Protegiendo las Cadenas de Suministro de EE. UU.: Estrategias para Mitigar Amenazas Cibernéticas

En febrero, el presidente Joe Biden firmó la Orden Ejecutiva 14017, que pide una revisión integral de las cadenas de suministro críticas de EE. UU. La acción fue en respuesta a la escasez de suministros médicos como equipos de protección personal (EPP) para trabajadores de la salud en primera línea durante el apogeo de la pandemia de COVID-19. Otras necesidades identificadas por la orden incluían chips semiconductores para la industria automotriz y otras aplicaciones de alta tecnología.

Estos problemas obstaculizan la capacidad de los estadounidenses para obtener productos esenciales y crean inestabilidad para los trabajadores en las industrias afectadas. El objetivo de la nueva orden, según la Casa Blanca, es abordar proactivamente tales problemas antes de que se repitan.

"Si bien no podemos predecir qué crisis nos golpeará, deberíamos tener la capacidad de responder rápidamente ante los desafíos", dijo la Casa Blanca. "Estados Unidos debe asegurar que la escasez de producción, interrupciones comerciales, desastres naturales y posibles acciones de competidores y adversarios extranjeros nunca dejen a Estados Unidos vulnerable de nuevo".

La campaña del Presidente dejó claro que su Administración está comprometida a abordar los riesgos de la cadena de suministro de manera integral. Pero, ¿tendrá éxito la iniciativa?

Desde una perspectiva de seguridad, hay una serie de problemas que la Administración debería considerar. No hacerlo resultará en tiempo y esfuerzo duplicados, desperdiciando recursos mientras no se mitigan los riesgos cibernéticos que podrían resultar en otro ataque a la cadena de suministro.

El primer paso para asegurar la seguridad de las cadenas de suministro de EE. UU. es identificar sus vulnerabilidades y riesgos. La orden ejecutiva de Biden se enfoca en seis sectores: la base industrial de defensa, salud pública, tecnología de la información y comunicaciones, energía y potencia, transporte y agricultura.

La dependencia de las cadenas de suministro en productos y servicios digitales ha creado vulnerabilidades serias, haciendo de la ciberseguridad una parte esencial de la revisión. El temor de que un actor de estado-nación pueda decidir retener la cadena de suministro a través del cibercrimen es real. La Sección 4.4 de la orden ejecutiva deja claro que la gestión de riesgos cibernéticos es una preocupación clave y área de enfoque. Dentro de un año, se deben presentar informes que cubran el estado actual de la dependencia de las cadenas de suministro en naciones competidoras. Cómo el gobierno involucra a la comunidad de seguridad de la información para este propósito hará o romperá la iniciativa en todos los sectores.

Garantizando Resultados en Un Año

El emprendimiento cubre mucho territorio para un plazo de un solo año. Es crítico que la comunidad de seguridad de la información y tecnología, basándose en las lecciones del año pasado, proporcione aporte a las partes que impulsan la iniciativa. Los esfuerzos de grupos industriales como centros de análisis e intercambio de información (ISACs) y el Consejo de Coordinación del Sector TI (ITSCC) serán fundamentales para el éxito. Además, hay una montaña de datos y análisis provenientes de las cuatro grandes firmas de consultoría sobre qué riesgos priorizar al tratar con terceros.

El Departamento de Defensa de EE. UU. debería desempeñar un papel clave para ayudar a que la iniciativa se implemente sin problemas. Un esfuerzo comparable supervisado por el DOD es la Certificación del Modelo de Madurez de Ciberseguridad (CMMC), que requiere que los proveedores de materiales contratados por el gobierno cumplan estándares específicos. Un consejo clave, basado en la reacción pública y privada al CMMC hasta ahora, es evitar en la medida de lo posible mezclar los procesos de adjudicación y revisión de contratos. Los líderes de la industria sectorial y las agencias gubernamentales deberían trabajar juntos para decidir un estándar simple pero efectivo para la ciberseguridad en las diversas cadenas de suministro de manera sencilla.

La Importancia de la Estandarización

Crear las asociaciones correctas y obtener aporte de expertos en seguridad de la información es una cosa, pero asegurar una mayor madurez en ciberseguridad en las cadenas de suministro de EE. UU. es otra muy distinta. La comunicación es el único elemento que puede hacer o romper nuevos requisitos cuando se implementan en un ecosistema tan grande. Está impulsada por la medición, con resultados estandarizados entre grupos independientemente de su nivel de madurez en ciberseguridad. Estándares como la subcategoría de Gestión de Riesgos de la Cadena de Suministro del Marco de Ciberseguridad de NIST (NIST CSF) o el CMMC mencionado anteriormente son excelentes herramientas para hacer los requisitos claros e implementarlos efectivamente en las cadenas de suministro. Las metodologías de evaluación cibernética bajo NIST CSF son especialmente valiosas para proporcionar contexto a proveedores con poco conocimiento de seguridad de la información.

Cuando se trata de medición, simular todos los riesgos potenciales en las cadenas de suministro de EE. UU. es imposible, dada la complejidad de los ecosistemas globales de cadena de suministro. Sin embargo, es valioso identificar escenarios que examinen varios puntos potenciales de falla. Aprovechar metodologías existentes de cuantificación de riesgos de manera creativa es clave para lograr verdadera resiliencia. Es esencial que las empresas entiendan el riesgo de la cadena de suministro como un medio para lograr una buena gobernanza, basándose en aportes de equipos de seguridad, intercambio de datos e información, y avances en software de gestión de riesgos.

Solo se puede esperar que la iniciativa de cadena de suministro de Biden aproveche los datos existentes de eventos pasados y análisis predictivos sobre el futuro. ¿Puede toda la cadena de suministro ser evaluada comparativamente, y todas las vulnerabilidades identificadas en un solo año? ¿Y podemos mitigar el severo riesgo cibernético en las cadenas de suministro de EE. UU.? Queda por verse.

Padraic O'Reilly es cofundador y director de producto de CyberSaint.