La gestión de riesgos de terceros consiste en identificar y mitigar los riesgos a los que se enfrenta una organización por parte de socios comerciales externos, tales como proveedores, vendedores, prestadores de servicios y contratistas. Este proceso exige que las organizaciones conozcan con quiénes mantienen relaciones comerciales —y, por extensión, con quiénes mantienen relaciones comerciales esas empresas— para poder aplicar medidas de protección destinadas a reducir el riesgo.
Las organizaciones modernas, independientemente de su tamaño, externalizan servicios y operaciones esenciales, recurriendo a empresas externas para servicios como el alojamiento en la nube, la gestión de nóminas y la gestión de instalaciones. Cuando los socios externos no cumplen con la entrega de un producto o servicio, esto puede acarrear consecuencias potencialmente devastadoras. Imaginemos una empresa de comercio electrónico que utiliza Amazon Web Services (AWS) para alojar su sitio web. Si AWS sufriera una interrupción del servicio, el sitio web dejaría de estar disponible, lo que provocaría la pérdida de transacciones para la empresa y, en caso de que el sitio web permaneciera inactivo durante un periodo prolongado, un deterioro de su reputación entre sus clientes.
El acceso de terceros a las instalaciones físicas y a los sistemas informáticos de una organización las expone a un nivel de riesgo mucho mayor . Si, por ejemplo, los datos de los clientes de una organización quedan expuestos debido a una vulnerabilidad de seguridad de un tercero, la organización sigue siendo responsable del ataque. Se trata de una preocupación cada vez mayor para las empresas en la actualidad, ya que, según , el 93 % de las empresas han sufrido una brecha de ciberseguridad debido a deficiencias en su cadena de suministro o en sus proveedores externos.
Las empresas también subcontratan parte de sus actividades a otras empresas. Dichas entidades pasan a ser partes de segundo nivel de la organización y, a su vez, cada una de sus políticas de seguridad repercute, en última instancia, en la organización que contrata a dicho tercero. En pocas palabras, cada relación comercial adicional con terceros aumenta el riesgo de una organización.
Un ejemplo clásico de riesgo de terceros es la filtración de datos de tarjetas de crédito de Target, relacionada con el sitio 2013 . Los atacantes se centraron en una empresa externa de refrigeración de ,, y utilizaron un correo electrónico de phishing para engañar a un empleado y que instalara un programa malicioso que les permitió acceder a las credenciales de inicio de sesión del portal de proveedores de Target. (Algunas fuentes consideran que el contratista utilizó un programa de seguridad gratuito que no ofrecía protección en tiempo real.) Los atacantes instalaron software malicioso en el sistema de punto de venta de Target y robaron 40 millones de números de tarjetas de crédito , además de comprometer los datos personales de 70 millones de clientes. Aunque el ataque se originó en una empresa subcontratada, se consideró responsable a Target, que tuvo que pagar una indemnización de 18.5 millones de dólares.
Es fundamental que las organizaciones evalúen minuciosamente a todas las empresas con las que colaboran. La gestión de riesgos de terceros ayuda a las organizaciones a identificar y evaluar los riesgos que generan dichos terceros y, a continuación, colabora con ellos para controlar dichos riesgos o para encontrar una alternativa más segura.
[Lea también: ¿Qué es la gestión de riesgos? [Resumen simplificado] (se abre en una nueva pestaña)
¿Cuál es la función de un tercero?
Un tercero proporciona un componente o servicio esencial para una empresa, como software, bienes físicos o material de consumo. Entre los socios externos suelen figurar:
- Proveedores de software
- Proveedores de servicios en la nube
- Servicios de gestión de TI
- Agencias de selección de personal
- Proveedores de servicios de gestión de nóminas
- Servicios de gestión de la fidelidad
- Profesionales del ámbito fiscal
- Proveedores y contratistas
Dado que las empresas externas pueden acceder a los datos de una organización y tratarlos, es fundamental garantizar que cumplan con las normas de seguridad adecuadas
.
¿En qué consiste el riesgo de terceros?
La mayoría de los riesgos relacionados con terceros se clasifican en una de las siguientes categorías:
- Ciberseguridad. Los terceros constituyen una fuente cada vez más habitual de ciberataques. Los piratas informáticos comprometen uno o varios eslabones de la cadena de suministro de software de código abierto ( ) de una organización y aprovechan ese acceso para lanzar ataques de mayor envergadura contra objetivos de mayor valor.
- Cumplimiento normativo. La falta de controles de seguridad de terceros puede dar lugar a la pérdida de datos y a las consiguientes infracciones normativas
, así como a sanciones. - Operativo. Los fallos de terceros pueden provocar el cierre de una organización. Por ejemplo, un ciberataque contra el proveedor de software Geographic Solutions provocó interrupciones en el pago de las prestaciones por desempleo y en los servicios de ayuda a la búsqueda de empleo para los ciudadanos de los estados que utilizaban
su software.
«. Aunque el ataque se originó en un subcontratista, se consideró responsable a Target, que tuvo que pagar una indemnización de 18.5 millones de dólares.»
- Estratégico. Cuando las estrategias empresariales de la organización y de terceros no están en consonancia, es posible que no se cumplan las normas reglamentarias y otras normas de seguridad.
- Relacionado con la reputación. La publicidad negativa derivada de fallos de seguridad, incumplimientos normativos u otros problemas de un tercero puede dar una mala imagen de la organización que utiliza sus productos o servicios.
- Finanzas. Podrían producirse perjuicios económicos como consecuencia de la imposibilidad de prestar los servicios contratados, el suministro de productos defectuosos o la disminución de la calidad del trabajo realizado por un tercero. Las multas o los gastos legales en los que incurra un tercero también pueden aumentar el riesgo financiero de una organización.
En la práctica, los fallos de terceros suelen afectar a una organización de formas que se solapan. La filtración de datos de Target, por ejemplo, interrumpió las operaciones de la empresa, supuso una amenaza desde el punto de vista normativo y provocó perjuicios económicos y de reputación para la empresa.
¿Por qué los terceros suponen un riesgo?
Es posible que una organización no tenga el mismo grado de visibilidad ni el mismo control sobre el personal, la red, las tecnologías de la información y las prácticas empresariales de otra empresa que el que tiene sobre los suyos propios. Esto deja a la organización expuesta a una serie de posibles problemas operativos, financieros, de reputación, normativos y de seguridad. Dado que una organización es, en última instancia, responsable de las acciones de los terceros que hacen posible su actividad, cualquier incidente puede acarrear graves consecuencias para
la empresa.
¿Cuáles son algunos ejemplos de riesgos de terceros?
Entre los riesgos habituales relacionados con terceros se incluyen los siguientes:
- Seguridad deficiente. Los atacantes pueden aprovechar las vulnerabilidades de seguridad de terceros y utilizarlas para sustraer datos de clientes, información financiera y propiedad intelectual. Eso es lo que ocurrió en 2014 , cuando los datos de 15,000 pacientes del Boston Medical Center quedaron expuestos a través de la página web de su servicio de transcripción, ya que la página del proveedor no utilizaba protección mediante contraseña para los historiales de los pacientes.
- Empleados. Los atacantes suelen emplear técnicas de ingeniería social de tipo « » para dirigirse a los empleados de empresas externas. Por lo general, los empleados reciben un correo electrónico o un mensaje de texto que parece proceder de una fuente fiable y que intenta que revelen sus credenciales de acceso o instalen software malicioso que capture dicha información. La filtración de datos de Target es un ejemplo de cómo el engaño por parte de un empleado puede desencadenar una cadena de acontecimientos catastróficos.
- Desajuste estratégico. Si no se logran armonizar las estrategias empresariales de terceros con las de las organizaciones a las que prestan apoyo, pueden surgir diversos riesgos. Esta fue la causa de la filtración de datos de Health Share of Oregon, relacionada con el 2020 . Los atacantes revelaron la información de carácter personal de más de 650,000 miembros tras el robo de un ordenador portátil a la empresa de transporte sanitario GridWorks. El proveedor no había cumplido
con la política de Health Share, que exige a los socios comerciales que utilicen cifrado en todos los dispositivos portátiles que contengan
información de pacientes.
¿En qué se diferencia el riesgo de terceros del riesgo interno?
Los riesgos internos se derivan de problemas propios de su organización —controles de seguridad deficientes, sistemas informáticos obsoletos, formación inadecuada de los empleados — que pueden dar lugar a vulnerabilidades de seguridad y filtraciones de datos. Los riesgos de terceros se derivan de muchas de las mismas cuestiones, pero tienen su origen en los sistemas, los procesos y el personal de un socio comercial.
«. Una organización es, en última instancia, responsable de las acciones de los terceros que hacen posible su actividad empresarial.»
La diferencia fundamental entre el riesgo interno y el riesgo de terceros radica en el nivel de control que una organización ejerce sobre la mitigación de riesgos. Si bien una organización supervisa sus propios controles de seguridad, dispone de escasa visibilidad sobre los controles de los socios externos y los proveedores de servicios subcontratados. Esto amplía la superficie de ataque de una organización, al tiempo que dificulta la identificación del origen del riesgo.
¿En qué consiste la diligencia debida de terceros?
Las organizaciones llevan a cabo un proceso de diligencia debida antes de establecer una relación con un socio comercial. Este proceso fundamental de gestión de riesgos de proveedores consiste en elaborar un inventario de posibles terceros y evaluar el nivel de riesgo que estos suponen para una colaboración. Durante el proceso, la organización recopila información sobre la titularidad, la estructura organizativa, la situación financiera, las operaciones y la reputación de la tercera parte.
Esta información ayuda a la organización a determinar si un tercero puede mitigar los riesgos asociados a su producto o servicio. La diligencia debida es responsabilidad del consejo de administración y de la alta dirección, y debe llevarse a cabo antes de la firma de un contrato y a lo largo de toda la relación, con el fin de garantizar que los nuevos riesgos se aborden a medida que surjan.
¿Cuáles son las ventajas de la gestión de riesgos de terceros?
La gestión de riesgos de terceros ofrece numerosas ventajas, entre las que se incluyen:
- Mayor visibilidad de los entornos de terceros. Una visión detallada de las relaciones con los proveedores, los prestadores de servicios y otras empresas externas permite a las empresas comprender mejor la interconectividad entre las partes y la ubicación de los posibles riesgos.
- Menor riesgo. La diligencia debida permite a los directivos tomar decisiones mejor fundamentadas sobre las organizaciones con las que mantienen relaciones comerciales. Desde el inicio de la relación, es posible identificar y controlar los riesgos mediante revisiones periódicas de diligencia debida y medidas correctoras inmediatas a lo largo de todo el ciclo de vida del tercero.
- Un mejor cumplimiento normativo. La gestión de riesgos de terceros es un requisito de numerosas normas y reglamentos del sector, como la FISMA, la HIPAA, la HITECH, la SOX, la GLBA y el Marco de Ciberseguridad del NIST. La evaluación periódica de las relaciones con terceros garantiza que las organizaciones cumplan con la normativa y eviten costosas multas y sanciones.
- Ahorro de costes. Aunque la gestión de riesgos de terceros sigue suponiendo una inversión inicial, permite ahorrar dinero al reducir el riesgo de filtraciones de datos, que suponen a las organizaciones 4.2 millones de dólares de media
por incidente.
¿Cuáles son las mejores prácticas en la gestión de riesgos de terceros?
Los directivos pueden minimizar el riesgo asociado a terceros teniendo en cuenta las siguientes recomendaciones:
- Haga un inventario. Para comprender de dónde proviene su riesgo asociado a terceros, debe saber con quién mantiene relaciones comerciales. Realice un inventario completo de los terceros a los que haya contratado. Podrían abarcar desde grandes organizaciones hasta autónomos, así como cualquier empresa a la que dichas entidades subcontraten servicios. Asimismo, asegúrese de identificar y documentar los sistemas, las aplicaciones y los datos a los que puede acceder cada una de las partes.
- Clasifique los riesgos. Analice a cada uno de los terceros por separado para determinar la probabilidad y las posibles consecuencias de un ataque informático y, a continuación, clasifíquelos según el nivel de riesgo que representen. Debería centrar sus medidas de mitigación, en primer lugar, en las partes que presentan mayor riesgo.
- Tenga en cuenta todos los tipos de riesgos. Los riesgos no se limitan al pirateo informático. Un historial de mala relación con los clientes, una baja calificación crediticia, retrasos en las entregas y cualquier otro indicio de riesgo similar ponen de manifiesto la forma en que una empresa externa lleva a cabo sus actividades y los riesgos que ello conlleva.
- Recopilar información de terceros. Envíe a cada parte un cuestionario para recabar información sobre su estructura organizativa y su gobernanza, las prácticas de ciberseguridad que tiene
implantadas, las redes y los activos digitales a los que necesita acceder,
y las medidas de seguridad que adoptará al acceder a los recursos de su empresa. - Mitigue los riesgos. Una vez que haya identificado a todos sus terceros y los riesgos que estos entrañan, podrá tomar medidas para mitigarlos o gestionarlos. En función del riesgo, la mitigación puede requerir la adopción de medidas de seguridad, como restringir el acceso a determinados activos. Es posible que el tercero también tenga que subsanar las vulnerabilidades o aplicar controles de seguridad más estrictos. En situaciones en las que no sea posible reducir los riesgos de forma razonable, es posible que decida poner fin a su relación.
- Monitor. Dado que el comportamiento de terceros evoluciona con el tiempo, lo que puede generar nuevos riesgos, es importante realizar evaluaciones periódicas. El seguimiento puede realizarse de forma continua y en tiempo real con la ayuda de una plataforma de gestión de riesgos de proveedores.
- Repita el proceso con cada nuevo tercero. Las prácticas mencionadas anteriormente deben aplicarse cada vez que establezca una relación con un nuevo proveedor, vendedor, prestador de servicios o contratista. Una vigilancia constante garantizará que los terceros dispongan únicamente del nivel de acceso a la red y a los datos que necesiten para llevar a cabo sus actividades comerciales con usted.
¿Cuáles son los retos que plantea la gestión de riesgos de terceros?
La mayoría de las organizaciones apenas son conscientes de los riesgos a los que se exponen al mantener relaciones con terceros. Entre las razones se encuentran las siguientes:
- Redes complejas de proveedores. Las empresas actuales trabajan con cientos de proveedores y prestadores de servicios, cada uno de los cuales recurre a la externalización y la subcontratación a través de su propia red de terceros. Los riesgos pueden surgir en cualquier punto de esta red y en cualquier momento. La mayoría de las organizaciones no disponen de una visión lo suficientemente detallada de toda la estructura de relaciones como para comprender y gestionar sus riesgos.
- Procesos manuales. Las organizaciones suelen utilizar hojas de cálculo, cuestionarios y otros procesos manuales para gestionar el riesgo asociado a terceros. Un enfoque ineficaz puede alargar el tiempo que se tarda en detectar y resolver los problemas.
[Lea también: 5 pasos para elaborar un plan de respuesta ante incidentes sólido como una roca]
- Falta de escalabilidad. Los procesos manuales resultan extremadamente difíciles de ampliar a medida que crecen las redes de terceros, lo que puede generar riesgos adicionales.
- Compartimentación organizativa. Las divisiones entre los departamentos, las funciones y las unidades de negocio de una empresa pueden dificultar la recopilación de información exhaustiva sobre los riesgos en toda la organización.
- Una mayor presión reguladora. Numerosas normativas federales y estatales exigen que las políticas de gestión de riesgos se extiendan a los socios comerciales externos de una organización. Sin embargo, estas entidades se encuentran fuera del control directo de una organización, lo que dificulta su implementación.
¿En qué consiste el ciclo de vida de la gestión de riesgos de terceros?
Las empresas llevan a cabo una serie de pasos en el marco de una relación con terceros, que abarcan desde el inicio de un contrato hasta su rescisión. No existe un esquema definitivo del ciclo de vida, y el proceso variará en función de cada organización. No obstante, el ciclo de vida puede dividirse, a grandes rasgos, en tres fases de riesgo que deben gestionarse:
- Fase precontractual. Antes de formalizar un contrato con un tercero, la organización evalúa el riesgo que este supone, determina la información sensible a la que necesita acceder y averigua si la otra empresa subcontratará alguno de los servicios que presta.
- Fase contractual. La organización detalla los riesgos que asumirán ambas partes y la forma en que los mitigarán conjuntamente, junto con el resto de condiciones de la colaboración.
- Fase posterior a la firma del contrato. La gestión continua de la relación con terceros se lleva a cabo mediante el seguimiento, la elaboración de informes y las revisiones. Los procedimientos de salida también se aplican cuando finaliza la relación laboral.
Más recursos
- ¿Qué es una puntuación de riesgo cibernético?
- Cómo mitigar los riesgos de la cadena de suministro tras la vulnerabilidad Log4j
- El futuro de la gestión de riesgos pasa por la automatización
- Elaboración de un plan de acción en materia de ciberseguridad: comprensión de la gestión de riesgos informáticos
- Cómo puede su empresa sobrevivir a un ataque de ransomware
