Quase metade das organizações sofreram interrupções de negócios por causa de terceiros nos últimos dois anos

De acordo com a Gartner, 45% das organizações sofreram interrupções de negócios relacionadas com terceiros nos últimos dois anos, apesar do aumento dos investimentos na gestão de riscos de cibersegurança de terceiros.

“A gestão de riscos de cibersegurança de terceiros geralmente exige muitos recursos, é excessivamente orientada a processos e tem pouco a mostrar em termos de resultados”, refere Zachary Smith, Sr Principal Research do Gartner. “As equipas de cibersegurança lutam para construir resiliência contra interrupções relacionadas com terceiros e para influenciar decisões de negócios relacionadas com terceiros”.

Realizado entre julho e agosto, o estudo recente da Gartner contou com o testemunho de 376 executivos seniores envolvidos na gestão de riscos de cibersegurança de terceiros em organizações de diferentes setores, regiões geográficas e tamanhos.

Para a Gartner, existem três resultados que as organizações de segurança precisam de conseguir produzir para garantir a gestão bem-sucedida do risco de cibersegurança de terceiros: eficiência de recursos, gestão de riscos e resiliência e influência na tomada de decisões empresariais. No entanto, o inquérito revela que as empresas têm dificuldades em ser eficazes em dois destes três resultados e apenas 6% das organizações acreditam ser eficazes em todos três.

Neste contexto, e com base nos resultados da investigação, os especialistas da Gartner indicam quatro ações que os líderes de segurança e gestão de riscos devem tomar para aumentar a eficácia da gestão de riscos de cibersegurança de terceiros. As organizações que procederam à implementação de qualquer uma dessas ações registaram um aumento de 40-50% na eficácia dessa gestão.

• Realizar uma revisão regular da eficácia com que os riscos de terceiros são comunicados ao proprietário da empresa da relação com terceiros: para a Gartner, os CISO devem rever com frequência até que ponto é que a sua empresa é capaz de compreender a sua comunicação sobre os riscos de terceiros.
• Acompanhar as decisões contratuais de terceiros para ajudar a gerir a aceitação de riscos pelos proprietários de empresas: muitas vezes, os proprietários de empresas optam por se envolver com terceiros, ainda que estejam informados sobre os riscos de cibersegurança associados. Neste sentido, a Gartner destaca que o rastreio destas decisões pode ajudar as equipas de cibersegurança a alinhar controlos de compensação para aceitação de riscos, alertando-as sobre os proprietários de negócios mais arriscados que podem exigir uma maior supervisão a nível de cibersegurança.
• Conduzir o planeamento de resposta a incidentes de terceiros: segundo a Gartner, os CISO devem estar incumbidos de garantir que a sua organização tem planos de contingência sólidos, assegurando que esta está preparada para cenários inesperados e que é capaz de se recuperar após um incidente.
• Trabalhar com terceiros críticos para amadurecer as suas práticas de gestão de riscos de segurança: num ambiente hiperconectado, o risco de um terceiro é um risco para a organização, sublinha a Gartner. Desta forma, é importante estabelecer entidades terceiras críticas com vista a melhoria das práticas de gestão de riscos de segurança, promovendo transparência e colaboração.