Jak wybrać ramy zarządzania ryzykiem przez stronę trzecią?

Dla wielu firm globalni dostawcy zewnętrzni stali się ważnym źródłem przewagi strategicznej i wartości biznesowej. Outsourcing nie jest jednak pozbawiony ryzyka. Wraz ze wzrostem zależności od stron trzecich rośnie również liczba nagłówków gazet dotyczących działań regulacyjnych i szkód wizerunkowych, które wynikają z naruszeń lub niewydolności stron trzecich.

Organizacje kierujące muszą ponownie przemyśleć sposób, w jaki podchodzą, identyfikują i zarządzają ryzykiem związanym ze stronami trzecimi.

Organizacje świadczące usługi finansowe w Stanach Zjednoczonych lub działające w Stanach Zjednoczonych muszą mocno koncentrować się na zarządzaniu ryzykiem stron trzecich ze względu na rosnące ukierunkowanie regulacyjne i złożoność relacji z zagranicznymi i krajowymi stronami trzecimi. Poza Stanami Zjednoczonymi, kraje takie jak Australia kładą duży nacisk na zarządzanie dostawcami zewnętrznymi i czwartymi w usługach finansowych za pośrednictwem standardów ostrożnościowych APRA.

Dostawcy zewnętrzni mogą zapewnić Twojej organizacji ogromne korzyści strategiczne, a najlepsze firmy intensywnie korzystają z dostawców, koncentrując się na tym, co robią najlepiej, a resztę zlecając na zewnątrz. Jednak te same relacje z osobami trzecimi stanowią zagrożenie dla bezpieczeństwa cybernetycznego, gdy nie są dobrze zarządzane.

Wraz ze wzrostem wielkości i złożoności organizacji, zdolność do zarządzania relacjami z osobami trzecimi staje się coraz bardziej krytyczna dla sukcesu. Organizacje, które mają trudności z rozbudową ekosystemu stron trzecich z obawy przed ryzykiem, jakie może on stworzyć, zostaną zakłócone przez organizacje, które mogą pewnie identyfikować ryzyko i zarządzać nim.

Niezależnie od tego, czy jest to wymóg prawny, czy nie, każda organizacja powinna ograniczać ryzyko cyfrowe, wprowadzając plan zarządzania strony trzeciej, a nawet czwartej strony w swoich procesach zarządzania ryzykiem bezpieczeństwa.

Dowiedz się więcej o ryzyku regulacyjnym w > cyberbezpieczeństwa

Co to jest zarządzanie ryzykiem stron trzecich (TPRM)?

Zarządzanie ryzykiem stron trzecich (TPRM) to proces analizy i kontroli ryzyka związanego z outsourcingiem do zewnętrznych dostawców lub usługodawców.

Może to obejmować:

Niepotrzebny dostęp do własności intelektualnej, informacji o klientach lub innych poufnych danych.
Ryzyka operacyjne
Ryzyka finansowe
Ryzyka związane ze zgodnością z przepisami
Ryzyka związane z reputacją
Zagrożenia dla ochrony danych
Ryzyko związane z cyberatakami

Nowoczesne programy TPRM koncentrują się przede wszystkim na ograniczaniu ryzyka związanego z bezpieczeństwem, ponieważ ta kategoria ma największy wpływ na wszystkie inne kategorie ryzyka.

Skoncentrowanie się na ograniczaniu zagrożeń bezpieczeństwa dostawców oznacza, że przepływy pracy związane z ograniczaniem ryzyka muszą rozpocząć się na etapie należytej staranności w relacji z dostawcą. Należyta staranność to proces dochodzeniowy, w którym strona trzecia jest sprawdzana w celu ustalenia, czy jest ona odpowiednia do danego zadania. Należyta staranność to ciągły proces obejmujący przegląd, monitorowanie i komunikację kierownictwa w całym cyklu życia dostawcy.

Celem każdego programu zarządzania ryzykiem przez stronę trzecią jest zmniejszenie prawdopodobieństwa naruszenia danych, kosztownych awarii operacyjnych, bankructwa dostawcy oraz spełnienie wymogów regulacyjnych. Zarządzanie ryzykiem związanym z osobami trzecimi nie jest niczym nowym, ale poziom ryzyka, który jest podejmowany, już tak.

Organizacje stoją obecnie w obliczu zagrożeń, takich jak groźba głośnej porażki biznesowej, nielegalne działania osób trzecich przypisywane organizacji lub egzekwowanie przepisów w przypadku działań podejmowanych przez strony trzecie.

Dlaczego potrzebne są ramy zarządzania ryzykiem stron trzecich?

Niezwykle ważne jest, aby organizacje posiadały solidny, dojrzały program zarządzania ryzykiem stron trzecich, który obejmuje wszystkie aspekty ryzyka i wszystkie etapy cyklu życia, przez które może przejść relacja ze stroną trzecią, od początkowej należytej staranności do ciągłości działania.

Nie wystarczy krótkowzroczne skupienie się na operacyjnych czynnikach ryzyka, takich jak wydajność, standardy jakości, terminy dostaw, wskaźniki KPI i pomiar SLA. Coraz większe znaczenie ma ryzyko reputacyjne i finansowe. Takich jak praktyki pracownicze, zarządzanie ryzykiem informacyjnym, kondycja finansowa.

Należy również zrozumieć wymogi prawne i regulacyjne. Takich jak zgodność z przepisami antykorupcyjnymi, świadomość globalnych standardów branżowych mających zastosowanie do stron trzecich, a także zgodność z przepisami dotyczącymi ochrony środowiska oraz zdrowia i bezpieczeństwa.

Kierownictwo wyższego szczebla musi zdawać sobie sprawę z wysokiego ryzyka, na jakie narażona jest ich organizacja w związku z atakami cybernetycznymi i naruszeniami danych ze strony organizacji oraz zewnętrznych i czwartych dostawców usług. Niezależnie od profilu ryzyka organizacji, ustanowienie procesu zarządzania ryzykiem przez stronę trzecią jest kluczowym elementem audytu wewnętrznego i zmniejszenia narażenia na ryzyko.

Proces oceny ryzyka powinien być częścią kontroli wewnętrznej organizacji i obejmować oceny ryzyka związane z łańcuchem dostaw i innymi ocenami ryzyka przeprowadzanymi przez strony trzecie.

Strony trzecie obejmują sprzedawców, dostawców, kanały biznesowe, partnerów marketingowych, dostawców usług płacowych i wszystko inne, co może spowodować szkody finansowe, zgodność z przepisami lub utratę reputacji w przypadku naruszenia.

Dowiedz się, dlaczego zarządzanie ryzykiem przez firmy zewnętrzne jest ważne >

Jak wybrać ramy zarządzania ryzykiem stron trzecich?

Wybór ram zarządzania ryzykiem przez stronę trzecią powinien opierać się na wymaganiach regulacyjnych organizacji, akceptowalnym poziomie ryzyka, korzystaniu z usług stron trzecich, procesach biznesowych, wspólnych przedsięwzięciach, wymaganiach dotyczących zgodności i ogólnej strategii zarządzania ryzykiem korporacyjnym.

Organizacje korzystają obecnie z usług stron trzecich bezpośrednio w swoim łańcuchu dostaw, a także z usług pomocniczych, takich jak sprzedaż, dystrybucja i wsparcie. Coraz powszechniejsze korzystanie z technologii, takich jak chmura i aplikacje oparte na chmurze, jeszcze bardziej przyspiesza trend w kierunku outsourcingu i zwiększa związane z nim ryzyko.

Co więcej, rośnie wartość zadań wykonywanych przez strony trzecie, co zwiększa wpływ zakłóceń lub awarii dostawców zewnętrznych.

Ryzyko związane z osobami trzecimi jest elementem agendy zarządu, a odpowiedzialność na poziomie dyrektora generalnego/zarządu jest w wielu organizacjach, zwłaszcza tych, które działają w środowiskach regulowanych. Wizyty w lokalizacjach innych firm stają się coraz bardziej powszechne, aby uzyskać pewność co do zarządzania przez osoby trzecie.

W miarę jak firmy stają się coraz bardziej zdecentralizowane, rośnie zapotrzebowanie na spójne ramy zarządzania stronami trzecimi. Najlepsze w swojej klasie organizacje w szerokim zakresie korzystają z usług stron trzecich, jednocześnie skutecznie zarządzając związanym z tym ryzykiem.

Ramy TPRM powinny składać się z następujących elementów:

Program oceny ryzyka dla dostawców
Wykrywanie luk w zgodności (szczególnie w przypadku krytycznych przepisów, takich jak PCI-DSS)
Wykrywanie luk w zabezpieczeniach innych firm
Automatyzacja kwestionariuszy bezpieczeństwa
Program naprawczy.
Funkcja generowania raportów w celu informowania interesariuszy o działaniach TPRM

Dowiedz się, jak informować zarząd o ryzyku związanym z osobami trzecimi >

Oto kilka przykładów ram cybernetycznych mapujących wymagania TPRM i mechanizmy kontroli bezpieczeństwa

Płyn płynny NIST
Certyfikat ISO 27001
Certyfikat ISO 27002
Certyfikat ISO 27019
Certyfikat ISO 27036
Certyfikat NIST RMF 800-37

Platforma UpGuard zawiera bibliotekę wiodących w branży kwestionariuszy odwzorowujących popularne standardy, takie jak RODO, ISO 27001 i NIST CSF. Obejrzyj ten film, aby dowiedzieć się, w jaki sposób UpGuard może usprawnić procesy należytej staranności i zarządzanie ryzykiem w partnerstwie z dostawcami poprzez analizę porównawczą działań w zakresie zgodności z ramami.

Pobierz bezpłatną wersję próbną UpGuard >

Czy moja firma ponosi odpowiedzialność za naruszenia przez osoby trzecie?

Jeśli pracujesz w branży usług finansowych, krótka odpowiedź brzmi: tak.

W Stanach Zjednoczonych Urząd Kontrolera Waluty (OCC) napisał w swoich wytycznych dotyczących zarządzania ryzykiem:

Korzystanie przez bank z usług osób trzecich nie umniejsza odpowiedzialności jego zarządu i kadry kierowniczej wyższego szczebla za zapewnienie, że działalność jest prowadzona w sposób bezpieczny i rzetelny oraz zgodnie z obowiązującymi przepisami.

Wraz z OCC, System Rezerwy Federalnej (FRS) i Federalna Korporacja Ubezpieczeń Depozytów (FDIC) mają ustawowe uprawnienia do nadzorowania zewnętrznych dostawców usług w umowach z regulowanymi instytucjami finansowymi.

W broszurze Nadzór nad dostawcami usług technologicznych od FFIEC podkreślono, że korzystanie z dostawców zewnętrznych "nie umniejsza odpowiedzialności... Rada Dyrektorów i Kierownictwo w celu zapewnienia, że działania są prowadzone w sposób bezpieczny i rzetelny oraz zgodnie z obowiązującymi przepisami ustawowymi i wykonawczymi, tak jakby instytucje miały wykonywać działania wewnętrznie. "

Jeśli mieszkasz w Australii i jesteś regulowany przez APRA, przeczytaj nasz post na temat APRA CPS 234: Standard ostrożnościowy bezpieczeństwa informacji.

Czy moja organizacja ponosi odpowiedzialność za naruszenia praw osób trzecich, jeśli nie prowadzimy działalności finansowej?

Nawet jeśli znajdujesz się poza Stanami Zjednoczonymi i nie jesteś dostawcą usług finansowych, jeśli masz biuro lub klientów w Stanach Zjednoczonych, nadal możesz ponosić odpowiedzialność wobec dostawców zewnętrznych.

W grudniu 2014 r. międzynarodowa firma spoza USA, posiadająca udziały w wytwarzaniu i przesyłu energii elektrycznej oraz transporcie kolejowym, została ukarana grzywną w wysokości 772 mln USD za angażowanie się w działania naruszające ustawę o zagranicznych praktykach korupcyjnych (FCPA). Wynikało to głównie z niewłaściwego postępowania osób trzecich oraz nieskutecznej należytej staranności i kontroli korporacyjnej nad takimi podmiotami trzecimi.

Branża opieki zdrowotnej jest szczególnie narażona na ataki w łańcuchu dostaw i naruszenia przez osoby trzecie

Dowiedz się, jak UpGuard poprawia stan bezpieczeństwa w > opieki zdrowotnej

Pamiętaj, że nawet jeśli Twoja firma nie ponosi odpowiedzialności finansowej ani regulacyjnej za naruszenia lub niepowodzenia stron trzecich, nadal mogą one wyrządzić ogromne szkody wizerunkowe, które prowadzą do strat finansowych, a co ważniejsze, utraty zaufania klientów i danych.

Jakie są najlepsze praktyki dotyczące ram zarządzania ryzykiem stron trzecich?

Zarówno National Institute of Standards and Technology (NIST), jak i Międzynarodowa Organizacja Normalizacyjna (ISO) mają popularne ramy zarządzania ryzykiem, które mogą być używane razem w procesie oceny dowolnego programu zarządzania ryzykiem strony trzeciej.

Ogólnie rzecz biorąc, najlepsze praktyki w zakresie wszelkich ram zarządzania ryzykiem są następujące:

Zrób spis wszystkich dostawców zewnętrznych, z którymi Twoja organizacja ma relacje
Skataloguj zagrożenia cyberbezpieczeństwa, na które kontrahenci mogą narazić Twoją organizację
Oceniaj i segmentuj dostawców według potencjalnych zagrożeń oraz ograniczaj ryzyko, które wykracza poza apetyt organizacji na ryzyko
Opracuj system oparty na regułach, aby ocenić przyszłych dostawców i wyznaczyć minimalną akceptowalną przeszkodę dla jakości wszelkich przyszłych stron trzecich w czasie rzeczywistym, dokonując przeglądu bezpieczeństwa danych i niezależnych recenzji
Ustanowienie właściciela zarządzania ryzykiem dostawcy i wszystkich innych praktyk zarządzania ryzykiem stron trzecich
Zdefiniuj trzy linie obrony, w tym przywództwo, zarządzanie dostawcami i audyt wewnętrzny
Pierwsza linia obrony - funkcje, które są właścicielami ryzyka i zarządzają nim
Druga linia obrony - funkcje, które nadzorują lub specjalizują się w zarządzaniu ryzykiem i zgodnością z przepisami
Trzecia linia obrony - funkcje zapewniające niezależną pewność, przede wszystkim audyt wewnętrzny
Ustal plany awaryjne na wypadek, gdyby firma zewnętrzna została uznana za niższą jakość lub doszło do naruszenia danych

Ustanowienie ram zarządzania ryzykiem przez strony trzecie oznacza, że straty finansowe i wizerunkowe dla Twojej organizacji zostaną zminimalizowane, jeśli dojdzie do naruszenia danych przez osoby trzecie. Naruszenia danych mogą mieć ogromny wpływ na Twoich klientów, pracowników i pozycję Twojej organizacji na rynku.

Dowiedz się, w jaki sposób norma ISO 31000 wspiera zarządzanie ryzykiem >

Właściwe zarządzanie bezpieczeństwem cybernetycznym zmniejsza wpływ i koszty zarządzania ryzykiem bez wpływu na ogólną produktywność i zdolność do wdrażania stron trzecich do organizacji.

Ramy zarządzania ryzykiem stron trzecich zapewniają Twojej organizacji wspólne standardy podejmowania decyzji, minimalizując kłopoty i czas potrzebny na zarządzanie ryzykiem związanym z dostawcami zewnętrznymi. Ostatecznie oszczędzasz pieniądze swojej organizacji, a co ważniejsze, jej reputację i relacje z klientami.

Zapoznaj się z naszym przewodnikiem na temat najlepszych praktyk zarządzania ryzykiem dostawców >

Platforma UpGuard to kompletne rozwiązanie do zarządzania ryzykiem dostawców, obejmujące wszystkie niezbędne elementy programu TPRM, w tym:

Ciągłe zarządzanie obszarem podatnym na ataki
Ocena ryzyka i automatyzacja kwestionariuszy bezpieczeństwa
Planista działań naprawczych
Generowanie raportów o cyberbezpieczeństwie
Pakiet funkcji zapewniających należytą staranność w celu bezpiecznego wdrażania dostawców.

Aby zapoznać się z omówieniem, w jaki sposób UpGuard może pomóc uprościć komponent zarządzania powierzchnią ataków TPRM, obejrzyj poniższy film.