Asegure su cadena de suministro: Una estrategia holística de ciberseguridad

La evolución de las redes de cadena de suministro a lo largo de los años ha sido impulsada en gran medida por la tecnología. Organizaciones de todos los tamaños se están moviendo al espacio digital, algunas obligadas por las disrupciones del último año. Mientras las empresas construyen fortalezas de ciberseguridad para sí mismas, hay varias vulnerabilidades en los puntos de contacto con fabricantes, proveedores, socios globales y otros proveedores de servicios que considerar. Las amenazas acechan alrededor de tales partes, esperando violar la seguridad a la primera oportunidad.

La ciberseguridad ha madurado hasta cierto punto para las grandes empresas, aunque enfocada dentro del perímetro de la organización. Existe una falta de gobernanza y control sobre departamentos individuales que tratan con otras entidades en el ecosistema, muchas de las cuales son empresas más pequeñas que son bajas en su fortaleza de ciberseguridad. Estos son puntos de entrada favorables para los piratas informáticos.

Con el advenimiento de tecnologías disruptivas como vehículos autónomos, automatización de procesos robóticos y digitalización de extremo a extremo, los límites de ciberseguridad entre organizaciones se están volviendo más difusos. Alrededor del 80% de las brechas reportadas ocurren en redes de cadena de suministro. Dondequiera que aparezca su organización en la cadena de suministro, si está conectada, está en riesgo.

Las amenazas de la cadena de suministro incluyen denegación de servicio, filtraciones de datos, robos de datos de clientes, disrupción del negocio y otros ataques de malware como ransomware. Como dice el refrán, la cadena de suministro es tan fuerte como su eslabón más débil.

Abordar la ciberseguridad en la red de la cadena de suministro debe verse a través de tres lentes: tecnología, personas y procesos.

Tecnología

Toda la cadena de suministro necesita ser incluida en planes de protección, mitigación y respuesta de ciberseguridad. La respuesta y recuperación no deben limitarse a configuraciones tecnológicas internas.

La adopción de tecnología en la nube, dispositivos de internet de las cosas (IoT) y servidores virtuales abre nuevas vistas para brechas. Asegure procedimientos adecuados de ciberseguridad como autenticación de dos factores y control de acceso biométrico en todos los sistemas internos y de terceros. Los planes de mitigación y recuperación de riesgos deben documentarse como un proceso estándar.

El uso de software de código abierto podría ser una fuente de amenazas, y se debe planificar una monitorización adecuada para estas configuraciones.

La tecnología blockchain es una tendencia emergente que tiene el potencial de mejorar la transparencia y la eficiencia, junto con un alto nivel de seguridad de datos a través de múltiples socios comerciales. Puede permitir una mejor visibilidad del producto, datos y flujos financieros a lo largo de la cadena de suministro. Es adoptada en gran medida por empresas con operaciones complejas y su impacto real aún está por verse. Los expertos creen que las organizaciones al menos deberían evaluar la viabilidad y los beneficios potenciales de blockchain.

Personas

Todos los empleados y socios comerciales deben ser incluidos en el marco de seguridad. Roles y responsabilidades claros para todo el personal y entidades de terceros en protección, detección, respuesta y medidas de recuperación son esenciales.

Las políticas de traiga su propio dispositivo (BYOD) son una fuente importante de malware y phishing en la cadena de suministro, y necesitan ser un foco clave. Ningún dispositivo de propiedad del personal debe permitirse conectar a la infraestructura corporativa sin canalizarlos a través de una red privada virtual (VPN).

Procesos

Establezca procesos para la debida diligencia de la postura de ciberseguridad antes de incorporar cualquier nueva entidad en su ecosistema. La monitorización regular para asegurar el cumplimiento de procesos por todas las entidades es esencial para garantizar la capacidad del plan de recuperación y respuesta.

La diseminación de inteligencia de amenazas es otro factor que puede hacer una gran diferencia en el proceso general de ciberseguridad, pero aún no ha madurado como práctica estándar.

Establezca procesos para revocar el acceso a terceros después de que se complete el contrato, ya que esto ha sido un error costoso para muchas empresas.

Las empresas necesitan implementar directrices y estándares de acceso a datos corporativos, especialmente cuando se comparten datos sensibles entre organizaciones.

Las auditorías mensuales de servidores y redes ayudan a mantener un buen rastro de todos los accesos especiales y de administrador.

A continuación, algunas pautas clave para tener en cuenta al desarrollar un plan de seguridad para toda la red de socios comerciales.

• No funcionará si no es un esfuerzo colaborativo. Necesita fomentar y educar a las empresas más pequeñas con las que trabaja sobre amenazas de ciberseguridad. Las PYMEs a su vez pueden buscar apoyo de sus socios más grandes.
• Los expertos en cadena de suministro promueven la idea de asumir que una brecha va a ocurrir tarde o temprano, por lo que tener un plan de resiliencia cibernética es imprescindible hoy.
• Aún no existe un marco amplio que apoye a empresas de todos los tamaños cuando se trata de gestión de ciberseguridad de la cadena de suministro. Sin embargo, los proveedores y otras partes pueden llevar a cabo iniciativas de verificación independientes y estandarizadas.
• Las pruebas de penetración pueden eliminar vulnerabilidades conocidas y potenciales.
• Debe establecerse un equipo central o gerente que monitoree regularmente la configuración de ciberseguridad para toda la cadena de suministro, para evitar "silos" de red no gestionados.
• Las empresas deberían considerar el uso de inteligencia artificial para detectar amenazas y brechas más proactivamente, y activar sistemas de respuesta a tiempo.

Vijaya Rao es fundadora y CEO de TechVio, una firma de servicios de TI.