Perguntas Essenciais para Avaliar Fornecedores Terceirizados quanto a Riscos de Cibersegurança

De consultores de marketing e parceiros de cadeia de suprimentos a contadores e provedores de serviços de TI, organizações hoje dependem de todo tipo de terceiros para praticamente todas as funções de negócio imagináveis.

Segundo pesquisa recente do Ponemon Institute, a consequência não intencional dessa dependência de terceiros é que 61% das organizações nos EUA sofreram violação de dados causada por terceiros ou fornecedores. Cinquenta e sete por cento das empresas não conseguem determinar se as políticas e defesas de segurança de seus fornecedores podem prevenir adequadamente uma violação, e menos da metade avalia as práticas de segurança e privacidade dos fornecedores antes de iniciar um acordo que exija compartilhamento de informações sensíveis ou confidenciais.

Não é surpresa, portanto, que segundo a mesma pesquisa apenas 16% dos entrevistados classificaram suas empresas como "altamente eficazes" na mitigação de risco de terceiros. Na verdade, aqueles que priorizam a gestão de riscos de terceirização estão na minoria.

O melhor momento para começar a reduzir risco de terceiros é no início do relacionamento — antes de firmar um acordo. É quando você precisa fazer perguntas críticas para identificar a exposição possível que está assumindo e como melhor evitar um comprometimento. Fornecedores com práticas de segurança fortes geralmente estão dispostos a discuti-las, enquanto aqueles que evitam tais discussões podem ter algo a esconder. Com isso em mente, aqui estão cinco perguntas — uma interna e quatro para candidatos sérios — que você deve fazer ao considerar um terceiro:

Quais dados e sistemas o terceiro possuirá ou acessará? Muitos terceiros não terão acesso a dados ou sistemas sensíveis, então, se sofrerem uma violação, a ameaça para você é mínima. Um fornecedor de paisagismo, por exemplo, tem pouco acesso a dados ou sistemas, e provavelmente nenhum ao interior de qualquer instalação. Talvez a única rede computadorizada que acessaria seja um sistema de irrigação, que provavelmente seria isolado de sistemas corporativos internos. Portanto, qualquer violação potencial desse fornecedor hipotético teria pouco ou nenhum impacto.

Um provedor de RH, sistema financeiro ou fornecedor, por outro lado, seria muito diferente. Por exemplo, se você contratasse um consultor para desenvolver análises de clientes em apoio à estratégia de marketing ou negócios, essa entidade poderia ter acesso a dados da empresa abrangendo números de cartão de crédito e endereços residenciais de clientes, ou finanças corporativas. Esse tipo de consultor deve ser cuidadosamente verificado.

Que tipo de registro e monitoramento o terceiro realiza? Registro e monitoramento são as principais formas pelas quais uma organização registra e responde a atividades em seu ambiente. Mas logs de atividade de sistema e rede são verbosos. E nos ambientes computacionais modernos, compostos por múltiplos sistemas diversos e redes de alta largura de banda, o volume de eventos de log rapidamente se torna avassalador para um humano gerenciar. Para monitorar adequadamente eventos de segurança, ferramentas devem ser implantadas para armazenar e triar esses eventos. Conhecendo as escolhas de pessoal e ferramentas do fornecedor, você entenderá o quão a sério ele leva a segurança. Afinal, pessoas + ferramentas = dinheiro = recursos = prioridades. Busque parceiros que priorizem e invistam em segurança.

Como o terceiro gerencia controles de acesso físicos e técnicos? Controles de acesso são uma forma de reduzir vulnerabilidade e, portanto, risco. Eles assumem duas formas principais: físicos e técnicos. Em nosso mundo hiperconectado, é fácil esquecer a importância dos controles físicos. Você precisa identificar os locais físicos onde o terceiro armazena, processa e transmite dados, bem como o nível de segurança física nesses locais. Se seus dados forem armazenados em dispositivos móveis, é importante entender os controles de segurança associados a esses dispositivos, pois eles podem não estar sempre em um local físico estático.

Controles de acesso técnicos também são importantes para avaliação de sistemas e redes. Pergunte quantos indivíduos terão acesso aos seus dados e para qual finalidade. Entenda como o terceiro usa autenticação multifator, com que frequência usuários no grupo de administradores são revisados, com que frequência permissões de sistema são revisadas e como o acesso de funcionários que saem é removido. Além disso, saiba como práticas e ferramentas de segmentação de rede são usadas. Por exemplo, quais controles estão em vigor para isolar sistemas de produção de outros ambientes como a internet? Como o terceiro segmenta sua rede interna?

Muitas vezes, bons controles de acesso físicos podem compensar controles técnicos fracos, e vice-versa. Mas a melhor prática é limitar acesso físico e técnico a dados e sistemas apenas àqueles indivíduos necessários para fornecer o serviço. Controles de acesso frouxos abrem a superfície de ataque e aumentam seu risco.

Quais abordagens o terceiro adota para aplicação de patches em sistemas? Embora vulnerabilidades desconhecidas ou não divulgadas sejam dramáticas e recebam muita atenção, elas são raras. Organizações estão mais expostas a vulnerabilidades conhecidas do que desconhecidas. Como resultado, terceiros devem ter programas robustos para corrigir vulnerabilidades conhecidas, aplicando rapidamente patches de segurança que atualizam falhas e removem o software vulnerável subjacente.

Grandes fornecedores de software lançam atualizações em cadência regular. Na sua revisão de terceiros, você precisa estar convencido de que os sistemas que processam, armazenam e transmitem seus dados receberão atualizações regulares e oportunas, e que processos expeditos existem para vulnerabilidades imediatas e críticas.

O terceiro passa por auditorias ou testes independentes? Quais certificações de segurança obteve? Auditorias mantêm organizações responsáveis. Terceiros devem autoauditar completando e mantendo atualizados questionários de segurança padronizados como SIG Lite ou CSA CAIQ. Além de autoavaliações, auditorias independentes dão a tranquilidade de que o terceiro está seguindo suas políticas e procedimentos. Auditorias independentes podem incluir testes de penetração ou SOC 2. Alguns setores têm suas próprias certificações como HITRUST na saúde, PCI para processadores de pagamento e FedRAMP no governo federal dos EUA. Em todos os casos, auditorias independentes são importantes e demonstram compromisso com um programa formal de segurança da informação validado.

Consideradas em conjunto, discussões sobre essas áreas-chave darão uma noção da postura de segurança do fornecedor. Se as respostas do fornecedor forem transparentes e indicarem prioridade estratégica e diligência proativa, você pode avançar com mais confiança. Se a postura de segurança do fornecedor for imatura, você deve aceitar o risco ou considerar outras mitigações para controlá-lo.

Não deixe a segurança de dados ser uma reflexão tardia. Torne-a parte integrante das discussões de produtos e serviços. No ambiente atual de ataques volumosos e complexos, cibersegurança é um assunto de negócio. Você deve fazer sua devida diligência para entender seu risco.

Jeremy Haas é diretor de segurança, e Ryan Bergquist é analista de cibersegurança, na LookingGlass Cyber Solutions.