Por Carolina Pizarro, directora asociada de ciberseguridad en Accenture Chile.
En un mundo interconectado y digitalizado, la urgencia de abordar un modelo de gestión de riesgos cibernéticos de terceros (TPCRM por sus siglas en inglés) se vuelve cada vez más crítica para la seguridad de las organizaciones. Hoy en día existen cientos de proveedores para externalizar distintos procesos de las operaciones, haciendo que aumenten en gran medida la exposición a riesgos digitales. Los riesgos de terceros pueden tomar muchas formas, incluidos los problemas de cumplimiento regulatorio, las infracciones de datos, la inestabilidad financiera y el daño reputacional, por lo que la implementación de los siguientes pasos puede ayudar a mitigar eficazmente los riesgos y proteger sus activos digitales.
Juan Andrés
En primer lugar, las empresas deben identificar a los proveedores, creando un inventario exhaustivo y de todos los proveedores externos utilizados por la organización, desde aquellos que entregan suministros críticos hasta los que brindan servicios de apoyo, es esencial incluir a todos. Uno solo de estos proveedores, sin importar su tamaño, podría representar un riesgo significativo para toda la organización.
El segundo punto está en determinar el potencial de riesgo, calificando a los proveedores antes nombrados en función del riesgo inherente que representan, eso es esencial. Para ello es necesario desarrollar cuestionarios de alcance que capturen información vital sobre los servicios ofrecidos, el acceso a datos, las ubicaciones y otros factores relevantes para evaluar la seguridad.
El tercer énfasis está en realizar cuestionarios de riesgo para proveedores. Cada proveedor presenta un nivel de riesgo diferente y es importante evaluarlo de manera adecuada. Utilizar cuestionarios de riesgo para proveedores, adaptados a las necesidades de la organización o utilizando plantillas estándar, puede ser de gran ayuda. Estos cuestionarios deben incluir preguntas relacionadas con marcos y requisitos de cumplimiento relevantes.
Se debe también elaborar un cuadro de mando de seguridad, asignando una calificación de riesgo a cada proveedor para priorizar acciones de mitificación y directrices claras para abordar los riesgos, según su gravedad y así gestionarlos de manera efectiva.
Como quinto punto, es muy importante abordar los riesgos como prioridad, respondiendo a cada proveedor de acuerdo con su nivel de riesgo. La implementación de controles y medidas correctivas, como cifrado, autenticación multifactor y formación en concientización sobre seguridad, puede reducir los ciber-riesgos.
Juan Andrés
El último punto, no menos importante que el resto, está en la supervisión continua y la adaptación, siendo fundamental para mantenerlos bajo control. Es necesario adaptarse a los cambios en los servicios o el alcance de los proveedores, así como a otros factores que puedan afectar el riesgo cibernético.
Al adoptar una estrategia de gestión de riesgos a terceros con un enfoque proactivo que implique políticas claras, evaluaciones de riesgos regulares y un monitoreo continuo del desempeño de proveedores, no sólo permitirá la incorporación de medidas preventivas, sino que reforzará la resiliencia y permitirá elevar todos los estándares de ciberseguridad de la cadena de suministro de la organización.
