Ir al contenido principal

Buenas prácticas para la gestión de riesgos de terceros

La gestión de riesgos de terceros es un proceso que se centra en identificar, evaluar y gestionar los riesgos que pueden surgir debido a la relación de una organización con terceros, como proveedores, socios, inversores, concesionarios, contratistas, entre otros que formen parte de la cadena de suministro de la organización. 

Estos terceros pueden tener acceso a datos confidenciales, proporcionar un componente o servicio esencial para tu empresa, lo que introduce nuevos riesgos operativos, de seguridad, legales, entre otros. La gestión de riesgos de terceros permite a las organizaciones monitorear y evaluar el riesgo que representan las terceras partes para identificar dónde excede el umbral establecido por la empresa y solicitar al tercero las medidas de gestión adecuadas.

Este proceso es crucial para la postura de riesgo, resiliencia y reputación de la empresa que utiliza los servicios o productos del tercero. Puede ser muy costoso y difícil lidiar con un incidente de terceros, con consecuencias que pueden incluir medidas reglamentarias, daño a la reputación y pérdida de ingresos.

De acuerdo con GARP (Global Association of Risk Profesionals), el 64% de las grandes empresas subcontratan al menos el 26% de sus tareas diarias de negocio, lo que requiere que permitan el acceso de terceros a sus datos.

Las empresas pueden llevar a cabo la evaluación de riesgos de terceros mediante algunos pasos importantes:

  1. Crear un programa de gestión de riesgo de terceros
  2. Implementar un esquema de evaluación exhaustivo
  3. Compartir los resultados de las evaluaciones con los terceros correspondientes
  4. Exigir a los terceros el seguimiento de los riesgos identificados
  5. Evaluar los riesgos implicados al menos una vez en el año

En el caso de las organizaciones certificadas en PCI-DSS, este estándar contempla varios controles que se deben implementar en la gestión de riesgos de terceros, entre ellos:

  • 6.3.2 A fin de facilitar la gestión de vulnerabilidades y parches se mantiene un inventario del software a medida y personalizado y de los componentes del software de terceros incorporados en el software a medida y personalizado.
  • 12.8 Gestión del riesgo para los activos de información asociados a las relaciones con proveedores de servicios de terceros (TPSP).
  • 12.9 Los proveedores de servicios de terceros (TPSP) respaldan el cumplimiento de sus clientes con PCI DSS.

Mas información en:

Etiquetas:

Comentarios

Publicar un comentario

Entradas populares de este blog

Reporte SOC 2 Type 2 en la seguridad de la información

La importancia del reporte SOC 2 Type 2 en la seguridad de la información En un entorno digital donde la confianza y la seguridad son fundamentales, las organizaciones deben demostrar que sus prácticas de protección de datos cumplen con estándares rigurosos. Uno de estos estándares es el SOC 2 (Service Organization Control 2) Type 2 , un informe que evalúa cómo una empresa maneja la seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad de los datos. Este reporte es esencial para empresas que manejan información sensible, ya que proporciona evidencia objetiva sobre su capacidad para proteger la información de sus clientes y socios comerciales. ¿Qué es un reporte SOC 2 Type 2? El SOC 2 Type 2  es un informe de auditoría que evalúa los controles internos de una organización  relacionados con la seguridad de la información. Desarrollado por la AICPA (American Institute of Certified Public Accountants), este informe sigue los Criterios de Servicios...
Publicar un comentario
Leer mas...

Managing Cyber Risks: Third-Party and End-User Challenges

🔐 Managing Cyber Risks: Third-Party and End-User Challenges Our organizations face a multitude of cyber threats that can compromise data integrity, disrupt operations, and damage reputations. Among the most challenging risks are those posed by third parties and end users. These risks often operate outside the direct control of the organization, yet their actions or inactions can have profound security implications. Understanding these risks and implementing effective controls is essential for building a resilient cybersecurity posture. 🔗  Third-Party Risks arises when organizations rely on external vendors, suppliers, or service providers who have access to our sensitive systems or data. These partners may not adhere to the same security standards, creating vulnerabilities that can be exploited by malicious actors. High-profile breaches, such as those involving supply chain attacks, have underscored the dangers of insufficient oversight in third-party relationships. The challeng...
Publicar un comentario
Leer mas...

Compendio de términos computacionales / Compendium of computational terms

Publicación: 22/julio/2023 Última edición: 12/junio/2026 2FA: Two-Factor Authentication 3DEA: Triple Data Encryption Algorithm 3DES: Triple DES 3PS: Third Person Shooter AAM: Agentic Access Management AC: Access Control ACL: Access Control Lists AES: Advanced Encryption Standard AI: Artificial Intelligence AIoT: Artificial Intelligence of Things AitM:  Adversary-in-the-Middle AML: Anti-Money Laundering AOC: Attestation Of Compliance API: Application Programming Interface APT: Advanced Persistent Threat ASCII: American Standard Code for Information Interchange ASM: Attack Surface Management ASPM: Application Security Posture Management ASV: Approved Scanning Vendor for PCI ATM: Automated Teller Machine ATT$CK: Adversarial Tactics, Techniques, and Common Knowledge AV: Antivirus AWS: Amazon Web Service B2B: Business to Business B2C: Business to Consumer BAS: Breach and Attack Simulation BAU: Business As Usual BBP: Bug Bounty Program BCM: Business Continuity Manage...
Publicar un comentario
Leer mas...