Come selezionare un framework di gestione del rischio di terze parti

Per molte aziende, i fornitori di terze parti globali sono diventati un'importante fonte di vantaggio strategico e valore aziendale. Tuttavia, l'outsourcing non è privo di rischi. Con la continua crescita della dipendenza da terze parti, aumenta anche il numero di notizie su azioni normative e danni alla reputazione derivanti da violazioni o fallimenti di terze parti.

Le organizzazioni che guidano devono riconsiderare il modo in cui affrontano, identificano e gestiscono il rischio di terze parti.

Le organizzazioni di servizi finanziari negli Stati Uniti o che operano negli Stati Uniti devono avere una forte attenzione alla gestione del rischio di terze parti a causa della crescente attenzione normativa e della complessità delle relazioni con terze parti estere e nazionali. Al di fuori degli Stati Uniti, paesi come l'Australia si concentrano fortemente sulla gestione dei fornitori di terze e quarte parti nei servizi finanziari anche attraverso gli standard prudenziali dell'APRA.

I fornitori di terze parti possono fornire grandi vantaggi strategici alla tua organizzazione e le migliori aziende utilizzano pesantemente i fornitori, concentrandosi su ciò che sanno fare meglio ed esternalizzando il resto. Ma queste stesse relazioni con terze parti presentano un rischio per la sicurezza informatica se non gestite bene.

Man mano che le organizzazioni crescono in dimensioni e complessità, la capacità di gestire le relazioni con terze parti diventa sempre più fondamentale per il successo. Le organizzazioni che faticano ad espandere il proprio ecosistema di terze parti, per paura dei rischi che può creare, saranno interrotte da organizzazioni in grado di identificare e gestire con sicurezza i rischi.

Indipendentemente dal fatto che si tratti o meno di un requisito normativo, ogni organizzazione dovrebbe mitigare i rischi digitali istituendo un piano di gestione di terze parti, e persino di quarte parti, nei propri processi di gestione dei rischi per la sicurezza.

Scopri di più sui rischi normativi nei > di sicurezza informatica

Che cos'è la gestione del rischio di terze parti (TPRM)?

La gestione del rischio di terze parti (TPRM) è il processo di analisi e controllo dei rischi associati all'esternalizzazione a fornitori di servizi o fornitori di servizi di terze parti.

Ciò potrebbe includere:

Accesso non necessario alla proprietà intellettuale, alle informazioni sui clienti o ad altri dati sensibili.
Rischi operativi
Rischi finanziari
Rischi di conformità
Rischi reputazionali
Rischi per la protezione dei dati
Rischi di attacchi informatici

I moderni programmi TPRM si concentrano principalmente sulla mitigazione dei rischi per la sicurezza, poiché questa categoria ha il maggiore impatto su tutte le altre categorie di rischio.

Concentrarsi sulla mitigazione dei rischi per la sicurezza dei fornitori significa che i flussi di lavoro di mitigazione devono iniziare nella fase di due diligence di una relazione con i fornitori. La due diligence è il processo investigativo mediante il quale una terza parte viene esaminata per determinare se è adatta a un determinato compito. La due diligence è un processo continuo che include la revisione, il monitoraggio e la comunicazione della gestione durante l'intero ciclo di vita del fornitore.

L'obiettivo di qualsiasi programma di gestione del rischio di terze parti è ridurre la probabilità di violazioni dei dati, costosi errori operativi, bancarotta del fornitore e soddisfare i requisiti normativi. La gestione del rischio di terze parti non è una novità, ma il livello di rischio che viene assunto lo è.

Le organizzazioni si trovano ora ad affrontare rischi quali la minaccia di un fallimento aziendale di alto profilo, l'attribuzione di azioni illegali di terze parti all'organizzazione o l'applicazione di normative per azioni intraprese da terze parti.

Perché ho bisogno di un framework di gestione del rischio di terze parti?

È fondamentale che le organizzazioni dispongano di un programma di gestione del rischio di terze parti solido e maturo che comprenda tutti gli aspetti del rischio e tutte le fasi del ciclo di vita attraverso le quali una relazione di terze parti può passare dalla due diligence iniziale alla continuità aziendale.

Non è sufficiente concentrarsi in modo miope sui fattori di rischio operativo come le prestazioni, gli standard di qualità, i tempi di consegna, i KPI e la misurazione degli SLA. I rischi reputazionali e finanziari sono sempre più importanti. Come le pratiche di lavoro, la gestione del rischio informativo, la salute finanziaria.

Dovrebbero essere compresi anche i requisiti legali e normativi. Come la conformità alle normative sulla corruzione, la consapevolezza degli standard globali del settore applicati a terze parti, nonché la conformità ambientale, la salute e la sicurezza.

L'alta dirigenza deve comprendere l'elevato rischio a cui è esposta la propria organizzazione a causa degli attacchi alla sicurezza informatica e delle violazioni dei dati da parte dell'organizzazione e dei fornitori di servizi di terze e quarte parti. Indipendentemente dal profilo di rischio della tua organizzazione, la definizione di un processo di gestione del rischio di terze parti è una parte fondamentale dell'audit interno e della riduzione dell'esposizione al rischio.

Il processo di valutazione del rischio deve far parte dei controlli interni dell'organizzazione e includere la catena di approvvigionamento e altre valutazioni del rischio di terze parti.

Le terze parti includono i fornitori, i canali commerciali, i partner di marketing, i fornitori di buste paga e qualsiasi altra cosa che potrebbe causare danni finanziari, normativi o reputazionali in caso di violazione.

Scopri perché la gestione del rischio di terze parti è importante >

Come si seleziona un framework di gestione del rischio di terze parti?

La scelta di un framework di gestione del rischio di terze parti deve basarsi sui requisiti normativi dell'organizzazione, sul livello di rischio accettabile, sull'uso di terze parti, sui processi aziendali, sulle joint venture, sui requisiti di conformità e sulla strategia generale di gestione del rischio aziendale.

Le organizzazioni stanno ora sfruttando terze parti direttamente nella loro catena di approvvigionamento, nonché servizi ausiliari come vendite, distribuzione e supporto. L'uso crescente della tecnologia, come il cloud e le applicazioni basate su cloud, sta accelerando ulteriormente la tendenza verso l'outsourcing e aumentando i rischi associati.

Inoltre, il valore delle attività eseguite da terze parti sta aumentando, aumentando l'impatto dell'interruzione o del fallimento dei fornitori di terze parti.

Il rischio di terze parti è una caratteristica all'ordine del giorno del consiglio di amministrazione con responsabilità a livello di CEO/consiglio di amministrazione in molte organizzazioni, in particolare quelle che operano in ambienti regolamentati. Le visite a sedi di terze parti stanno diventando sempre più comuni per ottenere garanzie sulla gestione di terze parti.

Man mano che le aziende diventano più decentralizzate, c'è sempre più bisogno di framework di governance coerenti di terze parti. Le organizzazioni best-in-class stanno sfruttando ampiamente le terze parti, gestendo al contempo in modo efficace i rischi associati.

Un framework TPRM dovrebbe essere costituito dai seguenti componenti:

Un programma di valutazione del rischio del fornitore
Rilevamento delle lacune di conformità (in particolare per le normative critiche come PCI-DSS)
Rilevamento di vulnerabilità di terze parti
Automazione dei questionari di sicurezza
Programma di risanamento.
Funzione di generazione di report per tenere informati gli stakeholder sulle attività del TPRM

Scopri come comunicare i rischi di terze parti al consiglio di amministrazione >

Alcuni esempi di framework informatici che si associano ai requisiti TPRM e ai controlli di sicurezza includono

NIST CSF
Certificazione ISO 27001
Certificazione ISO 27002
Certificazione ISO 27019
Certificazione ISO 27036
NIST RMF 800-37

La piattaforma UpGuard include una libreria di questionari leader del settore che si basano su standard popolari come GDPR, ISO 27001 e NIST CSF. Guarda questo video per scoprire come UpGuard può semplificare i processi di due diligence e la gestione del rischio delle partnership con i fornitori attraverso il benchmarking degli sforzi di conformità del framework.

Ottieni una prova gratuita di UpGuard >

La mia azienda è responsabile per violazioni da parte di terzi?

Se lavori nel settore dei servizi finanziari, la risposta breve è sì.

Negli Stati Uniti, l'Office of the Comptroller of the Currency (OCC) ha scritto nelle sue linee guida sulla gestione del rischio:

L'utilizzo di terze parti da parte di una banca non diminuisce la responsabilità del consiglio di amministrazione e dell'alta dirigenza di garantire che l'attività sia svolta in modo sicuro e corretto e nel rispetto delle leggi applicabili.

Insieme all'OCC, il Federal Reserve System (FRS) e la Federal Deposit Insurance Corporation (FDIC) hanno l'autorità statutaria di supervisionare i fornitori di servizi di terze parti negli accordi contrattuali con le istituzioni finanziarie regolamentate.

Nell'opuscolo Supervisione dei fornitori di servizi tecnologici di FFIEC, si evidenzia che l'uso di fornitori di terze parti "non diminuisce la responsabilità del... consiglio di amministrazione e management a garantire che le attività siano condotte in modo sicuro e corretto e nel rispetto delle leggi e dei regolamenti applicabili, così come se le istituzioni svolgessero le attività in house. "

Se ti trovi in Australia ed è regolamentato dall'APRA, leggi il nostro post su APRA CPS 234: Information Security Prudential Standard.

La mia organizzazione è responsabile per violazioni di terze parti se non operiamo nei servizi finanziari?

Anche se ti trovi al di fuori degli Stati Uniti e non sei un fornitore di servizi finanziari, se hai un ufficio o clienti negli Stati Uniti, potresti comunque essere responsabile per fornitori di terze parti.

Nel dicembre 2014 una multinazionale con sede non statunitense, con interessi nella generazione e trasmissione di energia elettrica e nel trasporto ferroviario, è stata multata per 772 milioni di dollari per aver tenuto una condotta in violazione del Foreign Corrupt Practices Act (FCPA). Ciò è dovuto principalmente alla condotta inappropriata di terzi e all'inefficacia della due diligence e dei controlli aziendali su tali terzi.

Il settore sanitario è particolarmente vulnerabile agli attacchi alla catena di approvvigionamento e alle violazioni di terze parti

Scopri come UpGuard migliora le posizioni di sicurezza nel settore sanitario >

Ricorda, anche se la tua azienda non ha responsabilità finanziarie o normative per violazioni o fallimenti di terze parti, può comunque causare enormi danni alla reputazione che portano a perdite finanziarie e, soprattutto, alla perdita di fiducia e dati dei clienti.

Quali sono le migliori pratiche per un framework di gestione del rischio di terze parti?

Sia il National Institute of Standards and Technology (NIST) che l'International Organization for Standardization (ISO) dispongono di framework di gestione del rischio molto diffusi che possono essere utilizzati insieme nel processo di valutazione di qualsiasi programma di gestione del rischio di terze parti.

In generale, le migliori pratiche per qualsiasi framework di gestione del rischio sono:

Fai l'inventario di tutti i fornitori di terze parti con cui la tua organizzazione ha una relazione
Cataloga i rischi di sicurezza informatica a cui le controparti possono esporre la tua organizzazione
Valuta e segmenta i fornitori in base ai rischi potenziali e mitiga i rischi che superano la propensione al rischio della tua organizzazione
Sviluppare un sistema basato su regole per valutare i futuri fornitori e stabilire un ostacolo minimo accettabile per la qualità di eventuali future terze parti in tempo reale, esaminando la sicurezza dei dati e le revisioni indipendenti
Stabilire un proprietario della gestione del rischio del fornitore e di tutte le altre pratiche di gestione del rischio di terze parti
Definire tre linee di difesa, tra cui leadership, gestione dei fornitori e audit interno
La prima linea di difesa: funzioni che possiedono e gestiscono il rischio
La seconda linea di difesa: funzioni che supervisionano o sono specializzate nella gestione del rischio e nella conformità
La terza linea di difesa: funzioni che forniscono garanzie indipendenti, soprattutto l'audit interno
Stabilire piani di emergenza per quando una terza parte è ritenuta di qualità inferiore o si verifica una violazione dei dati

La creazione di un framework di gestione del rischio di terze parti significa che il danno finanziario e reputazionale per l'organizzazione sarà ridotto al minimo se si verifica una violazione dei dati di terze parti. Le violazioni dei dati possono avere un impatto enorme sui clienti, sui dipendenti e sulla posizione della tua organizzazione sul mercato.

Scopri come la norma ISO 31000 supporta la gestione del rischio >

Una corretta gestione della sicurezza informatica riduce l'impatto e il costo della gestione del rischio senza influire sulla produttività complessiva e sulla capacità di integrare terze parti in un'organizzazione.

I framework di gestione del rischio di terze parti forniscono all'organizzazione standard condivisi per il processo decisionale, riducendo al minimo il fastidio e il tempo necessari per gestire il rischio dei fornitori di terze parti. In definitiva, risparmiando denaro alla tua organizzazione e, soprattutto, alla sua reputazione e al rapporto con i suoi clienti.

Leggi la nostra guida sulle best practice di gestione del rischio dei fornitori >

La piattaforma UpGuard è una soluzione completa di Vendor Risk Management che comprende tutti i componenti essenziali di un programma TPRM, tra cui:

Gestione continua della superficie di attacco
Valutazione del rischio e automazione dei questionari di sicurezza
Pianificatore di bonifica
Generazione di report sulla sicurezza informatica
Una suite di funzioni di due diligence per l'onboarding sicuro dei fornitori.

Per una panoramica di come UpGuard può aiutarti a semplificare il componente di gestione della superficie di attacco di TPRM, guarda il video qui sotto.