10 Pasos Esenciales para Asegurar tu Cadena de Suministro: Un Manual de Ciberseguridad Comprobado

A medida que las cadenas de suministro globales se vuelven cada vez más digitales, las empresas están expuestas a riesgos de innumerables fuentes indirectas. Un sistema es tan fuerte como su eslabón más débil, y los hackers cazarán meticulosamente para descubrir un componente vulnerable.

Esta explotación tiene un alto precio. Según el Informe de Costo de Brecha de Datos de Seguridad de IBM, $5,52 millones es el costo total promedio de una brecha para empresas de más de 25.000 empleados y $2,64 millones para organizaciones de menos de 500 empleados. La mayoría de las empresas pagan a los hackers el rescate que exigen. Este verano, Colonial Pipeline Co. y JBS SA pagaron a hackers $4,4 millones y $11 millones respectivamente para recuperar datos encriptados después de ciberataques masivos.

Otros impactos incluyen servicio al cliente interrumpido, confianza socavada y pérdida de ventaja competitiva.

Los cibercriminales están evadiendo barreras e identificando debilidades para explotar cadenas de suministro más efectivamente que nunca. En el caso de Colonial Pipeline, los hackers abusaron de un perfil heredado de red privada virtual (VPN) que solo requería autenticación de un solo factor.

Los ataques no solo paralizan empresas sino que también dañan a clientes. El 80% de las brechas involucran información de identificación personal (PII). Los hackers usan PII y contraseñas para acceder a las diversas cuentas de un individuo en la web. Además, cualquier ruptura en una cadena de suministro —ya sea tu negocio o proveedores de tercer o cuarto nivel— impacta la producción de bienes y servicios mientras también eleva precios.

En el Informe de Seguridad de CrowdStrike —una encuesta de más de 1.000 participantes— dos tercios de tomadores de decisiones senior de TI y profesionales de ciberseguridad revelaron que sus organizaciones habían experimentado un ataque a la cadena de suministro de software. El mismo número confesó que su empresa no está adecuadamente preparada para defenderse contra una futura brecha. Las empresas deben ser proactivas y enfocarse en construir ciberresiliencia para prevenir la explotación.

El Instituto Nacional de Estándares y Tecnología (NIST), parte del Departamento de Comercio de EE. UU., recomienda los siguientes pasos para salvaguardar adecuadamente los activos de TI.

Identificación

Localiza vectores de amenaza potenciales —rutas que los ataques maliciosos pueden tomar para pasar tus defensas e infectar tu red— mediante la realización de evaluaciones internas de riesgo y vulnerabilidad. Considera contratar una empresa para realizar una evaluación avanzada.

Protección

Toma las acciones necesarias para proteger tu organización y prevenir eventos de amenaza:

Reducción de Exposición

Además de la protección básica proporcionada por firewalls y software antivirus, es vital establecer procedimientos de acceso privilegiado. Sigue el principio de menor privilegio —solo empleados que necesitan acceso a datos sensibles tienen permitido el acceso.

Herramientas como analítica de comportamiento, detección y respuesta en endpoints (EDR), inteligencia artificial (IA) e inteligencia de amenazas pueden fortalecer defensas. Las empresas deben adoptar prácticas de codificación segura y referirse a los 10 Principales Riesgos de Seguridad de Aplicaciones Web de OWASP.

Compromiso y Capacitación de Empleados

Los empleados son la última línea de defensa en ciberseguridad y uno de los vectores de amenaza más comunes. Es crítico involucrar a cada empleado; la suite ejecutiva no está exenta. Establece una cultura de sana sospecha entre empleados. Este enfoque puede parecer excesivamente paranoico, pero las apuestas pueden ser altas.

Instituta capacitación de concientización y campañas internas de phishing para exponer a empleados a las técnicas más nuevas de spam e ingeniería social. Cualquier empleado que caiga en una campaña de phishing debería ser requerido inmediatamente a someterse a capacitación. Inculca una cultura de contraseñas fuertes en la que los empleados tengan contraseñas variadas y seguras. Asegúrate de que entiendan que si una contraseña se ve comprometida en un lugar, es posible y relativamente simple para hackers usarla en otras cuentas asociadas con el mismo email.

Hay innumerables recursos de ciberseguridad útiles (y gratuitos) disponibles para complementar el aprendizaje de empleados y mantenerlos actualizados sobre las últimas tendencias de la industria, como los módulos de capacitación virtual proporcionados por el Departamento de Seguridad Nacional de EE. UU.

Seguros

Asegúrate de tener un seguro adecuado en caso de un ataque. Algunos proveedores de seguros incluyen protecciones contra ransomware. Pregunta sobre qué cosas no están cubiertas en un ciberataque.

Seguridad Física

Protege personal, hardware, software, redes y datos de intrusión física y acciones. Considera soluciones como cámaras de vigilancia, guardias de seguridad, sistemas de seguridad, barreras, cerraduras, tarjetas de acceso, alarmas de incendio, rociadores y otros sistemas diseñados para proteger empleados y propiedad.

Cuidado con el "colado". Mantener la puerta abierta para alguien que entra a la oficina con las manos llenas puede parecer cortés, pero representa una amenaza de seguridad. Asegúrate de que todos los que entren en las instalaciones de la empresa sean personal autorizado.

Relaciones Comerciales Selectivas

Los ciberataques a través de redes de proveedores se están volviendo cada vez más comunes. Según el Estudio de Organización Ciberresiliente 2020 del Instituto Ponemon, el 56% de organizaciones reportan haber experimentado una brecha de ciberseguridad causada por un proveedor de terceros. Al determinar un nivel aceptable de riesgo, sé selectivo al elegir contratistas o socios para trabajar con tu empresa.

Reporte de Incidentes

Inculca una buena cultura y educación para reportar incidentes. Los profesionales de TI son más capaces de reducir daño potencial si saben sobre ello antes.

Detección

Se ha dicho que un hogar sin detectores de humo es lo mismo que una red sin monitoreo. El monitoreo continuo para eventos de seguridad debe incluir entornos físicos, redes, proveedores de servicios y actividad de usuarios. Los escaneos de vulnerabilidad son una gran herramienta y deben realizarse regularmente en sistemas que contienen información sensible.

Respuesta y Recuperación

Existe una correlación evidente entre tiempo de respuesta y costo de un ataque. Las industrias que tardan más en detectar, reaccionar, responder y remediar incurren en los costos más altos. Una respuesta rápida puede ayudar a mitigar el impacto. Aún así, no puede eliminar la posibilidad, por lo que siempre hay énfasis en la prevención.

Un plan de recuperación ante desastres es crítico para restaurar acceso a datos e infraestructura de TI después de un desastre. La recuperación depende del alcance del daño.

Traza un plan de respuesta y una hoja de ruta de remediación para todos los escenarios de incidentes potenciales en forma de un plan de continuidad de negocio. Incluye tácticas que mantendrán el negocio operativo durante un desastre. Determina la criticidad de proveedores y un curso de acción si proveedores clave son atacados. Enlista proveedores de respaldo y respaldos para tus respaldos en caso de que necesites cambiar a otro proveedor para acomodar clientes.

Como parte de un plan efectivo de recuperación ante desastres, se recomienda simular una brecha de ciberseguridad al menos una vez al año. A través de estos simulacros, el personal relevante entiende su rol y los procedimientos a seguir.

La ciberseguridad será un obstáculo prominente para empresas de todos los tamaños a medida que las cadenas de suministro se vuelvan más complejas. Identifica eslabones débiles en la cadena de suministro para asegurar que las vulnerabilidades se minimicen y prevenir eventos de amenaza. Construir ciberresiliencia preparará a tu empresa para un escenario de peor caso que de otra manera sería más costoso y dañino.

Marc Lewis es jefe de seguridad de la información en Visible Supply Chain Management.