Cadena de suministro: por qué la seguridad de tus proveedores es tu problema

Puedes tener tu empresa perfectamente protegida y aun así sufrir un incidente grave por culpa de otro. Los ataques a la cadena de suministro consisten precisamente en eso: en lugar de asaltar a la empresa objetivo —bien defendida—, el atacante compromete a un proveedor de confianza y entra a través de él. Tú confías en tu proveedor, tu proveedor tiene acceso a tus sistemas o a tus datos, y esa confianza se convierte en el camino de entrada.

Qué significa "cadena de suministro" en la práctica

No hablamos solo de proveedores de materiales. Es tu gestoría con acceso a tu contabilidad, la empresa que mantiene tu software, el servicio en la nube donde guardas datos, la aplicación que conectaste a tu correo. Cada tercero con acceso a tus sistemas o tu información es una extensión de tu superficie de ataque, la controles o no.

Por qué es tan difícil

El problema es que no controlas la seguridad de otros. No puedes obligar a tu proveedor a parchear sus sistemas ni auditar a cada empresa con la que trabajas. La seguridad de terceros no se elimina, se gestiona: se trata de reducir la exposición y de saber a quién le has dado las llaves.

Cómo gestionar el riesgo de terceros

Inventaria a quién das acceso. Sorprende la cantidad de proveedores y aplicaciones con acceso que se acumulan con el tiempo. Da el mínimo acceso necesario, no acceso total por comodidad. Retira los accesos de proveedores con los que ya no trabajas. Y en los contratos importantes, pregunta por sus medidas de seguridad: quien lo hace bien, lo cuenta sin problema.

El eslabón que no ves

Un proveedor comprometido puede darte acceso a un atacante durante semanas sin que nada parezca fuera de lo normal, porque la actividad viene de una conexión legítima. Por eso vigilar lo que ocurre en tus propios sistemas —incluidas las conexiones de terceros— es clave para detectar cuándo esa confianza se ha vuelto en tu contra.

Empezar por lo tuyo

No puedes arreglar la seguridad de tus proveedores, pero sí conocer tu propia exposición y qué accesos has repartido. Un diagnóstico de tu seguridad es el primer paso para gestionar con criterio el riesgo que entra por terceros.