0 
0 Seja qual for o setor em que seu negócio opera, você dependerá de terceiros para fornecer bens e serviços para apoiar o que você faz. Se você é uma pequena empresa de serviços de impressão trabalhando com um contador ou uma organização com uma cadeia de fornecimento completa de fabricação e distribuição, os fornecedores são importantes para suas operações diárias e todos em algum nível interagirão no local ou digitalmente com o seu negócio, e isso os torna um vetor de risco.
As empresas lidam com esses vetores de risco restringindo o acesso que esses indivíduos têm, como impedi-los de ter acesso a determinadas áreas ou usar recursos de rede e TI. No entanto, embora seja comum que os departamentos de TI avaliem os fornecedores oficiais que uma empresa pode usar para áreas como serviços em nuvem, continua sendo um desafio de negócios de longa data monitorar os riscos de cibersegurança de fornecedores em toda a cadeia de suprimentos de uma empresa.
Em um nível fundamental, para mitigar o risco de cibersegurança, uma empresa deve ter certeza de que todos os fornecedores com quem trabalham estão em cima de proteger a segurança dos dados e a disponibilidade dos serviços com os quais são confiados. Os ataques cibernéticos tornaram-se tão avançados que o ponto de partida de um ataque muitas vezes não é o alvo principal, mas a parte mais fraca da cadeia de suprimentos subjacente.
Avaliando os riscos
Muitas organizações usam processos manuais para suas avaliações de fornecedores baseadas em segurança cibernética, enviando questionários de planilha, Word ou PDF por e-mail, mas isso rapidamente se torna um processo manual complicado, e por si só pode ser considerado como um risco de cibersegurança. Erros acontecem, processos se tornam desenhados, e é muito fácil para os fornecedores não serem verificados na frequência que devem ou serem esquecidos completamente.
Um risco ainda maior é que os processos manuais tornam mais difícil para as organizações obter uma imagem geral de onde os riscos cibernéticos estão na cadeia de suprimentos. Se os dados não forem colhidos e avaliados regularmente, então um fornecedor que não cumprir um requisito pode passar desmarcado. Pior ainda, riscos sistêmicos em toda a cadeia de suprimentos podem deixar a organização exposta a um evento cibernético catastrófico. Quando tal evento ocorre, já é tarde demais.
Seja cibersegurança, controles financeiros ou outros controles regulatórios, as organizações precisam de uma abordagem mais confiável para reduzir riscos associados a fornecedores, fornecedores e outros terceiros.
Uma abordagem automatizada e padronizada
Uma boa estrutura para a garantia de fornecedores exige que equipes de compras, equipes de TI e outros departamentos trabalhem juntos para garantir que eles entendam os domínios, objetivos e responsabilidades uns dos outros em termos de segurança cibernética e conformidade regulatória. Um ponto de partida é que eles desenvolvam conjuntamente critérios de Impacto do Fornecedor que avaliam sistematicamente quanto risco inerente cada fornecedor ou terceiro pode ter na esfera desse departamento.
Cada fornecedor pode então ser medido em relação a esses critérios, e seu nível de impacto de fornecedor estabelecido. Uma abordagem diferente para cada nível de impacto deve ser acordada em conjunto e completamente padronizada em toda a organização.
Por exemplo, para fornecedores com um impacto muito alto, espera-se que o fornecedor demonstre um alto nível de controles internos. Com a segurança cibernética, por exemplo, isso significa obter ou trabalhar para alcançar altos padrões como ISO27001, IASME Governance ou NIST. É responsabilidade do fornecedor mostrar um nível sério de controle, em vez da responsabilidade da equipe de cibersegurança pressionada de mergulhar em centenas de horas de trabalho de auditoria. Essas normas também têm o benefício de ser fácil para um especialista não cibernético determinar se a norma está presente ou não.
Quando uma avaliação técnica ou teste é necessário, como um teste de penetração por um terceiro confiável, então a equipe de garantia do fornecedor pode ser responsável por garantir que isso ocorra – entregando a responsabilidade às equipes cibernéticas ou testadores externos quando necessário. Este papel de “gestão do risco” não pode ser entregue, porém, por mais tentador que seja quando a conversa fica incompreensívelmente técnica.
A abordagem em cada nível de impacto do fornecedor também deve incluir avaliações contínuas. Muitas empresas acham que “garantir quando você adquirir” é suficiente. Mas com o ritmo dos negócios modernos e a velocidade da mudança, deve haver uma rotina regular de avaliação para ficar por dentro dos riscos. Mais uma vez, a equipe de garantia de fornecedores pode agendar e gerenciar essas revisões em andamento e focar na governança do risco de terceiros – seja cibernético, de continuidade, financeiro ou regulatório – mas executada por aqueles com a expertise de domínio para falar com seus pares na cadeia de suprimentos.
Tirando a dor da cibersegurança da cadeia de suprimentos
Taking a formulated and strategic approach to managing supply chain cybersecurity and wider compliance issues, creates an environment where the different teams involved in supplier risk start to use shared information systems to record and visualize supplier risks.
A introdução de uma plataforma online para automatizar a garantia do fornecedor torna todo o processo eficiente e mais seguro. Os usuários têm uma única fonte de informação e podem criar impressionantes cartões de pontuação de fornecedores mostrando uma visão combinada de riscos financeiros, cibernéticos, GDPR,Escravidão e outros riscos, tudo em um gráfico simples para cada fornecedor. Isso proporciona uma compreensão compartilhada da totalidade do risco de cada fornecedor e ajuda equipes especializadas – como TI e a equipe de garantia de fornecedores – a entender como seus mundos se encaixam.
Ao formalizar processos de garantia de fornecedores e usar a tecnologia para facilitar sua execução em todos os domínios, as avaliações cibernéticas tornam-se parte do ritmo de todo o processo de gestão de fornecedores. Dessa forma, as empresas podem ter confiança na força da cadeia de suprimentos, mitigar riscos cibernéticos e tirar muito da dor da experiência.
FONTE: HELPNET SECURITY