“Gracias a la alianza con Delta Protect, Atrato ha logrado avances significativos hacia la certificación ISO 27001, fortaleciendo notablemente su seguridad y cumplimiento. El soporte continuo y las asesorías expertas de Delta, combinadas con la innovadora plataforma Apolo, han sido fundamentales para acelerar y optimizar nuestro roadmap, permitiéndonos enfrentar y superar eficazmente cualquier desafío en seguridad de la información.”
“Tras 3 meses de colaboración efectiva con Delta Protect, estamos impresionados con los resultados y la cobertura del programa de Pentesting de CISO As a Service. Hemos detectado y abordado vulnerabilidades clave, mejorando significativamente nuestra seguridad de la información. Los entrenamientos de Ciberseguridad y ejercicios de Phishing han sido cruciales para aumentar la conciencia de nuestros colaboradores. Agradecemos el seguimiento y apoyo continuo de Delta Protect y esperamos alcanzar más objetivos juntos.”
“Nuestra colaboración con Delta Protect marcó un hito en nuestra seguridad digital. Su enfoque meticuloso y detallado en el Pentest reveló vulnerabilidades ocultas que habían pasado inadvertidas, demostrando una eficacia y rapidez impresionante en su resolución. Además, su servicio de CISOaaS transformó nuestra estrategia de ciberseguridad, donde su equipo experto nos guió en el desarrollo de políticas robustas y procesos efectivos.”
“Me complace enormemente relatar la experiencia positiva y enriquecedora que hemos tenido con Delta Protect y su sobresaliente servicio de Chief Information Security Officer as a Service (CISOaaS). Representando al departamento de TI de Sperientia, quiero expresar mi profunda gratitud y aprecio por el alto nivel de calidad y profesionalismo evidenciado en nuestra colaboración con el equipo de Delta Protect. Desde el inicio de nuestra asociación con Delta Protect, hemos observado un compromiso y una excelencia excepcionales, superando ampliamente nuestras expectativas.”
“Mi experiencia con el equipo de especialistas de Delta Protect ha sido tremendamente positiva. En todo momento, han mostrado un alto grado de profesionalismo, experiencia y conocimiento, manejándose con una ética impecable. Su atención al detalle y su disposición para resolver problemas y brindar apoyo han sido imprescindibles. Como CISO, valoro enormemente contar con aliados tan confiables y competentes, que contribuyen significativamente a fortalecer la postura de ciberseguridad de mi compañía.”
Nuestra reciente experiencia con Delta Protect en el pentesting fue excepcional. Nos brindaron asistencia crucial para identificar y fortalecer aspectos de seguridad en variados sistemas e interfaces, abarcando front-end, back-end y aplicaciones móviles. Su enfoque ágil y sumamente profesional fue notable. Sin duda, confiaríamos nuevamente en Delta Protect para asegurar la integridad de nuestros sistemas.
Estoy absolutamente impresionado con la experiencia brindada por Delta Protect. Son, sin duda, el proveedor más responsable y cumplidor que hemos tenido el placer de colaborar.
Mi trayectoria con DeltaProtect se remonta a mi empleo anterior, donde ya tenía contacto con ellos desde el equipo de Ciberseguridad. Solicitamos pruebas de penetración (PT) para aplicaciones web y móviles. Mi experiencia con varios proveedores, grandes y pequeños, me ha demostrado que DeltaProtect se destaca significativamente. Sus informes y hallazgos son superiores, identificando vulnerabilidades que otros proveedores no detectaron. Lo que más valoro es la profundidad de sus pruebas y el enfoque en vulnerabilidades que requieren un análisis más detallado, más allá de los resultados automáticos.
"Delta Protect fue una solución óptima para nosotros. Buscábamos un proveedor bien actualizado técnicamente, que entendiera nuestro modelo de negocio y que nos diera la certeza de poder transmitir solidez a nuestros clientes. El trato del equipo Delta y sus procesos han superado nuestras expectativas, sin duda seguiremos trabajando juntos.”
"¡La experiencia general de trabajar con Delta Protect ha sido simplemente excelente! El equipo responde con velocidad, aclaran todas las preguntas a medida que surgen y el apoyo brindado durante todo el proceso es excelente. Lo Recomendaría sin dudarlo.”
"El servicio de Delta Protect es altamente profesional. Quedamos muy satisfechos con el resultado. Ofrecieron acompañamiento en todo momento para encontrar y solucionar las vulnerabilidades que encontraron en nuestro sistema.”
Gestión de riesgos de terceros (TPRM): ¿Qué es y cómo protegerse?
Ciberseguridad y Cumplimiento Simplificado para Startups y PYMEs en México y LATAM 🔐
Gestión de riesgos de terceros (TPRM): ¿Qué es y cómo protegerse?
Conclusiones
Cyber Security researcher y profesional en tecnologías de la información con una fuerte preocupación por la privacidad y los derechos digitales. Como Hacker Ético y Purple Teamer, desarrollando e implementando controles y evaluaciones de seguridad basados en amenazas reales (“Threat-informed defense”), maximizando la operatividad y costos de implementación. Especialista en tecnologías Cloud e infraestructura, incluyendo arquitectura, evaluaciones, mejores prácticas, deployments y seguridad operacional.
Ciberseguridad y Cumplimiento Simplificado para Startups y PYMEs en México y LATAM 🔐
Trabajar con terceros puede suponer riesgos de distintos tipos a una empresa. Por ejemplo, si ofrecen un servicio indispensable para la empresa, pueden generar riesgos operativos; mientras que si tienen acceso a datos confidenciales, pueden generar riesgos de ciberseguridad.
Por ello, es imprescindible tener una adecuada gestión de riesgos de terceros. A continuación, te explicamos todo el respecto. ¡Empecemos!
¿Qué es TPRM?
Las siglas TPRM provienen del inglés Third-Party Risk Management, que en español significa gestión de riesgos de terceros. Se trata de una metodología de control de riesgos orientada a la identificación y mitigación de riesgos inherentes al uso de terceros, ya sean socios, proveedores de servicios o contratistas, entre otros.
Mediante la gestión del riesgo de terceros, las organizaciones supervisan las relaciones con sus contrapartes, evaluando el comportamiento, desempeño y riesgos relacionados con cada uno de ellos. Esto facilita la toma de decisiones informadas para disminuir el riesgo de terceros a un nivel aceptable, haciéndolo un elemento clave de la estrategia general de gestión de riesgos de cualquier organización.
Metodología TPRM
Aunque cada empresa puede diseñarlo para que se adapte a sus necesidades, todo programa de gestión de riesgos abarca tres aspectos: las personas, los procesos y la tecnología. Cada uno de estos elementos debe ser considerado a la hora de plantear los objetivos de la TPRM.
La metodología TPRM implica que las empresas:
- Aborden el compromiso relacionado con el riesgo mediante disposiciones contractuales.
- Compaginen el portafolio de riesgos del contrato con el portafolio del tercero.
- Planifiquen una evaluación de riesgos dinámica, que se base en eventos internos y externos, y que incluya enfoques de monitoreo innovadores.
- Utilicen soluciones tecnológicas que faciliten la integración del monitoreo del desempeño y la gestión de riesgos en una plataforma.
Tipos de riesgos de terceros
Un buen programa de TPRM debe tomar en cuenta distintos tipos de riesgos. Aunque principalmente se consideran los riesgos de ciberseguridad, también es importante considerar los siguientes:
Riesgos reputacionales
Si un proveedor es víctima de un ciberataque, si disminuye la calidad de sus productos o se interrumpe la cadena de suministros; aunque no se trate directamente de un problema de la empresa, estos eventos afectan a sus clientes y, por lo tanto, pueden afectar la reputación de su empresa.
Riesgos estratégicos
Si la empresa no coordina sus objetivos con los de los terceros que contrata, la estrategia podría verse afectada y llevar a faltas en el cumplimiento o a otros riesgos, como los riesgos financieros. Así mismo, también podría llevar a que se vea afectado el flujo de trabajo establecido.
Riesgos financieros
Cuando las terceras partes tienen problemas financieros, como endeudamiento o la pérdida de una línea de crédito, esto puede implicar un aumento en los costos de la empresa, o en faltas al cumplimiento, afectando negativamente a la empresa.
Riesgos operacionales
Las fallas en los sistemas o procesos internos de los terceros pueden impedirle cumplir con los plazos y expectativas acordadas, disminuyendo la eficacia de la empresa. Así mismo, algunos riesgos externos son imposibles de predecir, como las catástrofes naturales, y pueden llevar a un detenimiento parcial o total de las actividades productivas y administrativas de la empresa.
Por ello, deben crearse planes de continuidad del negocio como contingencia para mantener la actividad empresarial a pesar de este tipo de situaciones imprevistas.
Riesgos de cumplimiento
Si un proveedor no cumple con algún requerimiento legal de su sector, la empresa podría verse afectada. Adicionalmente, algunas normativas han incorporado los riesgos de terceros en sus protocolos, por lo que es importante asegurarse que exista cumplimiento estricto de todos los proveedores.
Esto es especialmente importante cuando se trata de proveedores de servicios financieros.
Riesgos éticos
Cada día es más frecuente que las empresas lleven prácticas relacionadas al respeto de los derechos humanos y a la sostenibilidad. Aunque las normativas no son cohesivas por ahora, las empresas deben realizar reportes sobre su impacto ambiental, social y de gobernancia o ESG (Environmental, Social and Governance).
Este reporte varía según el tipo de empresa en cuestión: cada empresa realiza reportes sobre tópicos que podrían tener un impacto en sus finanzas. Por ejemplo, un banco no tendría que reportar sobre el uso de combustibles fósiles, pero sí sobre su uso de energía eléctrica.
Riesgos de ciberseguridad
Debido a que muchas empresas dependen en gran medida de la información digital y la tecnología para llevar a cabo sus labores, la subcontratación de un tercero que sea poco estricto con sus normas de ciberseguridad podría llevar a que la empresa sufra un ataque cibernético. Esto, a su vez, puede traer como consecuencia la filtración de datos confidenciales o la pérdida de recursos financieros, por ejemplo.
Por ello, es de suma importancia que las empresas se aseguren de que sus proveedores, socios y demás terceros apliquen estrictas políticas de seguridad de la información, que incluyan la encriptación de datos sensibles, la gestión de identidades y accesos, entre otros.
Importancia de la gestión de riesgos de terceros
A medida que las organizaciones avanzan, dependen cada vez más de terceros para obtener suministros, servicios y conocimientos especializados que les ayuden a crecer e innovar. Y, por supuesto, la externalización a terceras partes puede ahorrar tiempo y dinero a su organización.
Sin embargo, si la empresa no cuenta con un TPRM adecuado, se expone a riesgos que pueden afectar su reputación y sus finanzas. Puede llegar a ser sumamente complejo y costoso lidiar con las fallas de un tercero, por lo que es necesario realizar evaluaciones de riesgo periódicas que ayuden a garantizar la seguridad de la empresa.
Un buen programa de gestión de riesgos de terceros puede ayudar a las empresas a mejorar su reputación y optimizar su rendimiento, haciéndolas más capaces de recuperarse de incidentes y minimizando las interrupciones del negocio. Esto se traduce en una mejor experiencia para sus clientes, lo que permite obtener mayor confianza de ellos.
Cómo protegerse de riesgos de terceros
Algunas de las buenas prácticas de gestión de riesgos de terceros que deben incorporarse en un buen programa de TPRM y para de esta manera mitigar los riesgos son:
Recopilación de datos en tiempo real
Es necesario monitorear y realizar evaluaciones periódicas de los riesgos de terceros. Para ello, pueden utilizarse cuestionarios, y posteriormente hacer seguimiento de sus respuestas. Esto mejora la capacidad para administrar el desempeño y su entorno de control.
Automatización y análisis de procesos
Parte de la optimización de los procesos de las empresas va de la mano con la automatización de tareas repetitivas dentro del ciclo de vida de sus productos. Esto puede incluir el uso de herramientas que realizan evaluaciones de riesgo de forma automática y emiten informes periódicos.
Integración de actividades de TPRM y tecnología en los procesos existentes
Actualmente, existen muchas tecnologías que pueden integrarse a los procesos de la empresa para mejorar la seguridad de la información. Por ejemplo, plataformas de controles de acceso, uso de doble factor de autenticación y contraseñas seguras para limitar el acceso a datos sensibles.
Formación del personal
Es indispensable educar a los empleados de la empresa de todas las jerarquías, incluyendo el gobierno corporativo de la empresa, para saber identificar los intentos de ciberataques y eviten generar riesgos adicionales.
En Delta Protect podemos ayudarte a evaluar a tus empleados con Apolo, un software as a service que te permite capacitar y evaluar a tus empleados 10 veces más rápido que con métodos tradicionales.
Cumplimiento de normativas locales e internacionales
Las regulaciones en materia de ciberseguridad tienen por objetivo proteger a la empresa, sus empleados, clientes y todas las terceras partes interesadas en ella, de cualquier tipo de amenaza cibernética.
En este sentido, el cumplimiento de normas como ISO 27001 e ISO 27701, tanto por parte de la empresa como de los terceros que trabajen con ella, es imprescindible para evitar la exposición de datos confidenciales (como la información de los empleados que se registra en la nómina, por ejemplo).
Sin embargo, el cumplimiento de normativas y la implementación de protocolos de seguridad puede ser engorrosa, especialmente para pymes y startups que no cuentan con los recursos ni el personal con experiencia en seguridad cibernética.
En Delta Protect tenemos un equipo de expertos en materia de ciberseguridad listos para apoyarte en el cumplimiento de normas esenciales para buenas prácticas de TPRM. Entérate más detalles en el sitio web de nuestro complemento de Apolo: CISO as service.
Cyber Security researcher y profesional en tecnologías de la información con una fuerte preocupación por la privacidad y los derechos digitales. Como Hacker Ético y Purple Teamer, desarrollando e implementando controles y evaluaciones de seguridad basados en amenazas reales (“Threat-informed defense”), maximizando la operatividad y costos de implementación. Especialista en tecnologías Cloud e infraestructura, incluyendo arquitectura, evaluaciones, mejores prácticas, deployments y seguridad operacional.
Sigue aprendiendo
