Un ataque a la cadena de suministro, también conocido como ‘ataque a terceros‘, se produce cuando un ciberdelincuente accede a los sistemas informáticos de una compañía a través de una brecha de seguridad hallada en algún punto de sus procesos externos. Por esta cadena entendemos a todas las empresas que hay detrás de la organización objeto del ataque; por ejemplo, desarrolladores, integradores, proveedores o vendedores.
En un informe publicado por Enisa (Agencia de la Unión Europea para la Ciberseguridad) citando al World Economic Forum, se destaca que entre el 39 y el 62 por ciento de las organizaciones sufrieron un ataque a la cadena de suministro durante 2022. Además, señala los ataques a terceros como el segundo vector inicial de ataque más recurrente identificado en 2021, con una cuota del 17 por ciento; muy por encima del uno por ciento registrado en 2020.
Buenas prácticas de ciberseguridad en la cadena de suministro
Enisa ha compartido una lista de recomendaciones para proteger la ciberseguridad de la cadena de suministro a través del mencionado documento. Eso sí, cabe destacar que la agencia señala como factor diferencial la falta de gobernanza y políticas de seguridad rígidas que incidan en la relación entre compañía y terceras organizaciones (integradores, proveedores, vendedores…). Estas recomendaciones son:
- Enfoque corporativo y formación. Es importante adoptar un enfoque estratégico corporativo que sitúe encima de la mesa el problema de los ataques a terceros. Una vez ubicado, la mejor solución pasa por formar y concienciar a la plantilla sobre los riesgos que acarrea un ciberataque de estas características.
- Gestión de vulnerabilidades. Cualquier producto utilizado en redes e infraestructuras críticas es susceptible de contener una brecha de seguridad. Estas fallas deben ser gestionadas por terceros especializados en gestión de vulnerabilidades. El objetivo final es aumentar la velocidad de detección y respuesta de ciberincidentes para disminuir los potenciales riesgos del ataque.
- Auditorías. Se espera de una auditoría que realice las labores de seguimiento del desempeño de los proveedores y que integre los riesgos de ciberseguridad, así como una reevaluación de las condiciones contratadas con los proveedores a fin de establecer una respuesta que mitigue el daño en caso de detectar una infracción.
La ciberseguridad de las organizaciones es un aspecto a mejorar. Y para ello debe desplegarse por toda la cadena de suministro, desde el principio hasta el final. Como indica el mencionado informe, una entidad por sí sola no puede, ni debe, proteger sus operaciones y equipos sin implicar a todos sus proveedores y profesionales.
Descarga el informe de Enisa.
Archivado en:
