La ampliación progresiva del acceso de los proveedores es la expansión gradual del acceso de un proveedor a los datos, sistemas y capacidades de la empresa más allá del alcance que evaluó y aprobó la evaluación original de TPRM. Es una de las formas más insidiosas de acumulación de riesgo de terceros, porque cada ampliación individual del acceso suele ser una incorporación pequeña y justificada a una relación existente con un proveedor que, por sí sola, no alcanza el umbral de reevaluación, mientras que el efecto acumulado con el tiempo es una relación con un proveedor cuyo perfil de riesgo ha cambiado sustancialmente desde que se realizó cualquier evaluación formal de riesgos.
El mecanismo de ampliación gradual es la dinámica central. Las ampliaciones del acceso en relaciones existentes con proveedores suelen responder a solicitudes del negocio: una nueva función requiere datos adicionales, una mejora del servicio necesita acceso de escritura donde había solo lectura, un nuevo caso de uso requiere datos a los que el proveedor no accedía antes. El equipo que solicita cada ampliación la evalúa como una decisión de negocio y normalmente no la hace pasar por TPRM, porque el proveedor ya se evaluó y aprobó. La visibilidad del equipo de TPRM sobre la ampliación del acceso depende de que el equipo solicitante encauce el cambio de forma proactiva, algo que normalmente no hace, porque el proveedor ya está aprobado y la ampliación del acceso parece gradual.
La brecha de riesgo acumulado es la falla de gobernanza. Un proveedor cuyo acceso se ha ampliado desde el acceso de solo lectura a nombres y correos electrónicos de clientes hasta el acceso de lectura y escritura a cinco categorías de datos de clientes, entre ellas el historial de compras, los tickets de soporte y los saldos de las cuentas, presenta un perfil de riesgo fundamentalmente distinto del proveedor que se evaluó originalmente. La evaluación original determinó si los controles de seguridad del proveedor eran adecuados para el acceso de solo lectura a nombres y correos electrónicos. No determinó si esos controles eran adecuados para el acceso de escritura a cinco categorías de datos, incluidos datos de cuentas financieras. La ampliación acumulada ha creado un perfil de riesgo que la última evaluación formal no describe.
Por qué es importante
La ampliación progresiva del acceso de los proveedores es importante porque crea una divergencia sistemática entre el perfil de riesgo que ha evaluado el programa de TPRM y el perfil de riesgo que presenta realmente la relación con el proveedor. El proveedor que ha experimentado una ampliación progresiva significativa de su acceso está evaluado en un nivel de riesgo sustancialmente inferior al que justifica su alcance de acceso actual, y recibe una intensidad de monitoreo y supervisión calibrada para su relación original, de menor riesgo, y no para la actual, de mayor riesgo.
- Ampliaciones del acceso que no pasan por TPRM
- Sin revisión del acceso acumulado: el alcance del acceso no se compara con la evaluación original
- Ampliaciones individuales por debajo del umbral de reevaluación: cada una lo bastante pequeña como para no desencadenar una revisión
- Evaluación original no invalidada pese a la ampliación acumulada
- Inventario del acceso no mantenido: el alcance actual no se contrasta con el alcance evaluado
Cómo se ve una buena práctica
Los programas maduros de gestión de la ampliación progresiva del acceso mantienen un inventario actualizado del acceso de los proveedores, comparan en revisiones periódicas el alcance actual del acceso con el alcance evaluado originalmente, definen umbrales de ampliación del acceso que desencadenan una reevaluación (en concreto, nuevas categorías de datos y acceso de escritura donde se evaluó solo lectura) y hacen pasar las solicitudes de ampliación del acceso por TPRM para su aprobación antes de implementarlas.
- Encauzamiento de las ampliaciones del acceso: las nuevas categorías de datos y las ampliaciones del alcance requieren la revisión de TPRM
- Inventario del acceso actual mantenido y comparado con el alcance de la evaluación original
- Umbral de ampliación del acceso definido: qué nivel de cambio desencadena una reevaluación
- Revisión anual del alcance del acceso: acceso actual comparado con el alcance de la última evaluación
- El paso a acceso de escritura siempre desencadena una reevaluación, con independencia de otros umbrales
Herramientas
Gobernanza del acceso: SailPoint, Saviynt para la certificación del acceso de los proveedores y el seguimiento del alcance
Las plataformas de gobernanza de identidades que mantienen registros de los derechos de acceso de los proveedores aportan el inventario de acceso necesario para detectar la ampliación progresiva. La certificación anual del acceso de los proveedores, que revisa el alcance actual del acceso de cada proveedor y confirma que sigue siendo adecuado y está evaluado, es el mecanismo operativo que impide que la ampliación progresiva se acumule sin ser detectada.
Desafíos de gobernanza
El desafío de gobernanza de la ampliación progresiva del acceso es el problema de la velocidad del negocio. Las solicitudes de ampliación del acceso suelen ser urgentes para el negocio: una nueva función del producto necesita datos adicionales, una mejora del servicio necesita acceso de escritura. Hacer pasar las ampliaciones del acceso por TPRM introduce una fricción que los equipos de negocio perciben como un bloqueo. La solución de gobernanza es un proceso de revisión rápida de las ampliaciones del acceso (no una evaluación completa, sino una revisión estructurada de si el alcance acumulado del acceso requiere una evaluación revisada) lo bastante ágil para no frenar la velocidad del negocio y que, al mismo tiempo, capte el riesgo que genera una ampliación del acceso sin control.
- Establezca el requisito de que las ampliaciones del acceso pasen por TPRM: las nuevas categorías requieren su revisión
- Defina un proceso de revisión rápida para las ampliaciones del acceso, lo bastante ágil para no bloquear el negocio
- Realice una revisión anual del alcance del acceso: comparación del alcance actual con el evaluado
- Desencadene una reevaluación cuando la ampliación acumulada cambie sustancialmente el perfil de riesgo del proveedor
- Informe métricas de ampliación progresiva del acceso: proveedores cuyo alcance actual supera el alcance evaluado
Si usted forma parte de un equipo pequeño
Para sus diez proveedores de mayor riesgo, obtenga el alcance actual de su acceso de los registros de aprovisionamiento de TI y compárelo con lo que evaluó la última evaluación de TPRM. Todo proveedor cuyo alcance de acceso actual incluya categorías de datos o niveles de acceso que no figuraban en la última evaluación ha experimentado una ampliación progresiva del acceso. Priorice la reevaluación de los proveedores cuya diferencia de alcance sea sustancial, en concreto los que ahora tienen acceso de escritura donde se evaluó solo lectura o los que ahora acceden a categorías de datos sensibles no cubiertas en la evaluación original. Esa comparación es el mecanismo de detección de la ampliación progresiva del acceso.
- Compare el alcance actual del acceso con el alcance de la última evaluación de sus diez principales proveedores
- Identifique a los proveedores con una diferencia sustancial en el alcance del acceso: nuevas categorías o acceso de escritura
- Priorice la reevaluación de las ampliaciones sustanciales del alcance
- Establezca de aquí en adelante el encauzamiento de las ampliaciones del acceso para las nuevas categorías de datos
Qué exigir
Pregunte directamente:
"Confirme la lista completa de categorías de datos y niveles de acceso que tiene actualmente a nuestros sistemas, e identifique cualquier acceso a datos que se haya agregado desde nuestra última evaluación formal de riesgos de nuestra relación."
Evidencia que debe esperar
- Inventario del alcance actual del acceso a datos
- Cambios en el acceso desde la última evaluación
- Confirmación de que no existe ningún acceso a datos no divulgado
- Confirmación de la minimización de datos: acceso solo a lo necesario
A un proveedor con una evaluación vigente se le debe pedir que confirme el alcance actual de su acceso e identifique los cambios desde la evaluación. La evaluación describe el alcance que evaluó. La diferencia de alcance es el riesgo no evaluado que ha generado la ampliación progresiva del acceso.
Cómo demostrarlo
- Registros de comparación del alcance del acceso: actual frente a evaluado
- Registros del encauzamiento de las ampliaciones del acceso
- Registros de la certificación anual del acceso
- Registros de reevaluación por ampliaciones sustanciales del alcance
Conclusión clave
Evaluación original: solo lectura de nombres y correos electrónicos. Tres años de ampliaciones graduales del acceso. Cinco categorías de datos. Cuatro ampliaciones por debajo de los umbrales individuales de reevaluación. Cero revisiones de TPRM para las cuatro ampliaciones. El perfil de riesgo actual del proveedor había cambiado sustancialmente. La última evaluación formal describía la relación tal como era hace tres años. La ampliación progresiva del acceso crea una divergencia sistemática entre el riesgo evaluado y el riesgo real, una ampliación gradual tras otra. El encauzamiento de las ampliaciones del acceso, la comparación anual del alcance y los desencadenantes de reevaluación por acceso de escritura impiden que la divergencia se acumule sin ser detectada.