxos abren la superficie de ataque y aumentan tu riesgo.

¿Qué enfoques sigue el tercero para parchear sistemas?

Si bien las vulnerabilidades desconocidas o no reveladas son dramáticas y reciben mucha atención, son raras. Las organizaciones están más en riesgo por vulnerabilidades conocidas que por desconocidas. Como resultado, los terceros deben tener programas robustos para corregir vulnerabilidades conocidas, aplicando rápidamente parches de seguridad que actualicen fallos y eliminen el software vulnerable subyacente.

Los principales proveedores de software lanzan actualizaciones con una cadencia regular. En tu revisión de terceros, necesitas estar convencido de que los sistemas que procesan, almacenan y transmiten tus datos recibirán actualizaciones regulares y oportunas, y que existen procesos expeditos para vulnerabilidades inmediatas y críticas.

¿Se somete el tercero a auditorías o pruebas independientes? ¿Qué certificaciones de seguridad ha obtenido?

Las auditorías mantienen a las organizaciones responsables. Los terceros deberían autoauditarse completando y manteniendo actualizados cuestionarios de seguridad estandarizados como SIG Lite o CSA CAIQ. Más allá de las autoevaluaciones, las auditorías independientes te dan tranquilidad de que el tercero sigue sus políticas y procedimientos. Las auditorías independientes pueden incluir pruebas de penetración o SOC 2. Algunas industrias tienen sus propias certificaciones como HITRUST en salud, PCI para procesadores de pagos, y FedRAMP en el gobierno federal de EE. UU. En todos los casos, las auditorías independientes son importantes y muestran un compromiso con mantener un programa formal de seguridad de la información validado.

Tomadas en conjunto, las discusiones en torno a estas áreas clave te darán una idea de la postura de seguridad de un proveedor. Si las respuestas del proveedor son transparentes e indican prioridad estratégica y diligencia proactiva, puedes avanzar con más confianza. Si la postura de seguridad del proveedor es inmadura, entonces debes aceptar el riesgo o considerar otras mitigaciones para controlarlo.

No dejes que la seguridad de datos sea una idea posterior. Hazla parte integral de las discusiones de productos y servicios. En el entorno actual de ataques voluminosos e intrincados, la ciberseguridad es un asunto de negocio. Debes hacer tu debida diligencia para entender tu riesgo.

Jeremy Haas es director de seguridad, y Ryan Bergquist es analista de ciberseguridad, en LookingGlass Cyber Solutions.