Puntos ciegos de los subproveedores: riesgos ocultos de gran impacto

La mayoría de las organizaciones han mejorado su postura de gestión de riesgos de terceros a lo largo de la última década, aunque el riesgo de los subproveedores se ha convertido en un gran punto ciego para los programas de seguridad modernos.

En general, se hace un inventario de los proveedores críticos, se evalúan los controles, se revisan los atestados y se cumplen los requisitos de seguridad. Pero, aun así, los incidentes más disruptivos cada vez más provienen de fuera de estas relaciones directas, surgen de los subproveedores, ya que al encontrarse en un nivel más profundo de la cadena de suministros, suelen ser invisibles para la lupa de las operaciones de seguridad hasta que se materializa algún problema.

Para el responsable de gestión de riesgos de terceros, esto no es una preocupación abstracta. Se trata de la realidad de las operaciones que se ve moldeada por la dependencia de la nube, los servicios gestionados, la proliferación de soluciones de software y la colaboración con otras empresas a través de APIs. En muchos sectores, tus terceros dependen de docenas o cientos de subcontratistas para los servicios de hospedaje, identidad, análisis, herramientas de soporte, pagos, enriquecimiento de datos y componentes de software. Esta red de dependencias cambia más rápido de lo que tus ciclos de evaluación pueden seguir.

Incluso cuando dispones de un programa de terceros sólido, podrías seguir estando expuesto a algún subproveedor que ni siquiera sabías que existía.

Los subproveedores se comportan de manera diferente a los terceros

El desafío principal es simple: tu organización puede gobernar a sus proveedores directos a través de la diligencia debida, los contratos y la gestión del rendimiento. Sin embargo, los subproveedores suelen estar fuera del alcance de tus contratos. Estos no tienen la obligación de compartir sus controles de seguridad, plazos u obligaciones en cuanto a informes, por lo que dependes de que tu proveedor haga esto por ti, y no hace falta destacar que sus incentivos no siempre son los mismos que los tuyos.

En este aspecto, tus proveedores pueden priorizar el coste, la velocidad de entrega o la simplicidad de las operaciones. Por tanto, podrían carecer de las herramientas para presionar a un subcontratista clave e incluso podrían carecer de una visibilidad completa sobre su propia cadena de suministro.

Por eso, el riesgo de los subproveedores es diferente al riesgo de los terceros. No se trata de «más proveedores», sino de un vector de riesgo diferente. Por ejemplo, un único subproveedor podría provocar vulnerabilidades correlacionadas sobre varios de tus terceros, los problemas técnicos de un proveedor de nube podrían interrumpir el servicio de varios proveedores de software o incidencias con un proveedor de identidad podrían ocasionar un efecto dominó sobre plataformas de asistencia, sistemas de tiques y flujos de trabajo de accesos con privilegios. Es más, un componente de software muy generalizado podría ocasionar vulnerabilidades en docenas de productos que se sirvan de este.

En resumen, cuando el mismo subproveedor se convierte en una dependencia compartida, el radio de impacto no se limita a una sola relación con un proveedor, se vuelve sistémico.

Las incidencias de seguridad se convierten en problemas empresariales

El riesgo de subproveedores puede convertir rápidamente un incidente de seguridad en una crisis generalizada para toda la empresa, porque los impactos de primer nivel suelen ser operativos y afectar a los clientes.

Los servicios pueden interrumpirse, los datos sensibles pueden verse vulnerados a raíz de una incidencia en cascada y las obligaciones de cumplimiento normativo pueden desencadenarse incluso si tu organización no fue el punto de entrada inicial. Por su parte, la respuesta también se ralentiza porque la evidencia clave y los pasos de contención están en manos de partes que no puedes dirigir directamente.

Al mismo tiempo, la interrupción puede propagarse de manera ascendente dentro de la cadena a través de tus proveedores externos, lo que provocaría el incumplimiento de acuerdos de nivel de servicio, retrasos en los informes y bloqueos repentinos que interrumpirían tu trabajo. En situaciones clave, el proveedor externo puede convertirse en un cuello de botella para la información. Sin embargo, la rendición de cuentas no se diluye: los clientes, juntas directivas y reguladores aún te hacen responsable de la continuidad de las operaciones, la privacidad y la confianza. Además, intentar eludir esta responsabilidad no tiene excusa.

Las revisiones puntuales son cosa del pasado

El riesgo de subproveedores no se puede gestionar solo con revisiones periódicas. Los enfoques tradicionales de gestión de riesgos de terceros se diseñaron para una época donde los cambios de proveedores eran más lentos y los límites estaban más claros. Asimismo, las evaluaciones anuales, los cuestionarios puntuales y la recopilación ocasional de informes SOC ofrecen una buena instantánea, aunque la exposición a subproveedores evoluciona en cascada; es decir, los proveedores añaden nuevos subcontratistas, las arquitecturas de hospedaje cambian, se producen adquisiciones, se migran servicios críticos y surgen nuevas vulnerabilidades en componentes compartidos.

Lo que está claro es que una instantánea estática siempre se quedará obsoleta desde el momento en que se presente.

Aun así, la respuesta no es ignorar la diligencia debida, es complementarla con una supervisión continua. Aquí, los sistemas automatizados son esenciales porque las personas no pueden seguir el ritmo, la escala ni la interconexión de las cadenas de suministros modernas mediante flujos de trabajo manuales. Por ello, la monitorización continua ayuda a detectar las señales que indiquen un cambio en los riesgos del ecosistema de tus terceros, lo que incluye cambios en la infraestructura de proveedores, vulnerabilidades que se divulguen y estén vinculadas a la tecnología en uso, evidencias sobre brechas emergentes, patrones de interrupción de los servicios y cambios en las dependencias de un proveedor.

La automatización importa porque la velocidad de respuesta es parte del riesgo. En el caso de que un subproveedor sufriera un incidente, las primeras horas son críticas. En este sentido, las organizaciones que reducen el impacto son las que pueden determinar con rapidez qué terceros dependen del subproveedor afectado, qué procesos empresariales se ven expuestos y qué controles necesitan activarse. En definitiva, no se puede depender de hojas de cálculo, hilos de email o del informe de proveedores del último trimestre.

En resumen, tu organización necesita una solución que pueda:

• Automatizar la recepción, la clasificación, las evaluaciones y las reevaluaciones.
• Centralizar los datos de los proveedores en un único inventario con calificación contextual.
• Permitir la supervisión en tiempo real y los flujos de trabajo automatizados para la resolución de incidencias.
• Permitir a los equipos de riesgos de terceros pasar de la gestión reactiva a la gestión proactiva de los riesgos.

Para los responsables de gestión de riesgos de terceros, esta es la oportunidad para reajustar el programa de la actividad de cumplimiento normativo a la resiliencia de las operaciones. De hecho, el riesgo de subproveedores no es una categoría alternativa, es la nueva condición por defecto de las empresas digitales. Las organizaciones que lo interpreten así serán las que tomen mejores decisiones sobre sus proveedores, respondan más rápido a las crisis y consoliden una mayor credibilidad con los directores de seguridad de la información, juntas directivas y reguladores. En definitiva, la monitorización continua es la forma en que la visibilidad se pone al día con la realidad.

Si quieres saber más sobre el proceso de gestión de terceros y lo que significa para toda tu cadena de suministros, consulta esta guía descargable.