Vivimos en un mundo hiperconectado, íntimamente interconectado. Desde facturaciones cruzadas entre empresas —que generan interacción tecnológica a través de plataformas, sistemas, redes y nubes— hasta microservicios o componentes de aplicaciones que, a través de funcionalidades push/pull, reciben, recogen o solicitan datos a diferentes entidades. Vivimos en un mundo donde nada es monolítico (y menos aún en el plano digital) y todo tiene ramificaciones e implicaciones en el ecosistema digital.
Por supuesto, todo ello requiere de una aproximación al riesgo que incluya, NECESARIAMENTE (permítanseme las mayúsculas), el riesgo de nuestro proveedor: conocer cuán robustas y sólidas son las infraestructuras de aquel que tiene relación tecnológica con datos de clientes, información de consumidores, datos de propiedad intelectual, etc.
La ecuación de riesgo de una entidad está relacionada, en mayor o menor medida, con el riesgo que corre su ecosistema de proveedores
Por ello, quien escribe estas líneas afirma lo siguiente: “La ecuación de riesgo de una entidad está relacionada, en mayor o menor medida, con el riesgo que corre su ecosistema de proveedores”. El problema queda así enunciado. Falta resolverlo, pero no es sencillo.
La dependencia tecnológica (también se le denomina como vendor lock-in) de un proveedor (del tamaño que sea) supone, por un lado, carecer de alternativas viables para esa misma función; por otro, y sobre todo, estar sujetos a los problemas que ese proveedor pueda tener en la interacción con nuestros sistemas.
La profundidad de esa relación también debe estar sujeta a planes de contingencia que nos permitan, si se diera el caso, recuperar activos, plataformas y el estado natural del negocio en el menor tiempo posible.
El nivel de profundidad del vendor lock-in
Imaginemos por un momento que ese proveedor de servicios en nube, o ese fabricante cuya aplicación tiene una íntima relación con el kernel del sistema operativo; o ese otro que utiliza —lamentablemente— credenciales de superusuario para resolver tareas de administración cuando hay opciones más seguras, tuviera un problema. Es evidente: la víctima inequívoca de todo ello es nuestra organización… y lo que es peor, nuestros empleados, clientes, consumidores, ciudadanos…
Ante este panorama los cibercriminales intentarán, como no puede ser de otra manera, explotar las carencias de supervisión de este entorno, así como utilizar tácticas, técnicas y procedimientos (TTP, por sus siglas en inglés: tactics, techniques and procedures) para poner en jaque nuestras organizaciones o incluso nuestra sociedad.
Saben que pueden personarse como un profesional de ese proveedor…, o suplantar su identidad con credenciales robadas…, o desplegar una bomba de tiempo en la nube para que, cuando uno de nuestros empleados descargue algo de ese repositorio, pueda tomar control de su dispositivo. Todas son maneras de llegar al corazón de lo somos; y no dudarán en ponerlas en práctica.
Pero hay otros escenarios… Si, por desgracia, un error de nuestro proveedor impacta en nuestros sistemas y termina bloqueando nuestro entorno digital, la productividad, pérdida de imagen, reputación y facturación que sufren también son las nuestras.
Gobierno del riesgo de la cadena de suministro
En los tiempos que corren no hay excusa para no abrazar con fuerza el gobierno del riesgo de la cadena de suministro. Gobierno que contiene, en su definición, la detección temprana y la gestión de los diferentes ángulos del riesgo, así como, por supuesto, la respuesta frente él.
Y ello no solo porque se trate de una cuestión de sentido común y de cumplir la propuesta —y promesa— de los profesionales de la ciberseguridad de proteger y defender, sino porque, además, pesan sobre nosotros exigentes regulaciones que hablan de ello de manera inequívoca.
En los tiempos que corren no hay excusa para no abrazar con fuerza el gobierno del riesgo de la cadena de suministro
Sin ir más lejos, la Directiva europea NIS2, en vigor desde el 16 de enero de 2023. Es importante remarcar esa fecha porque lo que ocurre este mes de octubre —el 17, más concretamente— es que se cumple el plazo máximo que la norma daba a los Estados miembros de la Unión Europea para que traspongan la Directiva a su legislación nacional.
La NIS2 articula una serie de puntos que son de la máxima relevancia, como:
- Gestión de riesgos de terceros. Las organizaciones cubiertas por la Directiva NIS2 deben identificar y gestionar los riesgos de seguridad asociados con los proveedores y socios de su cadena de suministro. Esto incluye también asegurarse de que estos terceros apliquen medidas de seguridad adecuadas.
- Responsabilidad compartida. La NIS2 refuerza el principio de que la seguridad no es solo responsabilidad de la organización, sino también de los proveedores y socios de la cadena de suministro. Las entidades deben exigirles a sus proveedores que cumplan con estándares de ciberseguridad equivalentes a los suyos.
- Evaluación continua. Las empresas deben realizar evaluaciones continuas de la seguridad de su cadena de suministro para poder detectar y mitigar posibles vulnerabilidades. Estas evaluaciones incluyen no solo los riesgos tecnológicos, sino también los organizativos y los relacionados con los procesos.
- Contratación segura. Se recomienda que las organizaciones incluyan cláusulas contractuales que especifiquen los requisitos de ciberseguridad en sus acuerdos con proveedores, de modo que haya una responsabilidad contractual clara sobre el manejo de los riesgos.
- Notificación de incidentes. Si un proveedor en la cadena de suministro experimenta un incidente de ciberseguridad, la organización afectada puede estar obligada a informar a las autoridades competentes. Esto implica una mayor colaboración y comunicación entre entidades en la cadena de suministro para una respuesta rápida y coordinada.
Riesgos del ecosistema
Nuestro ecosistema digital requiere, en definitiva, una aproximación holística a la gestión del riesgo, que comprenda todas las dimensiones y ángulos del entorno. Sin ir más lejos, un ecosistema nos permite ser sistemáticos (procesos, procedimientos, buenas prácticas, métricas, indicadores…) y sistémicos (entendido que todo pertenece a una esfera mayor, más global, más grande y nunca vertical o monolítica).
Nuestro ecosistema digital pide a gritos coherencia tecnológica y estética para identificar y mitigar las amenazas hasta llegar a un riesgo asumible por la entidad. Lo inaceptable es la negligencia —perdón—.
Para finalizar, la convergencia de lo físico y lo digital es una realidad. Hemos sido testigos (a distancia, afortunadamente) de un plan bélico sin fisuras que utilizó la cadena de suministro con el objetivo de aniquilar al contrario.
No es tan diferente de lo que puede pasar con cualquier central de energía eólica, una estación de metro o un centro de datos. Vivimos tiempos difíciles en lo relacionado con la cadena de suministro…, donde (casi) todo es posible. Merece nuestra atención.
