Best practice per la valutazione del rischio di terze parti nel 2023

La valutazione del rischio per la sicurezza informatica rappresentato da fornitori e fornitori di servizi di terze parti richiede molto tempo, è complessa dal punto di vista operativo e spesso è piena di errori.

Devi tenere traccia delle richieste che invii, inseguire i fornitori che non hanno risposto e assicurarti che quando lo fanno rispondano in modo tempestivo e accurato. Insieme ai questionari di valutazione del rischio dei fornitori, le organizzazioni hanno bisogno di un processo di raccolta delle informazioni standardizzato che valuti accuratamente la posizione di sicurezza esterna dei fornitori rispetto agli standard di settore, alle politiche di sicurezza e alle pratiche di sicurezza stabilite.

Qualsiasi solido programma di gestione del rischio di terze parti deve avere processi e linee guida stabiliti che includano il processo di onboarding dei fornitori, la raccolta dei dati, la revisione delle risposte e la richiesta di correzione.

La buona notizia è che esiste un software in grado di semplificare il processo. UpGuard Vendor Risk può aiutarti a monitorare la posizione di sicurezza esterna dei tuoi fornitori in tempo reale, automatizzare le valutazioni della sicurezza e dare priorità e rimediare ai rischi.

Senza un chiaro processo di valutazione, i CISO e i team di gestione del rischio dei fornitori si trovano a dover inviare costantemente e-mail e fogli di calcolo multipli che vengono utilizzati per raccogliere, analizzare e risolvere i problemi lungo la supply chain.

E come sai, quando i team vengono invasi dalla complessità operativa, la due diligence cade nel dimenticatoio, i fornitori ad alto rischio vengono ignorati e l'efficacia del tuo programma di sicurezza diminuisce.

Per aiutarti a sviluppare i processi di valutazione del rischio dei fornitori, abbiamo messo insieme un elenco di cinque best practice per la conduzione di questionari di valutazione del rischio di terze parti e la gestione dei fornitori.

Scopri come UpGuard semplifica la gestione del rischio dei fornitori >

Comprendi il tuo portafoglio di fornitori di terze parti

Prima di poter iniziare a inviare valutazioni dei fornitori, è necessario disporre di un inventario accurato di tutte le relazioni con terze parti. Senza di esso, è quasi impossibile misurare con precisione il livello di rischio informatico introdotto dai fornitori.

È importante capire che gli incidenti di sicurezza che coinvolgono i fornitori possono portare a violazioni significative dei dati, anche se non gestiscono dati sensibili. Come abbiamo visto con Target, anche un fornitore non tecnico come un fornitore di HVAC può portare all'esposizione di oltre 110 milioni di dati personali e di carte di credito di consumatori.

Tieni presente che i fornitori non devono necessariamente disporre delle stesse misure di sicurezza delle informazioni che hai tu. Devi solo essere sicuro che dispongano di adeguati controlli di sicurezza e protezione dei dati.

Scarica il modello di valutazione del rischio del fornitore >

Un buon punto di partenza è investire in uno strumento di monitoraggio della sicurezza automatizzato, come UpGuard Vendor Risk, in grado di tenere traccia e monitorare continuamente i controlli di sicurezza critici dei fornitori di terze e quarte parti. Questi strumenti non solo possono aiutarti a comunicare con i fornitori, ma possono anche aiutarti a scalare il tuo programma di gestione del rischio dei fornitori, aiutandoti a determinare quali fornitori rappresentano il rischio maggiore tramite valutazioni di sicurezza automatizzate e sempre aggiornate.

Scopri come ridurre l'impatto delle violazioni di terze parti.

Trova un modello di questionario per fornitori che funzioni per te

Una volta che hai un inventario dei tuoi fornitori, devi decidere il tipo di questionario di gestione del rischio del fornitore che utilizzerai. Potrebbe trattarsi di uno dei questionari di valutazione dei migliori fornitori o di uno personalizzato.

I questionari standardizzati sono ottimi se devi rispettare normative come GDPR, LGPD, CCPA, ecc. o tendenze specifiche del settore come ISO 27001 e NIST SP 800-171. Tuttavia, alcune organizzazioni hanno bisogno di informazioni più approfondite sul TPRM e di sviluppare questionari personalizzati.

Il problema con i questionari personalizzati è che possono essere difficili da completare, poiché i fornitori spesso vogliono sfruttare i questionari passati per rispondere ai questionari.

Indipendentemente dal questionario che utilizzi, dovresti essere consapevole del fatto che i fornitori devono compilare molto questionari. Pensa di investire in uno strumento che semplifichi la gestione delle risposte da parte dei fornitori.

Se non sai da dove cominciare, i modelli di valutazione del rischio dei fornitori più diffusi includono:

• Controlli di sicurezza critici CIS (CIS First 5/CIS Top 20): i controlli CIS per un'efficace difesa informatica sono un insieme prioritario di azioni che formano un insieme di best practice specifiche e attuabili per mitigare gli attacchi informatici più comuni. I controlli CIS sono associati a molti dei principali framework di conformità, come il NIST Cybersecurity Framework, NIST 800-53, la serie ISO 27000 e normative come PCI-DSS, HIPAA, NERC CIP e FISMA.
• Consensus Assessments Initiative Questionnaire (CAIQ): il Consensus Assessments Initiative Questionnaire (CAIQ) è una valutazione della sicurezza fornita dalla Cloud Security Alliance (CSA), un'organizzazione leader dedicata alla definizione e alla sensibilizzazione delle migliori pratiche di cloud computing sicuro. Il CAIQ aiuta i consumatori e i revisori del cloud a valutare le capacità di sicurezza delle informazioni dei data center e dei fornitori di cloud.

• Strumento di valutazione dei fornitori della comunità dell'istruzione superiore (HECVAT/HECVAT Lite): lo strumento di valutazione del fornitore della comunità dell'istruzione superiore (HECVAT) è un modello di valutazione della sicurezza che generalizza le domande sulla sicurezza delle informazioni e sulla protezione dei dati dell'istruzione superiore, nonché le questioni relative ai servizi cloud per coerenza e facilità d'uso.

  Scopri come rispettare le >
  HECVAT

• Questionario ISO 27001: ISO/IEC 27001 è uno degli standard di sicurezza delle informazioni più noti e utilizzati e fa parte della famiglia di standard ISO/IEC 27000. È pubblicato dall'Organizzazione internazionale per la standardizzazione (ISO) e dalla Commissione elettrotecnica internazionale (IEC).
• NIST SP 800-171: NIST Special Publication 800-171, Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations (NIST SP 800-171) fornisce alle agenzie federali una serie di linee guida volte a garantire che le informazioni non classificate controllate (CUI) rimangano riservate, disponibili e invariate nei sistemi e nelle organizzazioni non federali. Rispettando NIST SP 800-171, soddisferai anche la maggior parte dei criteri per NIST SP 800-53 e la conformità a NIST SP 800-53 è una parte importante della conformità FISMA e FedRAMP.
• Standardized Information Gathering Questionnaire (SIG/SIG-Lite): il questionario Standardized Information Gathering (SIG) viene utilizzato per eseguire una valutazione iniziale dei fornitori, raccogliendo informazioni per determinare come vengono gestiti i rischi per la sicurezza in 18 diversi domini di rischio. SIG è stato sviluppato da Shared Assessments ed è uno strumento olistico per la valutazione della gestione del rischio di sicurezza informatica, IT, privacy, sicurezza dei dati e continuità aziendale.
• Questionario VSA (VSA): il questionario Vendor Security Alliance (VSA) è stato creato da una coalizione di aziende impegnate a migliorare la sicurezza di Internet. A differenza di altri questionari, il processo di valutazione VSA è stato creato pensando al fornitore. Il suo obiettivo è eliminare le domande irrilevanti, riducendo il tempo necessario ai team di sicurezza e di sicurezza per completare il questionario.
• Questionario sugli standard di sicurezza dei dati del settore delle carte di pagamento (PCI DSS): gli standard di sicurezza dei dati del settore delle carte di pagamento (PCI-DSS) sono uno standard di sicurezza delle informazioni e dei dati per le organizzazioni che gestiscono carte di credito di marca dai principali circuiti di carte.

Leggi la nostra guida completa sui questionari di valutazione dei migliori fornitori >

Guarda questo video per scoprire come UpGuard semplifica i flussi di lavoro di valutazione del rischio.

Dai un'occhiata alle funzionalità di valutazione del rischio di UpGuard >

Tieni traccia di ciò che invii

In passato, era facile che i questionari si perdessero nella raffica di avanti e indietro tra le caselle di posta o semplicemente smarrissero i file Excel compilati. Ecco perché è importante sviluppare un sistema centralizzato in cui è possibile monitorare e rivedere continuamente i progressi compiuti dai fornitori sui questionari.

Un buon software di gestione del rischio dei fornitori fornirà ai fornitori un modo semplice per mettersi in contatto con il tuo team in merito a qualsiasi dubbio, nonché per fornire ulteriori prove o prove dei loro controlli di sicurezza.

Inoltre, ti consigliamo di fissare una scadenza chiara e un follow-up automatizzato in modo che tu e il fornitore sappiate esattamente cosa aspettarvi e quando.

Scopri come comunicare il rischio di terze parti agli stakeholder >

Usa la tecnologia per semplificare i processi

I questionari di valutazione del rischio non sono una novità. Probabilmente hai inviato questionari via e-mail e gestito più fogli di calcolo Excel per verificare le risposte. Tuttavia, una tecnologia come UpGuard Vendor Risk può aiutarti a scalare i tuoi processi consentendo ai computer di tenere traccia delle cose per te.

Un buon strumento darà a te e ai tuoi fornitori di terze parti:

• Un modo per fornire risposte, prove e porre qualsiasi domanda in un ambiente centralizzato
• Un modo per delegare le risposte a nuove persone all'interno dell'organizzazione, in modo che la persona corretta possa rispondere a ogni domanda.
• Mezzi di monitoraggio continuo (o monitoraggio continuo) di tutti i livelli di rischio, durante i processi di due diligence e oltre.
• Un modo per rimediare e discutere i problemi, esaminare le prove e chiedere ulteriori informazioni o prove di domande specifiche, ad esempio quali politiche di controllo degli accessi sono in atto?

La strategia di gestione del rischio di terze parti deve essere in grado di identificare i potenziali rischi dei nuovi fornitori, prima dell'onboarding. Il monitoraggio del rischio di due diligence dovrebbe essere una metrica primaria nei processi di gestione del rischio dei fornitori.

Migliore è l'usabilità dello strumento, maggiore è il tempo che puoi dedicare alla risoluzione dei rischi con i fornitori piuttosto che concentrarti sul nocciolo della raccolta dei dati.

Per raggiungere un livello di gestione di terze parti che consenta di ottenere nuove partnership, è necessario cercare opportunità di automazione nelle aree di un framework di gestione del rischio noto per le loro inefficienze e gli impatti potenzialmente negativi sugli accordi sul livello di servizio (SLA). Fattori dirompenti come l'utilizzo di fogli di calcolo Excel per la gestione dei questionari, i rischi operativi e la gestione generale scadente del ciclo di vita dei fornitori mettono a dura prova le relazioni con i fornitori e richiedono un'attenzione negativa da parte del senior management.

Scopri come gestire i rischi dei fornitori di servizi >

UpGuard include molte funzionalità progettate per comprimere il ciclo di vita della valutazione del rischio, tra cui AIEnhace, la tecnologia AI che aiuta i fornitori a produrre risposte chiare e complete da un input costituito da una bozza scritta in modo approssimativo o da un elenco puntato.

Guarda il video qui sotto per scoprire come UpGuard affronta le frustrazioni comuni nelle relazioni con i fornitori.

Fidati ma verifica

Solo perché hai ricevuto un questionario di sicurezza compilato non significa che il tuo lavoro sia finito. Il passo successivo consiste nel verificare i profili di rischio per verificare che ciò che dicono sia vero. Anche se non sarai in grado di farlo per i controlli di sicurezza interni, ci sono una serie di punti dati visibili esternamente che verifichi.

La scansione automatizzata e le valutazioni di sicurezza di UpGuard verificano che:

• Suscettibilità agli attacchi man-in-the-middle
• Certificati SSL/TLS non sicuri
• Impostazioni SPF, DKIM e DMARC
• Sicurezza del Trasporto Rigido HTTP (HSTS)
• Rischio di spoofing e phishing delle e-mail
• Vulnerabilità
• Suscettibilità al malware
• Sicurezza della rete
• Porte aperte non necessarie per l'amministrazione, il database, le app, la posta elettronica e la condivisione di file
• Esposizione a violazioni e fughe di dati note
• Software vulnerabile
• Accessibilità HTTP
• Configurazione sicura dei cookie

Per la valutazione dei controlli di sicurezza delle informazioni dei fornitori, UpGuard Vendor Risk può ridurre al minimo il tempo che l'organizzazione dedica alla valutazione dei controlli di sicurezza delle informazioni correlati e di terze parti, automatizzando i questionari dei fornitori e fornendo modelli di questionari dei fornitori.

Possiamo anche aiutarti a confrontare istantaneamente i tuoi fornitori attuali e potenziali con il loro settore, in modo che tu possa vedere come si posizionano.

Per l'autovalutazione, UpGuard BreachSight può monitorare la tua organizzazione per 70+ controlli di sicurezza fornendo una valutazione della sicurezza informatica semplice e di facile comprensione e rilevare automaticamente le credenziali perse e le esposizioni dei dati nei bucket S3, nei server Rsync, nei repository GitHub e altro ancora.

La nostra esperienza è stata descritta da The New York Times, The Wall Street Journal, Bloomberg, The Washington Post, Forbes, Reuters e TechCrunch.

Puoi leggere di più su ciò che dicono i nostri clienti nelle recensioni di Gartner.