Cinco formas de gestionar los riesgos cibernéticos en toda la cadena de suministro

Hoy en día, es casi imposible administrar un negocio sin la ayuda de proveedores externos que lo ayuden a entregar sus productos, sistemas o servicios. Trabajar con socios externos puede conllevar una serie de beneficios, incluidos procesos más optimizados y eficientes para satisfacer las mayores demandas de los clientes. Al mismo tiempo, las nuevas entidades pueden traer nuevos riesgos, especialmente en el ámbito de la ciberseguridad. Cuando las empresas se unen y comparten información, el riesgo de una empresa se convierte en el de toda la cadena.

Los ataques cibernéticos a la cadena de suministro han ido en aumento, con un aumento del 42% en los EE. UU. Durante el primer trimestre de 2021. Los ataques de este tipo son especialmente populares para los ciberdelincuentes, ya que brindan la oportunidad de infiltrarse en una red completa de organizaciones a través de una sola proveedor externo.

Afortunadamente, como ocurre con cualquier tipo de riesgo, existen formas de gestionar estas amenazas antes de que presenten un problema. A continuación se muestran algunas acciones clave que su empresa puede tomar para minimizar la posibilidad de un ataque a su cadena de suministro.

Realice evaluaciones de riesgos. Al entablar nuevas relaciones con proveedores, es importante asegurarse de saber cuál es su posición con respecto a la ciberseguridad. ¿Qué controles tienen implementados? ¿Qué procesos y políticas se utilizan para garantizar que los datos estén bien protegidos? Si comparte cualquier tipo de información con sus proveedores, especialmente información confidencial de los clientes, desea saber que permanecerá segura.

También es una buena idea considerar qué tan importante será la relación con el proveedor en general. ¿Formará parte de su cadena de suministro inmediata o ayudará de forma ad hoc? Todos los socios deberán ser examinados, pero aquellos que desempeñen un papel integral en su cadena de suministro conllevarán un mayor riesgo y deberán ser más cautelosos.

Establece requisitos de seguridad. Para fomentar una relación transparente con sus proveedores y establecer expectativas claras entre ustedes, puede resultar útil elaborar una política de proveedores.

Con dicho documento, puede dedicar secciones a la ciberseguridad y la protección de datos, describiendo qué nivel de seguridad sus proveedores deberían poder demostrar. Una de las formas más fáciles de hacer esto es pedir a sus proveedores que se alineen con un conjunto existente de estándares y certificaciones de ciberseguridad. En los EE. UU., Los más populares incluyen ISO 27001, que es reconocida internacionalmente, y el marco NIST. En el Reino Unido, el estándar de seguridad cibernética del gobierno, Cyber ​​Essentials, ayuda a las empresas a reducir el 80% del riesgo al alinearse con cinco controles técnicos críticos. El cumplimiento de estos estándares puede ser una manera fácil para que sus proveedores demuestren una buena postura en materia de ciberseguridad.

Al establecer los requisitos de seguridad de sus proveedores, es una buena práctica asegurarse de que su propia empresa ya los esté cumpliendo. Al participar en una cadena de suministro, se conecta con todos los demás en ella; cualquier mejora que realice en sus propias posiciones de seguridad solo fortalecerá la cadena en general.

Implementar formación en ciberseguridad. El error humano sigue siendo la causa número uno de los ciberataques. Como tal, es uno de los elementos más importantes a abordar. Si bien siempre debe trabajar para fomentar una cultura de conciencia de la seguridad cibernética dentro de su propia empresa, esta práctica también debe fomentarse en toda la cadena de suministro.

Considere compartir recursos con proveedores para ayudarlos a educar a sus empleados sobre los riesgos cibernéticos. Hay numerosos ejercicios y artículos gratuitos en línea que ofrecen orientación a las empresas.

Transferencias de datos seguras. Los datos dentro de la cadena de suministro deben transferirse a través de canales seguros y protegerse en todo momento. Es más probable que los piratas informáticos intercepten datos mientras se mueven de un lugar a otro, por lo que es aún más importante mantener una buena seguridad durante este proceso. Cifrar los datos antes de transferirlos es una forma excelente de minimizar este riesgo.

Las empresas también deben asegurarse de tener una imagen completa de los diferentes tipos de datos que viven en su cadena de suministro y dónde se encuentran todos. Eso incluye datos internos (más sistemas de respaldo) y los datos a los que tienen acceso sus proveedores. Es probable que esta información varíe en sensibilidad. Parte de ella puede ser muy sensible, mientras que otra información es de acceso público. Puede ayudar a evitar que los datos caigan en las manos equivocadas clasificándolos y etiquetándolos correctamente, de modo que sepa dónde se encuentra la información más valiosa.

Recuerde que también es el proveedor de alguien. La mayoría de las veces, un pirata informático apuntará a una pequeña empresa para acceder al resto de su cadena de suministro, esperando que sus ciberdefensas sean mínimas o inexistentes. Vimos esto en uno de los primeros ataques importantes a la cadena de suministro en los medios de comunicación en 2013, cuando un contratista externo que trabajaba con Target se vio comprometido, lo que permitió a los piratas informáticos robar millones de detalles de tarjetas de crédito de clientes de la red interna del minorista.

Las pequeñas empresas no solo deben considerar la seguridad de sus proveedores, sino que también deben mantener un alto nivel de ciberseguridad para convencer a los socios más grandes de que no representan un riesgo para la seguridad. Muchas empresas, especialmente en el sector público, ahora exigen que todos sus proveedores cumplan con ciertos estándares de seguridad antes de obtener contratos con ellos.

La gestión de las amenazas cibernéticas dentro de la cadena de suministro no tiene por qué ser una tarea abrumadora, pero es importante asumir la responsabilidad de su propio riesgo y mantener estándares consistentes para la seguridad cibernética. Lo mejor para todas las empresas es comprender los procesos, las políticas y las soluciones de seguridad de todos los socios. Estos pasos no solo reducen el riesgo para toda la cadena de suministro, sino que también demuestran a los clientes, socios y partes interesadas que sus secretos están a salvo con usted.

Clive Madders es director de tecnología de Cyber ​​Tec Security .