El riesgo que viene de afuera: ¿por qué la superficie de ataque de los proveedores es la que más crece?
ESTRATEGIA · RIESGO DE TERCEROS · SUPPLY CHAIN SECURITY
Hay un ejercicio que le propongo a quienes quieren entender el estado real de su superficie de ataque: listar todos los proveedores, contratistas y terceros que tienen algún tipo de acceso a sus sistemas, redes o datos. No solo los grandes contratos formales. También el proveedor de soporte técnico que se conecta remotamente para resolver problemas, el integrador que implementó la infraestructura hace dos años y todavía tiene acceso para mantenimiento, el SaaS que el área de marketing contrató sin pasar por TI, la empresa de outsourcing que gestiona la mesa de ayuda.
En la mayoría de los casos, ese listado completo no existe. Y cuando se construye por primera vez, el número sorprende. No porque la organización sea descuidada, sino porque la expansión de la superficie de ataque a través de terceros ocurre de forma incremental, proveedor por proveedor, sin que nadie esté midiendo el total acumulado.
Esta semana analizo el riesgo de terceros como decisión organizacional: no qué es la gestión de riesgo de proveedores en términos de framework, sino por qué la mayoría de las organizaciones medianas de la región no la tienen implementada de forma real, qué consecuencias tiene esa ausencia, y qué se puede hacer con los recursos disponibles antes de que un incidente en la cadena de proveedores lo haga urgente.
EL PROBLEMA QUE NADIE ESTÁ MIDIENDO
Cuando una organización mejora su seguridad interna, cierra las brechas más visibles: parchea las vulnerabilidades críticas, revisa el modelo de acceso, prueba el plan de continuidad. Eso es necesario. Pero hay algo que esas mejoras no tocan: el riesgo que entra a través de las relaciones con terceros.
El proveedor de soporte remoto que se conecta a la red interna para resolver problemas tiene acceso a los mismos sistemas que un empleado de TI. Si ese proveedor tiene una brecha de seguridad en su propio entorno, o si sus credenciales de acceso a la organización son comprometidas, el atacante entra con acceso legítimo a la red interna sin haber tocado ninguno de los controles del perímetro tecnológico.
El SaaS que el área comercial adoptó para gestionar el pipeline de ventas procesa datos de clientes que pueden incluir información sensible. Si ese SaaS tiene una brecha de seguridad, esos datos están expuestos, y la organización tiene una responsabilidad sobre ellos aunque el incidente haya ocurrido en los sistemas del proveedor.
El integrador que implementó la infraestructura Fortinet hace 18 meses y que todavía tiene acceso de administración para soporte tiene un perfil de riesgo equivalente al de un administrador interno con privilegios elevados. Si ese acceso no está gestionado con la misma rigurosidad que los accesos internos, es exactamente la brecha que describí la semana pasada en el contexto de TechCorp Latam.
¿POR QUÉ LA GESTIÓN DE RIESGO DE TERCEROS NO EXISTE EN LA MAYORÍA DE LAS ORGANIZACIONES MEDIANAS?
La respuesta más honesta que he encontrado es que la gestión formal de riesgo de terceros tiene un costo de implementación que se percibe como alto para organizaciones que no han tenido un incidente originado en un proveedor. El beneficio, como ocurre con la continuidad y con las vulnerabilidades, es preventivo y abstracto. Y compite con costos operacionales concretos.
Hay además un elemento relacional que hace el problema más difícil que el riesgo interno: exigir condiciones de seguridad a un proveedor implica una negociación. El proveedor puede percibir la exigencia como una señal de desconfianza. Puede argumentar que sus procesos son adecuados sin demostrar evidencia. Puede trasladar el costo de un proceso de auditoría al precio del servicio. En relaciones donde la organización no tiene poder de negociación significativo frente al proveedor, esa conversación es incómoda.
El resultado es que muchas organizaciones tienen contratos con proveedores que no incluyen ninguna cláusula de seguridad, que no han evaluado la postura de seguridad del proveedor en ningún momento de la relación, y que no monitorean activamente el uso que el proveedor hace de los accesos que le fueron otorgados.
LO QUE ESTA SEMANA ANALIZO EN DETALLE
El martes voy a ver las categorías de proveedor con mayor perfil de riesgo y los vectores de entrada más frecuentes. El miércoles, qué se puede hacer con los recursos disponibles en una organización mediana: no un programa de gestión de riesgo de terceros de nivel enterprise, sino los controles básicos que reducen la exposición de forma significativa sin requerir una inversión desproporcionada. El jueves, el caso TechCorp Latam: el acceso del integrador que siguió activo y cómo ese tipo de relación se gestiona diferente después del incidente. El viernes, cómo llevar el riesgo de terceros a la conversación ejecutiva y qué argumentos mueven esa discusión.
DECISIÓN QUE DEBE TOMAR EL CIO
Construir el listado completo de proveedores con acceso a sistemas, redes o datos de la organización. Ese ejercicio, que puede completarse en días con la información disponible en contratos y en el directorio de accesos, ya muestra el tamaño real de la superficie de ataque externa. Sin ese listado, no es posible priorizar ni gestionar el riesgo. Con ese listado, aparecen los proveedores que requieren atención urgente antes de cualquier programa formal.
La organización que mejora su seguridad interna pero no gestiona el riesgo de sus proveedores está construyendo un perímetro con una puerta trasera que no controla. El atacante no necesita superar los controles internos si puede entrar a través de alguien que ya tiene acceso legítimo.
Esta semana en el blog: cinco días analizando el riesgo que viene de afuera. Mañana: las categorías de proveedor con mayor perfil de riesgo.
#RiesgoTerceros #SupplyChainSecurity #Ciberseguridad #CIO #ITManager #GestiónDeRiesgos #Fortinet #Cisco #WatchGuard #pfSense #TechCorpLatam #CyberLeadership #Liderazgo #Chile #NISTCSF #ISO27001 #ZeroTrust
Comentarios
Publicar un comentario