0 
0 À medida que a velocidade dos negócios aumenta, mais e mais organizações procuram comprar empresas ou terceirizar mais serviços para obter vantagem no mercado. Com as organizações expandindo sua base de fornecedores, há uma necessidade crítica de gerenciamento holístico de riscos de terceiros(TPRM) e medidas abrangentes de segurança cibernética para avaliar quanto risco os fornecedores representam.
Embora as organizações avaliem e gerenciem o risco em várias camadas, nenhuma apresenta ameaças maiores à resiliência dos negócios do que o risco de terceiros e a falta de controles robustos de segurança cibernética. Violações e interrupções de serviço vinculadas a essas áreas de risco derrubaram sistemas críticos de grandes organizações. Em 2021, 53% dos CISOs pesquisados pela Black Kite relataram ter sido atingidos por pelo menos um ataque de ransomware.
Vale a pena repetir: a segurança cibernética e o risco de terceiros são os dois maiores problemas que sua viabilidade a longo prazo enfrenta. As empresas precisam ser capazes de lidar com esses vetores de risco individualmente para obter uma visão completa de seu perfil de risco. Um processo multifuncional é essencial para gerenciar a sobreposição entre essas áreas de risco para proteger melhor sua organização e aumentar a eficiência do fluxo de trabalho.
Garantir que as práticas de segurança cibernética de seus fornecedores estejam alinhadas com os padrões de sua organização é fundamental para proteger seus sistemas e dados. Na verdade, é tão importante quanto a estabilidade do negócio ou quão bem ele entrega produtos e serviços.
Riscos comuns de segurança cibernética de terceiros
Você precisa ser capaz de identificar diferentes facetas do risco de terceiros. Aqui estão algumas das vulnerabilidades de segurança cibernética de terceiros mais comuns e como você pode trabalhar com seus parceiros para mitigá-las.
Violações de dados : Ransomware, phishing e ataques diretos a um fornecedor ou seus sistemas ameaçam a privacidade de seus dados. Além disso, a baixa segurança organizacional do fornecedor e a aplicação inadequada dos controles representam riscos de segurança para sua empresa.
Interrupções de serviço : Malware e ataques de negação de serviço distribuídos podem derrubar os sistemas do seu fornecedor e/ou o serviço que eles fornecem para sua infraestrutura de TI. Consequentemente, isso pode deixar seus sistemas expostos ou sua organização incapaz de fornecer serviços aos clientes.
Risco de conformidade : os reguladores envolvem cada vez mais as organizações e seus fornecedores na conformidade com a segurança cibernética. Entenda os regulamentos que você precisa cumprir externamente e garanta que os fornecedores estejam em conformidade com os regulamentos que são relevantes para eles.
As empresas enfrentam ameaças constantes, mas mitigar os riscos exige mais do que um único braço de defesa. A falta de um sistema integrado de segurança cibernética e TPRM pode deixar sua organização despreparada para antecipar, mitigar ou se recuperar de violações.
Abordando a segurança cibernética com seus terceiros
Uma abordagem multifuncional para TPRM e segurança cibernética reduz o trabalho duplicado e fornece uma visão mais profunda dos riscos corporativos para sua organização, seus fornecedores e seus parceiros. Aqui estão algumas ações a serem consideradas ao reforçar seus esforços de TPRM :
1. Faça a ponte entre o TPRM e a segurança cibernética
A integração de segurança cibernética e TPRM é essencial para que as organizações entendam e monitorem melhor os requisitos regulatórios, controles e políticas e procedimentos internos. A organização deve entender que as prioridades de segurança cibernética funcionam para identificar os padrões e controles regulatórios que os fornecedores são mantidos no TPRM. As organizações que integram essas duas abordagens tiram as duas funções de um silo para reduzir a sobreposição no processamento do fluxo de trabalho, relatórios e, mais importante, na tomada de decisões sobre riscos.
A organização deve entender qual acesso o terceiro tem a seus sistemas, dados e infraestrutura. Além disso, trabalhe para garantir que medidas e controles adequados e apropriados estejam em vigor para proteger esses sistemas e pontos de entrada.
2. Realize a devida diligência detalhada
Depois que uma organização estabelece uma base interna sólida para controles e métricas de segurança cibernética, ela pode iniciar o processo de due diligence para fornecedores novos e existentes. As equipes de TPRM devem coletar as informações mais relevantes possíveis para entender o risco de segurança cibernética inerente e residual de um fornecedor, incluindo seu histórico de incidentes e perspectivas de estado futuro.
Os fornecedores em potencial só devem ser selecionados e integrados se suas práticas de segurança cibernética estiverem alinhadas às políticas da sua organização e devem ser estratificados com base no nível de risco que representam para sua organização.
3. Pratique o monitoramento contínuo
Avaliações pontuais não são suficientes para capturar a postura de risco em constante evolução de um fornecedor. É essencial avaliar regularmente a segurança de sua população de fornecedores realizando monitoramento contínuo para entender e obter visibilidade das alterações em seus controles e status de segurança cibernética. As classificações de segurança cibernética feitas durante a due diligence inicial podem fornecer uma pontuação detalhada da segurança do seu fornecedor, informando seu cronograma de avaliação. Determine um escopo e frequência de avaliação com base na classificação de risco geral do fornecedor em um período de tempo anual, bienal ou trienal.
As organizações que entendem e implementam sistemas integrados de segurança cibernética e TPRM obtêm uma visão completa do perfil de risco de seus fornecedores, preparam-se de forma abrangente para possíveis ameaças e violações de conformidade e melhoram os resultados de negócios com fornecedores seguros e confiáveis.
FONTE: HELPNET SECURITY