El Plan de 5 Pasos de Cisco para Ciberseguridad Robusta de Terceros

Ya es bastante difícil reforzar la ciberseguridad dentro de los muros de tu propio negocio. Pero hacer lo mismo para el ejército de socios que compone una cadena de suministro global? Eso puede ser casi imposible.

La realidad de las amenazas

Casi no pasa una semana sin noticias de otro ciberataque contra la cadena de suministro de una empresa importante. Y más a menudo que no, el conducto para la intrusión es un tercero con controles débiles.

En las cadenas de suministro modernas, un tercero puede ser cualquier entidad que venda piezas, productos, servicios, soporte, software —la lista continúa. "Para mí, comprende a cualquiera que no seamos nosotros que en cualquier punto en las etapas de la cadena de valor estén realmente involucrados en nuestras soluciones", dice Edna Conway, directora de seguridad de la cadena de valor global en Cisco Systems, Inc.

Cisco favorece el término "cadena de valor" —que cualquier número de empresas y consultores han intentado sin éxito reemplazar "cadena de suministro" como descriptor general para el viaje de extremo a extremo del producto al mercado— porque sugiere un universo mayor de entidades independientes involucradas en ese esfuerzo. Pero无论 uno abrace la jerga corporativa o no, no hay duda de que la proliferación de socios plantea serios problemas de ciberseguridad. Sin sistemas y procedimientos adecuados, cualquiera de ellos podría caer presa de los esfuerzos de actores maliciosos, incluyendo empresas rivales, gobiernos, extorsionadores e incluso hackers de sótano.

Enfoque de 5 pasos de Cisco

Conway ofrece el siguiente enfoque de cinco pasos para establecer un plan efectivo de ciberseguridad para relaciones con terceros.

1. Conoce el "quién, qué y dónde" de tu cadena de suministro

Autoevidente aunque parezca, muchas empresas no tienen control sobre todas las partes que contribuyen de alguna manera al negocio. Eso es especialmente el caso en cadenas de suministro multinivel —y es difícil pensar en un producto manufacturado hoy que no dependa de tal estructura.

2. Trabaja en formas de comunicar efectivamente con todas esas partes

Conway no se refiere a todas las interacciones que cubren temas geopolíticos o continuidad de suministro, solo aquellas que específicamente abordan problemas de seguridad. Como tal, describe tres tipos principales de amenazas: manipulación (cuando la información es alterada), espionaje (tanto de estado-nación como industrial), y disrupción (involucrando intentos de cerrar el negocio). Dice que puede ser difícil impresionar a un desarrollador de licencias de software o proveedor de servicios en la nube de terceros la importancia de proteger contra las tres amenazas. Lo mismo ocurre con individuos en la planta de fábrica, cuya atención podría estar enfocada en mantener la línea en marcha. "Se necesita entrenamiento para hacer de la seguridad parte del pensamiento cotidiano de cualquiera en cualquier rol", dice Conway.

3. Desarrolla arquitectura "flexible y elástica"

El enfoque de Cisco para la seguridad de la cadena de suministro abarca 11 dominios discretos que reflejan la complejidad de sus procesos. Diseño, desarrollo, entrega y servicio: cada disciplina posee relaciones con terceros, creando la posibilidad de innumerables puntos débiles tanto dentro como fuera de la organización. La estrategia tiene en cuenta que varias áreas de producción requieren directrices únicas para sus operaciones. "Escribimos requisitos de manera que puedas mapearlos, de modo que solo aquellos basados en la naturaleza de lo que nos entregas se apliquen", dice Conway. "Todos obtienen una versión personalizada."

4. Incrusta seguridad en todo lo que haces con todos los terceros

Conway insta a las empresas a preguntar: "¿Por qué los estamos usando, y cómo están rindiendo según nuestras métricas de servicio?" Irónicamente, cuando "Calidad" era pregonada en pancartas y mítines corporativos, el concepto no era "imbibido persuasivamente" dentro de la organización. Cuando se trata de ciberseguridad ahora, la calidad no es un eslogan o función discreta, dice Conway —está inculcada en cada proceso dentro de la cadena de suministro. Cisco asigna puntos a terceros en línea con su adherencia demostrada a calidad, y la seguridad es una parte clave de esa medida. "Lo hacemos matemáticamente significativo, así que si eres fantástico como proveedor pero horrible en seguridad, puedes no seguir siendo un proveedor preferido", dice.

5. Todos deben medir

Conway ha estado presionando duro para medir el rendimiento a través de la organización. "Establecemos niveles de tolerancia contra nuestras propias especificaciones y procesos", dice. "Al final del día, estamos haciendo que la seguridad hable el lenguaje del negocio."

Implementación gradual y lenguaje de negocio

La iniciativa de seguridad de Cisco no se implementó de una vez. Conway, quien previamente sirvió como abogada externa para la empresa especializada en temas de propiedad intelectual, se convirtió en su CSO a principios de los 2000. En lugar de imponer inmediatamente una "arquitectura monolítica" desde el inicio, lo hizo en etapas, comenzando con los socios de fabricación electrónica (EMS) de Cisco, luego moviéndose a productores de circuitos impresos, ingeniería y la multitud de socios de canal que componen la "cadena de valor" de la empresa.

En la predicación del evangelio de la ciberseguridad, Conway considera esencial comunicar con la suite ejecutiva, cuya visión del mundo está arraigada en ganancias y pérdidas. "Me gustaría traducir mis niveles de tolerancia en riesgo en dólares", dice. "Todos necesitamos hablar el lenguaje del negocio."