Co to jest ryzyko dla osób trzecich?

Ryzyko związane ze stroną trzecią to każde ryzyko związane z organizacją przez podmioty zewnętrzne w jej ekosystemie lub łańcuchu dostaw. Do takich stron mogą należeć sprzedawcy, dostawcy, partnerzy, wykonawcy lub usługodawcy, którzy mają dostęp do wewnętrznych danych, systemów, procesów lub innych uprzywilejowanych informacji firmy lub klienta.

Podczas gdy organizacja może mieć silne środki bezpieczeństwa cybernetycznego i solidny plan naprawczy, strony zewnętrzne, takie jak dostawcy zewnętrzni, mogą nie przestrzegać tych samych standardów. Te relacje z osobami trzecimi mogą zwiększyć luki w zabezpieczeniach, zapewniając potencjalnym zagrożeniom łatwiejszy sposób atakowania nawet najbardziej wyrafinowanych systemów bezpieczeństwa.

Dowiedz się, jak UpGuard usprawnia zarządzanie ryzykiem dostawców >

Dlaczego powinienem się martwić ryzykiem związanym z osobami trzecimi?

Ponieważ większość organizacji polega na outsourcingu w celu obsługi przynajmniej niektórych aspektów swojej codziennej działalności, ryzyko związane z osobami trzecimi powinno być na pierwszym planie. Jest to szczególnie ważne, biorąc pod uwagę rosnącą liczbę naruszeń bezpieczeństwa, które wynikają z relacji z osobami trzecimi.

Niedawne badanie pokazuje, że prawie jedna trzecia dostawców zewnętrznych zostałaby uznana za istotnego ryzyka, gdyby doszło do naruszenia. Co więcej, inne badanie wykazało, że 80% badanych organizacji doświadczyło w 2020 roku naruszenia danych pochodzącego od strony trzeciej.

Ostatecznie zarząd i kierownictwo wyższego szczebla organizacji są odpowiedzialne za zarządzanie relacjami z osobami trzecimi. Identyfikacja i kontrola powiązanych ryzyk powinna być prowadzona zgodnie z tymi samymi standardami, co działania, które były obsługiwane z wewnątrz organizacji.

Pomimo licznych zagrożeń, które wynikają z relacji z osobami trzecimi w całym cyklu życia dostawcy, wiele organizacji nadal nie zarządza ryzykiem związanym z osobami trzecimi tak starannie, jak wewnętrznymi.

Brak zarządzania tymi zagrożeniami może narazić organizacje na działania regulacyjne, finansowe, spory sądowe, utratę reputacji i może osłabić zdolność organizacji do pozyskiwania nowych lub obsługi istniejących klientów.

Dowiedz się, jak zarządzać ryzykiem związanym z usługodawcą >

Rodzaje ryzyk związanych z osobami trzecimi

Istnieje wiele potencjalnych zagrożeń, które osoby trzecie mogą wnieść do organizacji, obejmujących sześć kluczowych obszarów:

• Ryzyko związane z cyberbezpieczeństwem: Ryzyko narażenia lub straty wynikające z cyberataku, naruszenia danych lub innych incydentów związanych z bezpieczeństwem. Ryzyko to jest często ograniczane poprzez przeprowadzenie analizy due diligence przed dołączeniem nowych dostawców i ciągłe monitorowanie cyklu życia dostawcy.
• Ryzyko operacyjne: Ryzyko, że strona trzecia spowoduje zakłócenia w działalności biznesowej. Zazwyczaj jest to zarządzane za pomocą umów o gwarantowanym poziomie usług (SLA) zawartych w umowie. W zależności od krytyczności dostawcy możesz zdecydować się na dostawcę kopii zapasowych, aby zapewnić ciągłość działania. Jest to powszechna praktyka w instytucjach finansowych.
• Ryzyko prawne, regulacyjne i związane ze zgodnością: ryzyko, że strona trzecia wpłynie na zgodność organizacji z lokalnymi przepisami, regulacjami lub umowami, np. ogólnym rozporządzeniem o ochronie danych (RODO). Jest to szczególnie ważne dla organizacji świadczących usługi finansowe, opieki zdrowotnej i rządowych, a także ich partnerów biznesowych.
• Ryzyko utraty reputacji: Ryzyko wynikające z negatywnej opinii publicznej spowodowanej przez stronę trzecią. Niezadowoleni klienci, nieodpowiednie interakcje i słabe rekomendacje to tylko wierzchołek góry lodowej. Najbardziej szkodliwymi zdarzeniami są naruszenia danych osób trzecich wynikające ze słabych kontroli bezpieczeństwa, takie jak głośne naruszenie danych Target w 2013 roku.
• Ryzyko finansowe: Ryzyko, że strona trzecia będzie miała szkodliwy wpływ na sukces finansowy Twojej organizacji. Na przykład Twoja organizacja może nie być w stanie sprzedać nowego produktu z powodu złego zarządzania łańcuchem dostaw.
• Ryzyko strategiczne: Ryzyko, że organizacja nie osiągnie swoich celów biznesowych z powodu dostawcy zewnętrznego.

Warto zauważyć, że obszary te często się pokrywają, na przykład, jeśli firma doświadcza naruszenia bezpieczeństwa cybernetycznego, a dane klientów są zagrożone, stanowiłoby to również ryzyko operacyjne, zgodności, reputacyjne i finansowe.

Dowiedz się, jak informować zarząd o ryzyku ze strony osób trzecich >

Jak mogę zminimalizować ryzyko związane z osobami trzecimi?

Natychmiastowe działania, które należy podjąć, aby ograniczyć ryzyko związane z osobami trzecimi, zależą od stanu programu zarządzania ryzykiem przez strony trzecie (TPRM) w organizacji. Po pierwsze, powinieneś ocenić swój obecny program TPRM, aby określić, jakie środki bezpieczeństwa, jeśli w ogóle, obecnie stosujesz. Mówiąc prościej, początkowe etapy procesu zarządzania ryzykiem dostawcy powinny obejmować:

1. Utrzymuj aktualny spis dostawców

Kim są wasi dostawcy? Najpierw musisz dokładnie określić, kim są Twoi dostawcy. Dostawca zewnętrzny to dowolna osoba lub organizacja, która dostarcza produkt lub usługę na rzecz organizacji, która nie pracuje w organizacji, np. producenci i dostawcy, usługodawcy, krótko- i długoterminowi kontrahenci oraz personel zewnętrzny. Zasoby reklamowe powinny być aktualizowane, śledzić przepływy pracy związane z wdrażaniem i zwalnianiem z rynku oraz obejmować podmioty zewnętrzne (dostawców zewnętrznych).

Aby zautomatyzować proces wykrywania nowych dostawców i zasobów innych firm, zespoły ds. zarządzania ryzykiem powinny korzystać z rozwiązania do zarządzania powierzchnią podatną na ataki.śledzenie pojawiających się adresów IP na obszarze ataku w czasie rzeczywistym.

Aby zapoznać się z omówieniem sposobu aktualizowania spisu zasobów cyfrowych za pomocą technik zarządzania obszarem podatnym na ataki, obejrzyj ten film.

Dowiedz się więcej o najlepszych rozwiązaniach do zarządzania obszarem podatnym na ataki >

2. Ustal proces oceny dostawców

Po utworzeniu kompleksowego spisu dostawców należy opracować przepływ pracy oceny ryzyka przez stronę trzecią. Organizacje wykorzystują ten proces do oceny i zatwierdzania potencjalnych zewnętrznych sprzedawców i dostawców, aby upewnić się, że są w stanie spełnić wszystkie zakontraktowane postanowienia i umowy. Na tym etapie należy dołączyć szablon kwestionariusza dla dostawców, aby usprawnić wdrażanie nowych dostawców i ocenę obecnych dostawców.

Ocena ryzyka dostawcy może dostarczyć następujących cennych informacji na temat ograniczania ryzyka:

• Informacje o ryzyku i zgodności — dane oceny ryzyka wskażą luki w zgodności z przepisami.
• Skuteczność zarządzania dostawcami — skuteczność programu VRM dostawcy wskazuje na prawdopodobieństwo wystąpienia zagrożeń ze strony stron trzecich.
• Poziomy stanu zabezpieczeń — ocena ryzyka zapewnia bardziej szczegółowe informacje na temat stanu zabezpieczeń dostawcy. Gdy proces ten jest wspierany przez oceny bezpieczeństwa, umożliwia śledzenie poziomów cyberbezpieczeństwa każdego dostawcy w odniesieniu do standardów branżowych.

Aby zrozumieć idealną strukturę przepływu pracy oceny ryzyka, obejrzyj ten film:

Weź udział w samodzielnej wycieczce po rozwiązaniu UpGUard do zarządzania ryzykiem dostawców >

3. Wdrożenie programu zarządzania ryzykiem przez stronę trzecią

Chociaż kroki te są ważne w tworzeniu solidnych podstaw dla TPRM, same w sobie nie wystarczą. Skuteczny program zarządzania ryzykiem ze strony osób trzecich powinien również uwzględniać następujące kwestie:

• Większość dużych organizacji zarządza setkami lub tysiącami dostawców, z których każdy stwarza inny poziom ryzyka. Każdy poziom ryzyka ma unikalny proces należytej staranności i oceny ryzyka oraz inne wymagania specyficzne dla danego poziomu, co oznacza, że zespół ds. bezpieczeństwa informacji będzie musiał odpowiednio odpowiednio kategoryzować każdego dostawcę. Będą również musieli nawiązać kontakt z dostawcami, aby przyspieszyć wypełnianie kwestionariusza profilu ryzyka i informować o znaczeniu TPRM w organizacji.
• Zarządzanie tak dużą liczbą dostawców wymaga również priorytetowego traktowania dostawców wysokiego ryzyka w stosunku do dostawców o niższym ryzyku. Jednak nadal ważne jest, aby regularnie oceniać wszystkich dostawców pod kątem tych samych standardowych kontroli, aby upewnić się, że nic nie umknie Twojej uwadze.
• Zarządzanie ryzykiem związanym z osobami trzecimi nie jest przedsięwzięciem typu "ustaw i zapomnij". Kwestionariusze dla dostawców powinny być nie tylko częścią procesu onboardingu, ale także wypełniane co najmniej raz w roku. Dostawcy wymagają ciągłego monitorowania, z regularnymi ocenami i kontrolami, aby upewnić się, że ich stan zabezpieczeń jest w dobrym stanie.

Mając na uwadze te rozważania, jasne jest, że skuteczny TPRM wymaga znacznych nakładów czasu i zasobów. Zespoły ds. bezpieczeństwa informacji muszą zająć się wszystkimi innymi aspektami programu zabezpieczeń organizacji i mogą nie mieć niezbędnych możliwości dokładnego zarządzania ryzykiem związanym z osobami trzecimi. Najbardziej opłacalnym obejściem tego problemu jest skorzystanie z usług zarządzanego dostawcy TPRM.

Aby zapoznać się z omówieniem procesów związanych z usługą zarządzania ryzykiem stron trzecich, obejrzyj ten film: