Los ataques a SolarWinds llamaron la atención de prácticamente todos los miembros de la comunidad de ciberseguridad. Hay muchos directores de seguridad de la información (CISO) que, sin duda, se sienten enormemente agradecidos de que su organización no haya sufrido ningún ataque. Pero, ¿quién puede afirmar que no será víctima del próximo ataque grave a la cadena de suministro? Porque habrá una próxima vez.
Tanto si hablamos de software de terceros, de hardware o de proveedores de servicios, las organizaciones siguen dependiendo en exceso de la confianza y de métodos manuales basados en hojas de cálculo para garantizar la gestión del riesgo cibernético. Como sector, debemos desarrollar una forma más eficaz de trabajar, que combine datos cuantitativos exhaustivos con certificaciones y evaluaciones realizadas por terceros de reconocido prestigio.
Por supuesto, el reto se complica aún más cuando se trata de gestionar las cadenas de suministro de principio a fin. ¿Puede usted dar fe de las prácticas de seguridad de los proveedores de sus proveedores? Las organizaciones internacionales llevan años enfrentándose a este problema, y no hay respuestas sencillas. Lo que sí podemos afirmar es que las mejores prácticas en materia de seguridad de la cadena de suministro deben partir siempre de la visibilidad: tanto de sus activos informáticos como de los de sus socios.
Solo con este tipo de enfoque que vuelve a lo esencial podrá empezar a responder a esas preguntas fundamentales que le ayudarán a calcular la exposición al riesgo: ¿Quiénes son sus proveedores? ¿Cuál es su nivel de madurez en materia de seguridad? ¿A qué datos pueden acceder? ¿Y cómo lo utilizan?
El problema de las cadenas de suministro
La complejidad de las cadenas de suministro modernas puede hacer que, en muy poco tiempo, las iniciativas de gestión de riesgos se salgan de control. No ayuda el hecho de que, durante décadas, muchas organizaciones hayan utilizado procesos manuales y auditorías basadas en preguntas excesivamente simplistas para calcular el riesgo de los proveedores (por ejemplo: «¿Dispone de un programa de gestión de parches ?»). Este enfoque puede dar lugar a respuestas binarias o a respuestas muy subjetivas que no pueden validarse mediante ningún tipo de certificación por parte de terceros.
Tomemos como ejemplo las repercusiones del incidente de SolarWinds. Algunas organizaciones preguntaron a sus proveedores: «¿Tenían ustedes las versiones afectadas de SolarWinds Orion en su entorno?». Sin embargo, la respuesta de «sí/no» que esto ha suscitado no es suficiente para fundamentar cálculos de riesgo importantes. Si el proveedor en cuestión contara con procesos deficientes de gestión de activos y aplicaciones, es posible que ni siquiera conociera la respuesta con certeza. ¿Y de qué sirve una garantía basada en datos parciales o incompletos?
Como veremos más adelante, las organizaciones consolidadas planteaban preguntas más abiertas (por ejemplo: «¿Cómo aborda su empresa la elaboración de modelos de amenazas?») Describa su enfoque respecto a la gestión de parches.) Al responder a estas preguntas de carácter más global, podrá obtener una garantía mucho más amplia de la seguridad de los proveedores.
Además, algunas organizaciones han intentado ir más allá del enfoque manual basado en hojas de cálculo mediante soluciones técnicas que pretenden calcular la situación de seguridad de los proveedores de forma más rigurosa. Sin embargo, muchos servicios solo lograrán ofrecer una visión incompleta y «desde fuera hacia dentro» de los proveedores, basada en un conjunto limitado de criterios y en una puntuación subjetiva. No son lo suficientemente integrales como para resultar de gran ayuda.
Esto no es más que la punta del iceberg. Otros retos relacionados con la seguridad de la cadena de suministro son, entre otros:
Los equipos de seguridad y gestión de riesgos se incorporaron demasiado tarde:
La gestión de la cadena de suministro suele llevarse a cabo en una fase demasiado tardía del proceso de incorporación. Para entonces, quizá sea demasiado tarde para mitigar o eliminar el riesgo. El equipo de seguridad y gestión de riesgos puede verse sometido a una enorme presión por parte de la empresa para que dé su visto bueno al nuevo acuerdo. Dado que no desean que se les considere el «departamento del no», es posible que los CISO sientan que no tienen más remedio que hacerlo.
La recertificación no se lleva a cabo:
Por muy importante que sea llevar a cabo un riguroso proceso de diligencia debida antes de la incorporación, también resulta fundamental realizar una reevaluación periódica de la relación. Podría tratarse de un proveedor de SaaS cuyo servicio se implementó inicialmente solo para un pequeño número de desarrolladores que utilizaban únicamente datos de prueba.
Es posible que, en la actualidad, cientos de empleados utilicen esa aplicación y que en ella se procese información empresarial de carácter crítico. La recertificación periódica es fundamental para gestionar de forma dinámica el riesgo a medida que este evoluciona. Lamentablemente, para muchas organizaciones, la seguridad de la cadena de suministro es algo que «se configura una vez y ya no se vuelve a tener en cuenta».
Visibilidad y garantía de principio a fin:
La gestión de riesgos de terceros es una cosa, pero cuanto más se remonta o se avanza en la cadena de suministro, más complicado resulta. ¿Y qué hay de los proveedores de sus proveedores? ¿Y sus proveedores? El reto en este caso radica en que no existe una práctica recomendada coherente y aplicable a todo el sector para gestionar el riesgo de los proveedores de principio a fin.
Solicito a mis proveedores que me faciliten datos detallados basados en modelos de amenazas y análisis de riesgos, pero sus procesos para validar a sus propios socios podrían limitarse a inspecciones superficiales y poco exhaustivas. Cuando cada componente de la cadena de suministro es diferente, resulta sumamente complicado evaluar el riesgo global de principio a fin.
¿Qué va a pasar ahora?
Todas las organizaciones se enfrentan, en mayor o menor medida, a estos retos, incluso aquellas que cuentan con programas de ciberseguridad relativamente consolidados. Por eso resulta útil volver a lo esencial e intentar, en primer lugar, responder a esas preguntas básicas: quiénes son sus proveedores, cuál es su nivel de madurez en materia de seguridad y cómo utilizan sus datos, si es que los utilizan.
En definitiva, se trata de una cuestión de visibilidad: saber qué activos de TI posee, qué se ejecuta en ellos y qué dependencias de terceros existen. Es fácil de decir, pero no siempre de hacer.
Esta misma visibilidad debe extenderse a sus proveedores. Deben poder facilitar un inventario completo y preciso de sus activos informáticos para conocer el estado de los dispositivos finales y las versiones de software instaladas. Además, deben poder aplicar parches con rapidez para mitigar los riesgos de forma dinámica.
Esto debería formar parte de un esfuerzo integral para evaluar el nivel global de madurez de la postura de seguridad de sus proveedores, teniendo en cuenta no solo los datos de telemetría sobre parches y vulnerabilidades —que suelen ser puntuales y, a menudo, incompletos—, sino también el enfoque de cada proveedor en materia de modelización de amenazas, desarrollo seguro de software, arquitectura de seguridad y mucho más.
Centrarse en preguntas normativas como «¿Estaba ejecutando la actualización maliciosa de SolarWinds Orion?» ofrece una garantía aparente en un momento dado, pero no servirá de nada cuando se produzca el próximo ciberataque a escala mundial. Para garantizar una seguridad eficaz de la cadena de suministro es necesario adoptar un enfoque mucho más amplio.
Una vez que disponga de estos datos cuantitativos, combínelos con certificaciones y evaluaciones de terceros para obtener una visión de 360 grados del riesgo asociado a cada proveedor. Quizá le interese recurrir a normas internacionales como ayuda en este sentido, por ejemplo: ISO 27001.
Defina un conjunto mínimo de requisitos e incorpórelos a los contratos. Esto contribuirá a crear una alternativa más coherente y basada en datos frente a ese enfoque arbitrario de verificación basado en hojas de cálculo, al que todavía se adhieren demasiados de nosotros.
A continuación, se exponen algunas consideraciones adicionales:
- Involucre a los equipos de seguridad y gestión de riesgos lo antes posible en el proceso de diligencia debida de los nuevos proveedores. Los requisitos deben basarse en el carácter sensible del servicio que se presta.
- La recertificación de seguridad debe realizarse periódicamente y ajustarse al nivel de criticidad del servicio prestado.
- Lleve a cabo un análisis exhaustivo de amenazas y riesgos para comprender mejor quiénes son sus principales adversarios, dónde podrían atacar y de qué manera. Esto le servirá de base para definir su estrategia de seguridad de la cadena de suministro.
- Asegúrese de que sus proveedores cuenten con un procedimiento claro para la notificación de infracciones en caso de que se produzca el peor de los escenarios.
- Conozca los enfoques de los proveedores respecto al ciclo de vida del desarrollo de software de seguridad (SDLC): ¿cómo se forma y certifica a sus desarrolladores en materia de seguridad de las aplicaciones? ¿Cuáles son sus procesos de análisis estático y dinámico?
- Defina los manuales de respuesta ante incidentes para que sepa cómo debe actuar en caso de que ocurra lo peor.
Esta no es una lista exhaustiva, y observará que no aborda el reto que supone garantizar la calidad de la cadena de suministro de principio a fin. Este es un tema sobre el que, como sector, debemos reflexionar con mayor detenimiento.
¿Desea obtener información sobre el estado de su entorno informático? Solicite una evaluación de riesgos gratuita en para conocer el estado de sus dispositivos finales, identificar las deficiencias críticas, obtener su puntuación de riesgo cibernético y descubrir cómo mejorar su higiene informática.
