La gestión de riesgos de terceras partes o TPRM (third party risk management) es ya una prioridad estratégica para todo tipo de organizaciones como respuesta a un entorno en el que aumentan las amenazas, las exigencias regulatorias y también la dependencia de los proveedores en entornos digitales.
De hecho, las previsiones de algunos analistas advierten que el mercado global de seguridad en la cadena de suministro crecerá desde 2520 millones de dólares en 2024 hasta 5140 millones de dólares en 2030.
Esto es debido fundamentalmente a que las empresas enfrentan un entorno cada vez más complejo, en el que aparecen constantemente nuevas amenazas que cada vez son más costosas. En este escenario, la gestión de riesgos de terceras partes lleva tiempo ganando relevancia en las agendas de seguridad y cumplimiento de todo tipo de organizaciones debido a tres motivos fundamentales.
- La creciente concienciación por parte de las empresas, que ya han comenzado a implementar controles de riesgo tecnológico más estrictos conscientes de las pérdidas que puede acarrear un incidente grave.
- Se percibe un panorama de amenazas en constante evolución, en el que se emplean técnicas, tácticas y procedimientos (TTP) cada vez más sofisticados.
- Además, es evidente el aumento de la presión regulatoria, que establece marcos normativos más amplios y exigentes —como DORA o NIS2— que están obligando a las empresas a gestionar el riesgo de toda la cadena de valor.
El eslabón más débil
Es más, tras décadas evaluando el riesgo tecnológico de las empresas, nunca se había enfrentado el sector a un escenario tan agresivo. El volumen de amenazas crece entre un 25% y un 50% anual, dependiendo del estudio, y los ataques son cada vez más graves.
El volumen de amenazas crece entre un 25% y un 50% anual, dependiendo del estudio, y los ataques son cada vez más graves
Algunos ejemplos recientes son el incidente sufrido por Jaguar Land Rover, con pérdidas millonarias; los ciberataques que afectaron a los aeropuertos den Bruselas, Berlín y Londres, que causaron días de cancelaciones; los ataque a la cadena de suministro de empresas como United Natural Foods (EE.UU.) y Manufacturas y Tecnologías Avanzadas de Acero, MyTAAC (México), con impacto directo en los supermercados; o el sufrido por El Corte Inglés, que terminó con datos de clientes comprometidos.
Lo que es evidente es que, en todos estos casos, el vector de entrada para estos incidentes fue precisamente la cadena de suministro y, tal y como ocurre en cualquier cadena, el eslabón más débil suele ser el que compromete al sistema entero.
Afortunadamente, los marcos regulatorios están ayudando a elevar el estándar. Por un lado DORA, que exige a las entidades financieras y aseguradoras un control operativo y técnico sobre los proveedores; además, NIS2 amplía el alcance a sectores críticos, obligando a implementar medidas de seguridad y vigilancia de riesgos en toda la cadena de valor, como es el caso de registro obligatorio de proveedores, la notificación de incidentes y estrategias de supervisión continua del riesgo.
Un programa de TPRM eficaz
En algunas empresas, el enfoque de TPRM se limita a cumplir con lo justo para “tener algo firmado”, lo que se traduce en cumplimentar formularios sin revisar, cláusulas genéricas en contratos que nadie audita y documentos de políticas de seguridad que nunca se aplican. Este enfoque de compliance de escaparate se desmorona ante incidentes reales como ataques de ransomware, filtraciones de datos o incidentes dirigidos a proveedores. En una crisis, los papeles en un cajón no salvan a nadie.
Un programa de TPRM no debe ser ni cosmético ni excesivamente complejo. El enfoque debe ser pragmático, adaptado al riesgo real y a los recursos disponibles. Los componentes clave de un programa TPRM debería comenzar con un análisis de riesgos, evaluando los activos y servicios críticos, tanto propios como los soportados por terceros, incluyendo también a los proveedores.
También debería incorporar un modelo de cualificación y clasificación de proveedores lo que permitirá adaptar las medidas de control en función de su grado de criticidad. Estas medidas, que deberían ser proporcionales, deberían incluir desde cláusulas contractuales, hasta certificaciones, políticas técnicas o incluso seguros. Todo adaptado al nivel de riesgo.
El enfoque de un programa de TPRM debe ser pragmático, adaptado al riesgo real y a los recursos disponibles
En cuanto a la implementación del programa, debería incluir aspectos como la comunicación con proveedores, la coordinación ante incidentes y las necesarias medidas de formación y concienciación. Otro aspecto calve es la vigilancia continua donde, según el grado de criticidad, debería aplicar mecanismos tales como autoevaluaciones en Excel, portales de evaluación, herramientas GRC con módulo TPRM, auditorías (internas, externas, remotas o presenciales) o pruebas avanzadas: red team, pentesting, phishing dirigido…
Por último, es importante contar con planes y herramientas de contención y remediación; y también establecer un modelo de pruebas periódicas con la cadena de suministro, ensayando escenarios reales con los proveedores, simulando incidentes y validando respuestas. El objetivo es pasar del checklist a la resiliencia real.
Conclusión
Todavía hay muchas empresas que carecen de un programa de TPRM sólido. Con la entrada en vigor de DORA y NIS2, esto es algo que debe cambiar, ya que estas nomas no solo buscan prevenir incidentes, sino que también penalizan duramente su incumplimiento con multas de hasta el 2% de la facturación global.
Si se forma parte de la cadena de suministro crítica, se comparten las responsabilidades y también las sanciones
Además, aquellas organizaciones pequeñas o medianas que deseen trabajar con grandes empresas o administraciones públicas también deben prestar atención a estas normas: si forman parte de la cadena de suministro crítica, comparten las responsabilidades y también las sanciones.
Para avanzar en este camino es importante contar con asesoramiento especializado: un consultor GRC con experiencia puede diseñar e implementar un programa adaptado a la realidad de cada empresa.
