La seguridad de la cadena de suministro de software consiste en la protección de los activos digitales de una organización frente a las amenazas cibernéticas procedentes de fuentes externas. El objetivo principal es reducir las vulnerabilidades derivadas de terceros, del software de código abierto y de los servicios en la nube. Garantizar la seguridad de la cadena de suministro de software es una práctica esencial para proteger a una organización frente a los ciberataques.
El término más amplio «cadena de suministro» hace referencia al amplio abanico de organizaciones necesarias para producir y entregar un producto o servicio al cliente. En el mundo actual, el término «cadena de suministro» suele referirse a la fabricación y el transporte de bienes físicos, actividades que se han visto en gran medida afectadas por la pandemia de la COVID-19, la guerra en Ucrania y otras crisis mundiales.
La «cadena de suministro de software» es una parte más específica de esta cadena de suministro más amplia, relacionada con el desarrollo y la implementación de aplicaciones o servicios digitales. En este artículo explicativo analizaremos en detalle la cadena de suministro de software —y los riesgos a los que se enfrentan las empresas a lo largo de dicha cadena—.
La cadena de suministro de software está compuesta por numerosos componentes, entre los que se incluyen:
- Software empresarial comercial y de código abierto
- Proveedores de servicios en la nube, , entre los que se incluyen el software como servicio (SaaS),
la plataforma como servicio (PaaS) y la infraestructura como servicio (IaaS) - Proveedores, distribuidores y contratistas que prestan servicios
tales como gestión de TI y de datos, desarrollo de software,
y ciberseguridad - Cualquier parte que mantenga una relación de colaboración con las entidades mencionadas anteriormente
Cada uno de los eslabones de la cadena de suministro de software representa un riesgo potencial para la seguridad y, en conjunto, estos eslabones conforman un panorama complejo de amenazas. La falta de visibilidad resultante a lo largo de toda la cadena de suministro deja a las organizaciones expuestas a vulnerabilidades de seguridad que pueden acechar en cualquier lugar en el que desarrollen su actividad.
Los ataques a la cadena de suministro de software consisten en aprovechar una vulnerabilidad de seguridad en uno o varios de los socios y proveedores de software externos de confianza de una organización. Los atacantes utilizan esas soluciones pirateadas para infiltrarse en la infraestructura informática de una empresa. Dado que a estas entidades externas se les ha concedido acceso a la red, las aplicaciones y los datos de una organización, los piratas informáticos pueden utilizarlas para acceder a las áreas más sensibles de una red corporativa y sustraer activos de gran valor o tomar el control de sistemas críticos.
Algunas de las filtraciones de datos empresariales más graves y costosas de la última década han estado relacionadas con ataques a la cadena de suministro de software. During the 2013 Target credit card breach, attackers stole a refrigeration contractor’s login credentials to gain access to Target’s vendor portal and ultimately install malware in its point-of-sale system. Los ladrones sustrajeron 40 millones de números de tarjetas de crédito y pusieron en peligro los datos personales de 70 millones de clientes. Target tuvo que pagar una indemnización de 18.5 millones de dólares como consecuencia de la filtración.
Durante el ataque a SolarWinds, del que se puede consultar más información en 2020 y, los piratas informáticos inyectaron código malicioso
en la solución de supervisión y gestión de infraestructuras Orion del proveedor, lo que permitió a los atacantes espiar a más de 100 empresas y organismos gubernamentales, entre los que se incluyen Microsoft,
Intel, Nvidia, el Departamento de Seguridad Nacional y el
Departamento del Tesoro.
Los ataques a la cadena de suministro están aumentando de forma exponencial a medida que el entorno informático se amplía para dar cabida a trabajadores remotos a raíz de la pandemia —con un incremento de al menos el 300 %, pasando de 2020 a 2021
— y que, según dos estimaciones, afectan a aproximadamente tres de cada cinco empresas en 2021. Verizon informa en de que más del 60 % de los incidentes de intrusión en el sistema en 2021 se produjeron a través de un socio o de una actualización de software.
¿Por qué son vulnerables las cadenas de suministro de software?
Las grandes organizaciones pueden utilizar cientos o incluso miles de aplicaciones en el desarrollo diario de su actividad empresarial para fines tales como la planificación de recursos empresariales, la inteligencia empresarial y la gestión de las relaciones con los clientes. Las vulnerabilidades en estas aplicaciones empresariales se han vuelto más habituales debido al uso cada vez mayor de marcos de código abierto , como Struts y Spring, que son de acceso público, como componentes básicos para el desarrollo de software.
Dado que las organizaciones tienen poca visibilidad y control sobre estos componentes de software, los piratas informáticos han descubierto que pueden aprovechar una serie de vulnerabilidades que podrían estar presentes en el código de código abierto.
Y hay muchos. Según el informe « 2021 : State of Open-Source Security» de Contrast Security, , una aplicación contiene de media 118 «bibliotecas» de programación, es decir, conjuntos de código ya escrito que los desarrolladores pueden utilizar para automatizar tareas. Las aplicaciones solo utilizan de forma activa, de media, el 38 % de estas bibliotecas. Las bibliotecas inactivas suponen un grave riesgo para la seguridad, ya que los piratas informáticos podrían introducir código malicioso o malware en una biblioteca sin ser detectados. El informe también reveló que una aplicación Java media presenta 50 vulnerabilidades en bibliotecas de código abierto, lo que supone una probabilidad de una entre seis de que exista una vulnerabilidad que los atacantes puedan aprovechar.
Detectar estas vulnerabilidades supone un gran obstáculo para las organizaciones. Un solo error de programación en Java que pueda ser objeto de explotación, por ejemplo, puede estar presente en cientos de aplicaciones, debido a la popularidad de Java como plataforma de desarrollo de software. Si bien la mayoría de los sistemas de evaluación de vulnerabilidades pueden indicar que un programa de software concreto está desactualizado, por lo general no ofrecen el nivel de detalle necesario para localizar el archivo o componente específico que contiene la vulnerabilidad; aunque esto podría cambiar con la Orden Ejecutiva n.º 2021 del presidente Biden sobre la mejora de la ciberseguridad nacional, que exige a los proveedores que suministran software al Gobierno federal que incluyan una lista de materiales de software (SBOM) para todos los componentes de sus productos.
Para comprender la magnitud del reto, considere la analogía de una retirada del mercado de un producto alimenticio por parte del Gobierno. Una tienda de alimentación puede facilitar información detallada sobre todo su stock de macarrones con queso. La tienda puede incluso analizar en detalle números de lote concretos dentro de ese inventario. Sin embargo, si un organismo gubernamental quisiera retirar del mercado todos los productos de la tienda que contuvieran el colorante alimentario artificial FD&C Amarillo n.º 5, es probable que la tienda no dispusiera de ningún método eficaz para identificar todos esos productos.
Este es, en esencia, el problema al que se enfrentan las organizaciones a la hora de garantizar la seguridad de sus cadenas de suministro de software. Son pocos los que disponen de herramientas o métodos eficaces para obtener la visión microscópica necesaria de cada componente de cada programa informático en cada dispositivo, algo imprescindible para comprender su nivel de riesgo.
¿Cuál sería un ejemplo de una brecha de seguridad en la cadena de suministro de software?
En un hipotético ataque a la cadena de suministro de software, un pirata informático ataca un componente de código abierto utilizado en un proyecto concreto de desarrollo de aplicaciones empresariales. El pirata informático identifica a los desarrolladores de la organización que no están trabajando en ese proyecto y compromete las cuentas de GitHub y de utilizadas para colaborar en el desarrollo de software; a continuación, inserta en el proyecto un código de apariencia inofensiva que contiene una puerta trasera.
«Un único error de programación explotable en Java, por ejemplo, puede estar presente en cientos de aplicaciones, debido a la popularidad de Java como plataforma de desarrollo de software.»
Sin saberlo, la puerta trasera se incluye en la siguiente versión del software. Cuando se actualiza la aplicación, esta incluye el componente de código abierto vulnerable, lo que proporciona al pirata informático un punto de acceso a la red de la organización.
No obstante, unos controles de seguridad adecuados podrían mitigar un ataque de este tipo mediante la identificación de comportamientos anómalos —como que un desarrollador acceda a un proyecto en el que no estaba trabajando— o incluso mediante el uso de una autenticación multifactor para frustrar, desde el principio, el intento de un pirata informático de iniciar sesión en la cuenta del desarrollador.
¿Por qué es importante la seguridad de la cadena de suministro de software?
En las cadenas de suministro modernas, los proveedores suelen tener acceso a los sistemas de información y a los datos de las organizaciones de sus clientes. Esto hace que la organización sea vulnerable a los riesgos de seguridad que existan en cualquier otro punto de la cadena de suministro. Un incidente de seguridad en cualquier eslabón de la cadena puede tener consecuencias catastróficas en toda una red de organizaciones.
Los ataques a la cadena de suministro de software son cada vez más habituales. En los últimos seis meses de 2021, los ataques a la cadena de suministro se dispararon un 51 %. A medida que el riesgo asociado a los proveedores se convierte en un problema cada vez más importante, las organizaciones deben dar mayor prioridad a la gestión del riesgo de los proveedores, a las evaluaciones exhaustivas de riesgos, a la detección y respuesta ante amenazas, y a medidas similares.
¿Cuáles son los principales riesgos para la cadena de suministro de software?
Entre los principales riesgos para la cadena de suministro se incluyen los siguientes:
- Mala visibilidad. La complejidad de las cadenas de suministro de software actuales hace que resulte extremadamente difícil obtener una visión clara y precisa de qué proveedores disponen de privilegios de acceso a sistemas y activos específicos, así como de todos los dispositivos y servicios que acceden a una red. Sin una visibilidad completa de , resulta imposible saber si un proveedor supone un riesgo para la seguridad.
- Debilidades de los proveedores de software. Dado que miles de organizaciones utilizan las mismas soluciones de software, los atacantes de la cadena de suministro suelen centrar sus ataques en los desarrolladores y proveedores de software. Cuando los piratas informáticos logran acceder a herramientas y soluciones concretas, obtienen acceso a un mayor número de objetivos. Los piratas informáticos pueden introducir una vulnerabilidad o inyectar malware en el software para facilitar el acceso a datos confidenciales una vez que este se haya instalado en el sistema de una organización. Los sistemas de terceros sin parches han supuesto desde hace tiempo un riesgo importante para las cadenas de suministro. La reciente vulnerabilidad Log4j puso de manifiesto, por consiguiente, la importancia de contar con procesos sólidos de gestión de parches y de gestión de actualizaciones .
- Datos comprometidos. Los datos sensibles que conserva un proveedor pueden ser objeto de robo, ser eliminados o verse comprometidos de cualquier otra forma durante un ataque. Las consecuencias son las mismas que si su organización hubiera sufrido una violación de seguridad directa: interrupción de las operaciones, pérdidas económicas, daño a la reputación, repercusiones legales y sanciones normativas.
- La caza de ballenas. Al igual que phishing, este tipo de ataque de ingeniería social tiene como objetivo a los empleados de las empresas. Reciben correos electrónicos o mensajes de texto que parecen proceder de una fuente de confianza, con el fin de que revelen sus credenciales de acceso u otra información personal confidencial. Un ataque de tipo «whaling» puede consistir en investigar e identificar a una sola persona con el fin de conseguir una «gran captura», como, por ejemplo, un directivo con privilegios de acceso de alto nivel. El phishing, sin embargo, suele tener un alcance más amplio y se dirige a cientos de personas.
- Tecnología obsoleta. Las organizaciones carecen por completo de visibilidad sobre la infraestructura informática de sus proveedores, y no es raro que los proveedores externos utilicen hardware obsoleto con software antiguo, sin parches o sin soporte técnico. A medida que la tecnología va quedando obsoleta, aumenta el número de vulnerabilidades de seguridad, lo que convierte este aspecto en un riesgo especialmente preocupante para la cadena de suministro.
- Vulnerabilidades de seguridad de los proveedores. Si un proveedor de software no ha implementado las medidas de seguridad adecuadas, su organización queda expuesta a riesgos, por muy sólida que sea la seguridad con la que cuente. Los piratas informáticos pueden aprovechar las vulnerabilidades de seguridad de un proveedor para, potencialmente, obtener acceso a sus sistemas y datos. Si no se somete a los proveedores a un proceso de selección y no se les comunican los requisitos de seguridad, las empresas no pueden garantizar un nivel mínimo de seguridad.
¿Cuáles son los elementos que conforman la seguridad de la cadena de suministro de software?
Una vez que un atacante consiga acceder a su red, se centrará en los activos más valiosos de su organización. Por lo tanto, el primer paso para proteger la cadena de suministro consiste en comprender qué información de la que dispone resulta valiosa para los piratas informáticos. Empiece por identificar todos sus activos y, a continuación, establezca un orden de prioridad entre sus «joyas de la corona de», es decir, aquellos que no puede permitirse que se vean comprometidos. Todo aquello que se considere fundamental para el negocio puede considerarse un activo de gran valor para la mayoría de las organizaciones y puede incluir elementos como el código de software propio, datos financieros y de clientes, códigos de cifrado, información de recursos humanos y propiedad intelectual.
«. En esencia, cualquier empresa de software con la que trabaje su empresa supone un riesgo potencial.»
Como parte de este paso, también debe comprender el entorno en el que se encuentra cada activo y todas las formas en que se puede acceder a él. Este proceso de detección e inventario de activos de le ayudará a determinar el grado de vulnerabilidad de los activos ante posibles brechas de seguridad y en qué ámbitos debe limitar la exposición de la cadena de suministro.
El segundo paso para garantizar la seguridad de la cadena de suministro consiste en identificar a sus socios comerciales y cualquier punto débil en sus sistemas, así como en adoptar un proceso sólido de gestión de riesgos de proveedores. Entre estos socios pueden figurar proveedores de software, proveedores de servicios en la nube, empresas de puntos de venta, empresas de gestión de nóminas e incluso empresas de seguridad, todos los cuales han servido de punto de apoyo a los atacantes para infiltrarse en sistemas empresariales más amplios. En esencia, cualquier empresa de software con la que colabore su empresa supone un riesgo potencial.
Aunque no existe un enfoque único válido para todos los casos en esta fase, un buen proceso debería incluir prácticas como la realización de evaluaciones de riesgo de los proveedores, la clasificación de los proveedores según su importancia, la elaboración de un inventario de proveedores, el seguimiento de las características clave de los proveedores y la supervisión del rendimiento y el riesgo de los proveedores a lo largo del tiempo.
El objetivo de la gestión de riesgos de proveedores es garantizar que sus proveedores cuenten con las políticas y tecnologías adecuadas para proteger sus datos más confidenciales. Asimismo, puede ayudarle a identificar a los proveedores de alto riesgo y a colaborar con ellos para mitigar los riesgos de seguridad o determinar si desea sustituirlos por otro proveedor.
¿Cuáles son los principales retos en materia de seguridad de la cadena de suministro de software?
La visibilidad es uno de los aspectos más complejos del riesgo en la cadena de suministro, tal y como se ha señalado anteriormente. En el caso de los productos físicos, los proveedores pueden facilitar una lista de los materiales o ingredientes utilizados en la fabricación de sus productos. Sin embargo, la mayor parte del software moderno se desarrolla, en gran medida, utilizando componentes de código abierto. Resulta difícil encontrar un desglose de los componentes que se han utilizado en una aplicación concreta y saber quién los ha fabricado, y la mayoría de las personas no dispone de una forma eficaz de averiguarlo por sí mismas en
.
Las organizaciones también se enfrentan a retos a la hora de auditar a los desarrolladores de proyectos para garantizar que siguen prácticas de programación seguras y que subsanan las vulnerabilidades con rapidez. En definitiva, carecen de una comprensión clara
y de control sobre la cadena de suministro de principio a fin que sustenta su arquitectura informática
.
¿Cuáles son algunas de las mejores prácticas en materia de seguridad de la cadena de suministro de software?
¿Nunca ha oído hablar del «air-gapping»? Ya es hora de que conozca este y otros consejos que le ayudarán a mejorar la seguridad de su cadena de suministro de software:
- Comprenda su cadena de suministro de principio a fin. La cadena de suministro de software incluye todo el código, los archivos y demás componentes que se han utilizado para crear su software empresarial, así como su procedencia y la identidad de sus autores. Usted desea saber, por ejemplo, cómo se han evaluado los productos en cuanto a riesgos de seguridad y a cualquier vulnerabilidad conocida que puedan presentar. En pocas palabras: debe averiguar todo lo que pueda sobre las aplicaciones que ejecuta su organización.
- Aísle su red mediante un «air-gap». Un «air gap» crea una barrera entre una red y los atacantes, de forma muy similar a como un foso protege un castillo de los asaltos. Los empleados de TI crean la «barrera» aislando físicamente los activos sensibles de los sistemas conectados a la red o desconectando dispositivos específicos de la red. El objetivo del «air-gap» es eliminar la posibilidad de que un agente malintencionado pueda atacar su sistema a través de una conexión externa.
- Realice pruebas con regularidad. La mayoría de las empresas no se dan cuenta de lo vulnerable que es su cadena de suministro hasta que un proveedor concreto sufre un ataque. Sin embargo, no es necesario que espere para averiguarlo. La realización de análisis de vulnerabilidades le permitirá identificar y solucionar problemas básicos de seguridad, como configuraciones erróneas de , políticas de acceso deficientes y puntos débiles de los productos que los piratas informáticos podrían aprovechar. Las pruebas de penetración también pueden ayudar a determinar la facilidad con la que se pueden sustraer sus datos, mediante la simulación de un ataque para detectar y aprovechar cualquier vulnerabilidad de su sistema.
¿Cuáles son algunos marcos de trabajo para la seguridad de la cadena de suministro de software?
Un marco de seguridad es un conjunto de políticas y prácticas destinadas a establecer y mantener controles de ciberseguridad. Las organizaciones pueden utilizar marcos de referencia para evaluar su nivel de riesgo, comprender cómo podrían ser objeto de un posible ataque y complementar la capacidad de sus programas de ciberseguridad existentes para reforzar la seguridad de la cadena de suministro de software.
El Gobierno de los Estados Unidos elaboró, por ejemplo, el Marco de Gestión de Riesgos del NIST ( ) (RMF), con el fin de abordar la forma en que las organizaciones gubernamentales deben diseñar, proteger y supervisar los sistemas para gestionar los riesgos relacionados con la seguridad, la privacidad y la cadena de suministro. Gestionado por el Instituto Nacional de Estándares y Tecnología (NIST), este marco ofrece buenas prácticas detalladas para evaluar los riesgos y mejorar la seguridad informática con el fin de mitigar amenazas como las filtraciones de datos y los ataques de ransomware..
El RMF incluye un proceso de gestión de riesgos de siete pasos destinado a ayudar a las organizaciones a incorporar una mayor seguridad en sus sistemas y a responder con mayor rapidez ante los problemas de seguridad. Los pasos son los siguientes:
- Prepárese. En esta fase, la organización se prepara para aplicar el RMF. Entre las actividades se incluyen la identificación de los puestos clave en la gestión de riesgos, la determinación del nivel de tolerancia al riesgo de la organización, la realización de una evaluación de riesgos a nivel de toda la organización, así como el desarrollo y la aplicación de estrategias de gestión de riesgos.
- Clasifique. En la segunda fase, la organización utiliza las normas del NIST para clasificar su información y sus sistemas con el fin de evaluar con precisión los riesgos a los que están expuestos. La organización realiza un inventario de todos los datos que se encuentran en su entorno, señalando los datos sensibles a los que pueden acceder usuarios no autorizados y los datos de escaso valor. Además, recoge las características de cada sistema y la forma en que se conectan entre sí.
- Seleccione. En el siguiente paso, la organización selecciona los controles de seguridad pertinentes para sus sistemas basándose en un catálogo de controles incluido en el RMF. Estos controles incluyen soluciones de supervisión, autenticación multifactorial y políticas que reducen los comportamientos de riesgo y ayudan a recuperar los sistemas y los datos en caso de desastre. En esta fase, es importante tener en cuenta quién necesita y quién no necesita tener acceso a información confidencial.
- Poner en práctica. La organización pone en práctica los controles de seguridad que ha seleccionado. Durante esta fase, se debe formar al personal sobre los nuevos procedimientos y políticas, así como sobre cómo deben aplicarse en cada sistema
. - Evaluar. En esta fase, la organización elabora y aplica procedimientos de evaluación adecuados basados en los controles de seguridad que ha implantado. El objetivo es garantizar que la organización pueda responder de inmediato ante cualquier riesgo de seguridad.
- Autorizar. La alta dirección determina si los controles seleccionados son adecuados en función de la tolerancia al riesgo de la organización.
- Monitor. En esta fase, la organización supervisa continuamente los sistemas para garantizar la seguridad y responder a cualquier cambio
en su estado.
¿Cuáles son los mejores recursos sobre la seguridad de la cadena de suministro de software?
Entre los recursos para obtener más información sobre la seguridad de la cadena de suministro de software se incluyen:
- Seguridad del software en las cadenas de suministro (NIST)
- Directrices sobre seguridad de la cadena de suministro del Centro Nacional de Seguridad Cibernética ( , NCSC)
- Seguridad de la cadena de suministro: es responsabilidad de todos (Mitre)
- Biblioteca de recursos sobre la cadena de suministro de las TIC: (CISA)
