Combate Amenazas con Seguridad y Gestión de Riesgos en la Cadena de Suministro
Las amenazas para tu negocio están en todas partes: empleados, proveedores y hackers. Aquí es donde la seguridad de la cadena de suministro se vuelve crítica para una estrategia de seguridad robusta.
¿Qué es la seguridad de la cadena de suministro? Es un término que abarca cómo la cadena de suministro de una empresa puede reducir las amenazas físicas y cibernéticas tanto internas como externas. Estas amenazas pueden incluir desde robos físicos hasta hackers que violan tu red.
¿Qué es la Seguridad de la Cadena de Suministro para Sistemas de TI y Datos?
Históricamente, el término “cadena de suministro” se ha referido a un conjunto específico de prácticas logísticas relacionadas con el movimiento de bienes y servicios de un lugar a otro, es decir, tenía un contexto físico específico. Incluso hoy en día, “cadena de suministro” a menudo se aplica al envío, logística, transporte y rutas de viaje que apoyan el movimiento de bienes de un lugar a otro.
En términos de sistemas digitales e infraestructura, la cadena de suministro también se refiere al hardware, software, plataformas en la nube y medidas de seguridad implementadas para apoyar a las empresas impulsadas por datos y organizaciones gubernamentales. Estas cadenas de suministro gestionan el movimiento de quizás el activo más crítico que cualquier organización tiene en nuestro mundo digital moderno: los datos. Las principales cadenas de suministro digitales incluyen aquellas en banca y finanzas, servicios gubernamentales y contratación de defensa.
Existen similitudes entre las cadenas de suministro tradicionales y digitales. Por ejemplo, muchos fabricantes dependen de cadenas de suministro ascendentes donde los componentes fluyen hacia una ubicación central para apoyar la creación de objetos más grandes, como automóviles y equipos industriales. De manera similar, la cadena de suministro digital depende del flujo ascendente de servicios en la nube y administrados para apoyar operaciones más grandes en las industrias discutidas anteriormente. Plataformas como Salesforce, Microsoft Azure u Office 365, y AWS Cloud Services brindan funcionalidades como almacenamiento, análisis, seguridad, soporte y análisis de redes, e incluso IA o aprendizaje automático a las empresas que las incorporan en logísticas más integrales.
Los profesionales de TI han estado muy conscientes del creciente número de ataques a la cadena de suministro digital en los últimos años. Los ataques patrocinados por estados contra cadenas de suministro digitales, particularmente a través de hacks ascendentes, se están convirtiendo en el frente principal en la guerra cibernética moderna. En respuesta, la gestión de riesgos de la cadena de suministro es ahora una tarea estratégica para muchas organizaciones.
Vemos varias formas comunes de amenazas y vulnerabilidades que impactan cada vez más en las cadenas de suministro digitales:
- Explotación de Brechas de Seguridad: Incluso a medida que la tecnología evoluciona, muchas de nuestras peores prácticas siguen vigentes. Una de las formas más comunes en que los hackers obtienen acceso a los sistemas con fines maliciosos es explotando errores, puertas traseras o vulnerabilidades bien conocidas que se ignoran por una u otra razón.
- Relaciones con Proveedores: Las consecuencias de los hacks modernos no se limitan a la empresa en sí. Muchos proveedores de la nube tienen una amplia base de clientes que incluye empresas privadas y agencias gubernamentales. Los ataques contra la infraestructura de la nube pueden causar un efecto dominó debido a las relaciones con varias empresas y organizaciones.
- Falta de Conocimiento o Capacitación: Desafortunadamente, uno de los puntos más débiles de cualquier cadena de suministro digital suele ser las personas involucradas. La falta de capacitación en la elección de contraseñas fuertes y el reconocimiento de ataques de phishing puede llevar a la completa desestabilización de un negocio y sus clientes.
- Amenazas Persistentes Avanzadas (APTs): La forma más amenazante de una violación de seguridad es una APT. Estas amenazas no simplemente infectan y desmantelan un sistema. Son programas sofisticados que se infiltran en un sistema, se mueven lateralmente a través de una organización, luego hacia arriba, todo mientras evitan la detección. Una vez dentro, pueden monitorear todos los eventos del sistema para robar datos durante semanas, meses o incluso años antes de ser identificados.
Las violaciones de datos son eventos costosos que pueden desestabilizar completamente tu negocio, así como los negocios de tus socios. Según IBM y el Instituto Ponemon, el costo promedio de una violación de datos es de $4.24M, pero ese número no aborda los costos adicionales en tiempo, esfuerzo y reputación.
¿Es Suficiente la Ciberseguridad para la Seguridad de la Cadena de Suministro?
La respuesta corta es no. Los esfuerzos simples de ciberseguridad a menudo solo rascan la superficie de las vulnerabilidades que potencialmente existen en una cadena de suministro. En su lugar, las organizaciones deben centrarse en la seguridad en múltiples frentes:
- Evaluar Proveedores Potenciales y Evaluar Relaciones con Proveedores Existentes: Tus proveedores deben, como mínimo, cumplir con tus expectativas de seguridad siempre que manejen tus datos. Además, deben estar dispuestos y ser capaces de demostrar su cumplimiento con tus requisitos a través de evaluaciones y evaluaciones regulares. Finalmente, tu liderazgo de TI debe tener evaluaciones anuales integradas en cualquier contrato de proveedor para determinar el riesgo de terceros.
- Pruebas Activas de Ciberseguridad: Debes implementar y someterte a pruebas regulares en todos los sistemas. Esto puede significar realizar pruebas de penetración regulares, ejercicios de equipo rojo, o alguna combinación de pruebas de sistema claramente planificadas para exponer vulnerabilidades a través de varias capas interconectadas de tu sistema.
- Escaneo, Monitoreo y Actualización Regular: Puedes y debes usar escaneos de vulnerabilidad regulares fuera de las pruebas regulares. Si bien los escaneos de vulnerabilidad no son tan exhaustivos como las pruebas de penetración, se pueden realizar con más frecuencia para exponer vulnerabilidades superficiales a medida que surgen.
- Comprender los Estándares de Cumplimiento: Si bien las regulaciones de cumplimiento como HIPAA y CMMC, por sí solas, no cubrirán todos tus requisitos de seguridad, proporcionan un buen marco de lo que los expertos en tu industria ven como amenazas importantes y prioridades de seguridad. Además, puedes mirar fuera de tu industria a marcos como NIST CSF e ISO 27001, entre otros, para ver cómo los profesionales utilizan evaluaciones de riesgos y prácticas de monitoreo para asegurar sus sistemas.
- Asegurar Ubicaciones Físicas: No des por sentado cuán vulnerables pueden ser tus ubicaciones físicas. Una laptop extraviada o una puerta sin asegurar pueden dar a los atacantes o insiders maliciosos una forma de robar información. Protege con contraseña todos los dispositivos, asegúrate de que estos dispositivos usen comunicaciones cifradas y conexiones seguras, y protege los centros de datos y estaciones de trabajo con cámaras y puertas cerradas.
¿Cuáles Son Algunas Mejores Prácticas para Lograr la Seguridad de la Cadena de Suministro?
Para abordar mejor la seguridad de la cadena de suministro, es importante entender el panorama general. Hay algunas mejores prácticas a considerar al asegurar tus datos a través de la cadena de suministro digital:
- Entender Tus Activos: Debes poder mapear tus activos, datos, proveedores y todas las tecnologías e infraestructuras conectadas. Nunca debería haber una razón para que tu inventario o catálogo de recursos no esté actualizado. No puedes proteger lo que no puedes ver.
- Adoptar la Gestión de Riesgos: La gestión de riesgos de la cadena de suministro (SCRM) es el arte y la ciencia de entender y equilibrar las diferencias entre tus controles de seguridad existentes, tus posibles vulnerabilidades, tus requisitos de regulación y tus objetivos comerciales. Un enfoque basado en riesgos puede ayudarte a comprender mejor tu panorama de seguridad y dónde necesitas abordar problemas.
- Adoptar un Enfoque Práctico en las Relaciones con Proveedores: Como se mencionó anteriormente, debes tener un mapa claro de todos los acuerdos y relaciones con proveedores, incluidas auditorías regulares, revisiones y evaluaciones debido a actualizaciones o cambios tecnológicos. Este enfoque puede ayudarte a minimizar desafíos debido a vulnerabilidades de socios y servicios en la nube o administrados ascendentes.
- Entender el Cumplimiento: Conoce qué estándares de cumplimiento debes cumplir, y si es posible, superarlos para reforzar la seguridad.
- Buscar Visibilidad Completa: Monitorea sistemas, eventos del sistema, tecnologías, actualizaciones y cualquier cosa necesaria para comprender mejor quién tiene acceso a tus datos, qué hacen con ellos y cómo los protegen. Incluye contratistas, proveedores, vendedores e incluso reguladores y clientes en tus planes de monitoreo y mejora.
La Seguridad de la Cadena de Suministro es un Bien Común y una Responsabilidad
La seguridad de la cadena de suministro es una práctica necesaria para cualquier negocio, no solo para grandes empresas. Como dijo mi Director de Producto, “Eres tan interesante como tu cliente más interesante”. Los atacantes sofisticados, ya sean sindicatos del crimen organizado o estados-nación, aprendieron hace mucho tiempo que tienen una mejor oportunidad de llegar a tus datos indirectamente, a través de tus socios de la cadena de suministro.
Puedes minimizar significativamente el riesgo de la cadena de suministro si entiendes tus regulaciones, tu infraestructura y tus relaciones con proveedores. Usa las mejores prácticas de gestión de riesgos de la cadena de suministro para construir o reforzar tu programa de seguridad más amplio. Monitorea continuamente los sistemas, comprende las actualizaciones y parches, evalúa y evalúa a tus proveedores, y capacita constantemente a tus empleados para adelantarte a las vulnerabilidades tanto como sea posible.