Cuando el riesgo entra por la puerta del socio
Un estudio de Kroll, consultora global de gestión de riesgos, reveló un dato que merece la atención de todo el liderazgo: el 69% de las víctimas de filtraciones de datos en el período analizado fueron afectadas por un incidente ocurrido en un tercero, según un reportaje de Infosecurity Magazine. El mismo estudio señala que los ataques a empresas de tecnología que prestan servicios a otras organizaciones fueron la causa más común de estas filtraciones.
En términos simples, empresas de todos los sectores tuvieron datos expuestos por la seguridad de un proveedor, lo que demuestra que cuidar el propio entorno es solo una parte de la ecuación. Infosecurity Magazine destacó el peso creciente de la cadena de proveedores en el riesgo cibernético de las empresas, un tema que suele aparecer poco en las reuniones de directorio y que merece un lugar fijo en la agenda.
Vale entonces una pregunta honesta: si el despacho contable, el sistema de nómina o la plataforma de cobranza que atiende a su empresa sufriera un incidente, ¿sabría decir qué datos suyos estarían en juego?
Qué significa este dato para su empresa
Para socios y C-levels, el punto central es que son ellos quienes firman los contratos y responden por la reputación cuando se filtran datos de clientes, aunque la falla haya ocurrido en otra empresa. Las regulaciones de protección de datos como el GDPR y la LGPD suelen exigir que la organización responsable de los datos demuestre diligencia también en la selección y supervisión de quienes tratan esa información en su nombre.
Controles que lo protegen independientemente del proveedor
La buena noticia es que es posible reducir considerablemente el impacto de un incidente en un tercero con controles que están en sus manos. El primero es exigir MFA (Multi-Factor Authentication, autenticación multifactor) en todos los accesos de proveedores, para que una contraseña filtrada del lado del socio no baste para ingresar a su entorno. El segundo es aplicar el privilegio mínimo, principio según el cual cada cuenta externa recibe solo los permisos necesarios para la tarea contratada, con revisión periódica y desactivación al finalizar el contrato.
El tercer pilar es la resiliencia, garantizada por un backup aislado y probado, junto con un plan de recuperación ante desastres, para que la operación vuelva a funcionar incluso si un sistema de un tercero es comprometido. Un backup aislado es aquel que se mantiene separado de la red principal, fuera del alcance de quien eventualmente ingrese a través de una cuenta de un socio.
Por último, entra la gobernanza de accesos y compliance, que convierte las buenas intenciones en reglas documentadas. Conviene incluir en los contratos con proveedores algunos requisitos mínimos de seguridad:
- Uso obligatorio de MFA en cualquier acceso a su entorno.
- Plazo definido para comunicar incidentes que involucren sus datos.
- Derecho a solicitar evidencias de las prácticas de seguridad del socio.
- Reglas claras de eliminación de los datos al finalizar la relación comercial.
¿Sabe exactamente qué proveedores tienen acceso a los datos de su empresa?
Si la respuesta exige abrir hojas de cálculo antiguas o consultar a varias áreas, usted está en buena compañía, y ese es justamente el mejor punto de partida. Un inventario de proveedores con acceso, clasificado por el tipo de dato que maneja cada uno, permite priorizar esfuerzos donde el riesgo es mayor. A partir de él, la TI gestionada actúa como respaldo de su equipo, combinando monitoreo proactivo continuo, EDR, gestión de parches y revisión periódica de cuentas externas para que ningún acceso quede olvidado.
El panorama se completa con un backup aislado y probado, que asegura la reanudación de la operación, y con capacitación de los equipos para reconocer solicitudes sospechosas hechas en nombre de socios, como cambios de datos bancarios o pedidos urgentes de acceso. Con estas capas, su empresa pasa a contar con varias líneas de defensa propias, sumadas a los cuidados de cada proveedor.
El dato de Kroll funciona como un mapa, porque muestra con claridad dónde concentrar la energía. Las empresas que conocen a sus socios, controlan los accesos y prueban su capacidad de recuperación transforman la cadena de proveedores en una red de confianza, y ese camino está totalmente a su alcance, un paso a la vez.
Referencias
Preguntas frecuentes
¿Qué es el riesgo de terceros en seguridad de la información?
El riesgo de terceros es la posibilidad de que una empresa tenga datos expuestos o su operación afectada debido a una falla de seguridad en un proveedor o socio. Abarca a cualquier prestador con acceso a sistemas o información de la empresa, como contabilidad, ERP, nómina y soporte remoto. Un estudio de Kroll indicó que el 69% de las víctimas de filtraciones fueron afectadas a través de un tercero.
¿Cómo proteger a la empresa cuando un proveedor sufre una filtración?
La protección proviene de controles que no dependen de la seguridad del proveedor, como MFA en todos los accesos externos, privilegio mínimo y revisión periódica de las cuentas de socios. El EDR y el monitoreo proactivo continuo ayudan a detectar comportamientos anómalos provenientes de cuentas legítimas. Un backup aislado y probado, junto con un plan de recuperación ante desastres, garantiza la reanudación de la operación.
¿Qué cláusulas de seguridad incluir en el contrato con proveedores?
Los contratos con proveedores deben prever el uso obligatorio de autenticación multifactor, un plazo definido para comunicar incidentes y el derecho a solicitar evidencias de las prácticas de seguridad. También se recomienda definir reglas de eliminación de los datos al finalizar la relación comercial. Estas cláusulas ayudan a demostrar diligencia ante regulaciones de protección de datos como el GDPR y la LGPD.
¿Quiere entender cómo están los accesos de terceros en su entorno? Agende un Diagnóstico Estratégico de TI, Sin Compromiso, con Zamak.