SecurityScorecard, Inc. es una empresa estadounidense de ciberseguridad especializada en la calificación de la postura de seguridad y la gestión del riesgo de terceros. Con sede en Nueva York, transforma observaciones técnicas externas en indicadores destinados a los equipos de seguridad, los responsables de riesgos y los profesionales de compras. Su sitio web, securityscorecard.com, presenta una plataforma diseñada para supervisar la exposición digital de una organización y de su ecosistema.
Una empresa nacida de la necesidad de medir el riesgo
SecurityScorecard fue fundada en 2013 por Aleksandr Yampolskiy y Sam Kassoumeh, dos profesionales de la seguridad informática. Su punto de partida: las empresas dependen de numerosos proveedores de servicios, pero rara vez cuentan con una visión homogénea y actualizada de su nivel de protección. Los cuestionarios y las auditorías periódicas siguen siendo útiles, aunque no siempre reflejan los cambios que se producen entre dos evaluaciones.
La empresa se desarrolló en torno a un enfoque complementario: observar los rastros técnicos accesibles desde Internet para elaborar una evaluación que se actualiza con el tiempo. Este posicionamiento sitúa a SecurityScorecard en el mercado de las calificaciones de ciberseguridad, en la intersección entre la inteligencia de amenazas, la gestión de proveedores y la gestión de riesgos.
De las señales técnicas a las decisiones operativas
La plataforma analiza, entre otros aspectos, elementos relativos a la seguridad de la red, la configuración de servicios expuestos y la presencia de señales asociadas a actividades maliciosas. Busca vincular estas observaciones con los activos digitales de las organizaciones evaluadas y después las sintetiza en forma de puntuaciones y calificaciones de la A a la F. El objetivo es hacer comparables situaciones técnicas complejas y orientar las investigaciones.
Para un cliente, los usos incluyen la evaluación de un proveedor antes de seleccionarlo, la supervisión de una cartera de socios y el seguimiento de su propia superficie de ataque externa. Los paneles de control, las alertas y las interfaces de integración permiten incorporar esta información a los procesos de gestión del riesgo. La plataforma también facilita el diálogo con una organización evaluada para examinar los hallazgos y hacer un seguimiento de las correcciones.
Esta visión externa tiene, sin embargo, sus limitaciones. Una calificación no constituye una auditoría exhaustiva de los sistemas internos ni una garantía frente a una intrusión. La pertinencia de los resultados depende, en particular, de la atribución de los activos y de la contextualización de las observaciones. Por tanto, conviene contrastar estos indicadores con los controles internos, las auditorías y los intercambios con los proveedores.
¿Y ahora qué?
La dependencia de los servicios digitales y la atención regulatoria a las cadenas de subcontratación crean un contexto favorable para la monitorización continua de terceros. Para SecurityScorecard, el reto es vincular más estrechamente la medición con la acción: ayudar a priorizar los riesgos, documentar las medidas correctivas y verificar su efecto. La confianza en las calificaciones también seguirá siendo determinante, con grandes expectativas en cuanto a la explicabilidad de las puntuaciones, la calidad de los datos y la posibilidad de corregir una atribución errónea.