Sus agentes tienen las llaves de los sistemas de sus clientes. Usted no tiene forma de recuperarlas.

Las empresas, especialmente las de los sectores financiero, sanitario y minorista, realizan auditorías de gestión de acceso cada vez más exhaustivas a sus proveedores de externalización de procesos de negocio (BPO). Las credenciales compartidas, el acceso no revocado de antiguos agentes y la imposibilidad de generar registros de acceso individuales son los tres hallazgos más comunes. El coste de la auditoría es manejable. Sin embargo, las consecuencias de un hallazgo —la necesidad de subsanar el problema, la revisión del contrato o la activación del derecho a rescindirlo— no lo son.

Las aseguradoras cibernéticas están evaluando explícitamente la gobernanza del acceso de terceros como un factor de calificación. Aon y Marsh aconsejan a sus clientes de BPO que demostrar un control estructural de las credenciales —y no solo una política— es una herramienta para reducir las primas. El recargo actual para una empresa de BPO de cobro de pagos de tamaño mediano es de entre 200 000 y 500 000 libras esterlinas anuales, atribuible específicamente a la deficiencia en la gobernanza de las credenciales.

Según el RGPD, la empresa cliente es el responsable del tratamiento de datos y el proveedor de servicios de externalización de procesos de negocio (BPO) es el encargado del tratamiento. La obligación de notificar la violación de seguridad en un plazo de 72 horas comienza cuando el BPO la descubre, no cuando se lo comunica al cliente. Según la Ley de Reforma de la Violación de Datos (DORA), los clientes del sector de servicios financieros deben demostrar la gobernanza de los controles de acceso de sus proveedores de BPO. El BPO que no pueda proporcionar pruebas técnicas de la atribución de acceso individual y la revocación instantánea se expone a riesgos regulatorios para sus clientes del sector de servicios financieros.