4th Party Risk - El ciberriesgo que puede estar oculto

En la gestión de riesgos de seguridad de la información, juegan un papel muy importante todos los riesgos derivados de las operaciones con terceros. Es difícil encontrar una organización en la que su área de TI sea completamente autónoma sin requerir servicios externos (Servicios más utilizados por las áreas de TI).

Cuando tu proveedor de servicios de TI es vulnerado, el ciberatacante puede estar usándolo como puente para accesar la información de tu organización. Esto nos motiva a dar mayor importancia a la Gestión de Proveedores de Servicios, uno de los 18 controles indicados por la organización Center for Internet Security (CIS).

CIS Controls indica en su control 15 Gestión de Proveedores de Servicios, 7 salvaguardas de la siguiente manera:

IG1

• 15.1 Establecer y mantener un inventario de proveedores de servicios

IG2

• 15.2 Establecer y mantener una política de gestión de proveedores de servicios
• 15.3 Clasificar proveedores de servicios
• 15.4 Asegúrese de que los contratos de los proveedores de servicios incluyan requisitos de seguridad

IG3

• 15.5 Evaluar proveedores de servicios
• 15.6 Supervisar proveedores de servicios
• 15.7 Dar de baja de forma segura a los proveedores de servicios

Una organización de TI puede depender de varios proveedores de servicios o productos (3rd Party) y a su vez cada uno de estos cuenta con sus propios proveedores de servicios y productos (4th Party) lo que puede exponenciar la cantidad de vectores de ataque que debe monitorear la empresa.

Podemos tomar 2 enfoques para monitorear eficientemente los riesgos que pueden presentarse a través de nuestros 4th Party Vendors:

1. Contractual: Implica incluir clausulas específicas en nuestros contratos con nuestros 3rd Parties, exigiendo ser notificados en un periodo corto definido cualquier incidente que pueda afectar nuestra información. La desventaja de esta acción es que puede ser demorada por nuestro proveedor al no ser detectada oportunamente por él.
2. Tecnológico: Durante el análisis de riesgos del proveedor de TI, incluir un modelo de su arquitectura con los componentes de terceros utilizados (Software Bill of Materials, SBOM). Con esta información, podemos incluir estos componentes en nuestro modelo de monitoreo para recibir alertas de estos componentes aún antes de ser notificados por nuestro proveedor.

Al incluir en nuestro monitoreo no solamente a nuestros proveedores directos, sino también a los proveedores críticos de nuestros proveedores más importantes, logramos ser proactivos en la detección de amenazas permitiéndonos detectarlas y reaccionar a ellas con mayor velocidad, disminuyendo de esta manera la probabilidad de un impacto en nuestra operación.