Las 5 principales estrategias para mitigar los riesgos cibernéticos en tu cadena de suministro

Hoy en día, es casi imposible gestionar un negocio sin la ayuda de proveedores externos que asistan en la entrega de productos, sistemas o servicios. Trabajar con socios externos conlleva numerosos beneficios, como procesos más ágiles y eficientes para satisfacer las demandas crecientes de los clientes. Al mismo tiempo, las nuevas entidades pueden traer nuevos riesgos, especialmente en ciberseguridad. Cuando las empresas colaboran y comparten información, el riesgo de una se convierte en el de toda la cadena.

El auge de los ciberataques a la cadena de suministro

Los ciberataques a la cadena de suministro han aumentado, con un incremento del 42 % en EE. UU. durante el primer trimestre de 2021. Este tipo de ataques son especialmente populares entre los ciberdelincuentes, ya que les permiten infiltrar una red completa de organizaciones a través de un único proveedor externo.

Afortunadamente, como con cualquier tipo de riesgo, existen formas de gestionar estas amenazas antes de que se materialicen. A continuación, se presentan acciones clave que tu empresa puede tomar para minimizar la probabilidad de un ataque a tu cadena de suministro.

1. Realizar evaluaciones de riesgo

Al iniciar nuevas relaciones con proveedores, es fundamental conocer su postura en ciberseguridad. ¿Qué controles tienen implementados? ¿Qué procesos y políticas usan para garantizar la protección de datos? Si compartes cualquier tipo de datos con tus proveedores, especialmente información sensible de clientes, debes asegurarte de que permanecerán seguros.

También conviene considerar la importancia de la relación con el proveedor. ¿Formará parte de tu cadena de suministro inmediata o colaborará de forma puntual? Todos los socios deben ser evaluados, pero aquellos que desempeñan un papel integral conllevan más riesgo y requieren mayor cautela.

2. Establecer requisitos de seguridad

Para fomentar una relación transparente con tus proveedores y fijar expectativas claras, puede ser útil elaborar una política de proveedores.

En dicho documento, puedes dedicar secciones a ciberseguridad y protección de datos, especificando el nivel de seguridad que tus proveedores deben demostrar. Una forma sencilla es pedir a los proveedores que se alineen con estándares y certificaciones de ciberseguridad reconocidos. En EE. UU., los más populares son ISO 27001 —reconocido internacionalmente— y el marco NIST. En el Reino Unido, el estándar gubernamental Cyber Essentials ayuda a las empresas a reducir el 80 % del riesgo alineándose con cinco controles técnicos críticos. Cumplir estos estándares permite a los proveedores demostrar una buena postura de ciberseguridad.

Al imponer requisitos de seguridad a tus proveedores, es buena práctica que tu propia empresa ya los cumpla. Al participar en una cadena de suministro, te conectas con todos sus integrantes; cualquier mejora en tu propia postura de seguridad fortalecerá la cadena en su conjunto.

3. Implementar formación en ciberseguridad

El error humano sigue siendo la causa número uno de los ciberataques. Por ello, es uno de los elementos más vitales a abordar. Mientras fomentas una cultura de concienciación en ciberseguridad dentro de tu propia empresa, esta práctica debe extenderse a toda la cadena de suministro.

Considera compartir recursos con los proveedores para ayudarles a formar a sus empleados sobre riesgos cibernéticos. Existen numerosos ejercicios y artículos gratuitos en línea que ofrecen orientación a las empresas.

4. Proteger las transferencias de datos

Los datos dentro de la cadena de suministro deben transferirse a través de canales seguros y protegerse en todo momento. Los hackers suelen interceptar datos mientras se mueven de un lugar a otro, lo que hace aún más importante mantener una buena seguridad durante este proceso. Cifrar los datos antes de transferirlos es una excelente forma de minimizar este riesgo.

Las empresas también deben tener una visión completa de los diferentes tipos de datos que residen en su cadena de suministro y su ubicación. Esto incluye datos internos —incluidos sistemas de respaldo— y los datos a los que acceden los proveedores. Esta información variará en sensibilidad: algunos datos pueden ser altamente sensibles, mientras que otros son de acceso público. Clasificar y etiquetar correctamente los datos ayuda a prevenir que caigan en manos equivocadas, sabiendo dónde se encuentra la información más valiosa.

5. Recuerda que tú también eres proveedor de alguien

A menudo, los hackers atacan a pequeñas empresas para acceder al resto de su cadena de suministro, esperando que sus defensas cibernéticas sean mínimas o inexistentes. Lo vimos en uno de los primeros grandes ataques a la cadena de suministro que saltó a los medios en 2013, cuando un contratista externo que trabajaba con Target fue comprometido, permitiendo a los hackers robar millones de datos de tarjetas de crédito de la red interna del minorista.

Las pequeñas empresas no solo deben considerar la seguridad de sus proveedores, sino también mantener un alto estándar de ciberseguridad para convencer a socios mayores de que no representan un riesgo. Muchas empresas, especialmente en el sector público, exigen ahora que todos sus proveedores cumplan ciertos estándares de seguridad antes de formalizar contratos.

Gestionar las amenazas cibernéticas en la cadena de suministro no tiene por qué ser una tarea abrumadora, pero es importante asumir la responsabilidad del propio riesgo y mantener estándares consistentes de ciberseguridad. Es interés de todas las empresas comprender los procesos, políticas y soluciones de seguridad de todos los socios. Estos pasos no solo reducen el riesgo para toda la cadena, sino que también demuestran a clientes, socios y partes interesadas que sus secretos están a salvo.

Clive Madders es director de tecnología en Cyber Tec Security.