Los ataques cibernéticos se han vuelto un problema común y preocupante en los mercados del todo el mundo. Uno de los sectores que se verá más afectado por este problema es la cadena de suministro, pues el riesgo de que sufra ciberataques será más frecuente en el 2024.  

Incluso, Gartner ha estimado que para 2025 el 45 % de las organizaciones de todo el mundo habrá sufrido ataques en el software de sus cadenas de suministro, lo que supone un aumento tres veces superior al de 2021.

El ciberataque

Las relaciones de confianza no seguras entre una compañía y otras organizaciones es una de las principales causas de que estos ataques prosperen. Los ciberdelincuentes aprovechan esta situación para filtrar datos o entregar malware a una empresa objetivo.

A diferencia de un crimen común, dirigido a afectar a una persona, los ciberdelincuentes lo que buscan es acceder a los servidores de correo, alojamientos en la nube, desarrolladores de software o suministros digitales, para desde allí alcanzar múltiples objetivos dentro de la red.

Así lo explica Patricio Villacura, especialista de Seguridad Empresarial para Akamai, en una nota publicada por Forbes Argentina. “La efectividad, pero sobre todo el nivel de impacto que tiene este tipo de ataques, hace pensar que durante el 2024 cada vez sean más frecuentes”, anticipa Patricio Villacura.

Es de amplio conocimiento que en América Latina se han dado accidentes de seguridad de este tipo hacia proveedores tecnológicos de clientes finales. Estos ciberataques han repercutido en la comunidad operativa de muchos de ellos, indica el experto.

“Esta situación ha dejado inhabilitados servicios de consumo y misión crítica o incluso han afectado trámites públicos en línea o licitaciones públicas; este último trae aparejado no solo pérdidas económicas, sino que también impacto sobre el nivel de transparencia del proceso licitatorio completo”, destaca.

Un ejemplo de ello es el ataque de ransomware que sufrió la compañía IFX Networks en el mes de septiembre de 2023, uno de los principales proveedores de servicios gestionados de Tecnologías de la Información y las Comunicaciones para el sector gubernamental e industrial en Colombia, Chile, Argentina, Panamá, entre otros. 

Dicha irrupción produjo un efecto dominó que hizo que los clientes que soportaba empezaran a caer uno tras otro, dejando los servicios de sus clientes fuera de línea y ampliando el impacto del ataque, aprovechando el ruido mediático.

Lo anterior, dijo Patricio Villacura, obligará no solo a las empresas proveedoras de servicios que forman parte de la cadena de suministro tecnológico a definir contramedidas para evitar o disminuir el potencial impacto de un ataque, sino que también, a las mismas empresas usuarias de servicios a planear sus propias medidas para no verse involucradas o minimizar la indisponibilidad de servicios, según la publicación de Forbes Argentina.

Hoy en día, uno de los mayores retos a la hora de gestionar los ciberataques en la cadena de suministro es comprender el amplio perfil de amenazas y los controles básicos de la empresa, así como considerar los nuevos métodos de ataque basados en inteligencia artificial. Por otro lado, los estándares auditables como la norma ISO27001 para la gestión de la seguridad de la información son un indicador importante del cumplimiento de las mejores prácticas de seguridad.

Patricio Villacura destacó que algunos países de América Latina hoy se fortalecen con regulaciones y cuerpos legales para hacer corresponsables de los potenciales daños que genere un ataque a la cadena de suministro, sobre la disponibilidad del negocio, la confidencialidad de la información y la continuidad operativa de los servicios de misión crítica.

“Normalmente las cadenas de suministro y los proveedores tecnológicos se ven cubiertos por las diferentes regulaciones. Por ejemplo, en Brasil existe una regulación fuerte en el tratamiento de datos personales, mientras que en Chile y Perú hay una regulación en entidades financieras y bancarias que obliga a ser solidarias con estos proveedores tecnológicos ante potenciales caídas de servicios producto de un ataque en la cadena de suministro tecnológica”, informó el experto de Akamai. 

La firma de consultoría Gartner resalta que los directores de seguridad y gestión del riesgo deben asociarse con otros departamentos para dar prioridad al riesgo de la cadena de suministro digital y presionar a los proveedores para que demuestren las buenas prácticas de seguridad.

Medidas de seguridad para proteger la cadena de suministro

De acuerdo con Patricio Villacura, las siguientes tres medidas de seguridad son fundamentales para proteger una cadena de suministro:

Contar con un mapa claro que indique cuáles son las interdependencias de los servicios críticos del negocio, cuál es el nivel de dependencias de éstos con servicios prestados por un tercero, y cuáles son las medidas de mitigación y recuperación para enfrentar un incidente de seguridad que pueda potencialmente comprometer la continuidad de los servicios.

Definir acciones concretas y medibles respecto a qué hacer ante un ataque, entender cuál es el nivel de compromiso de la infraestructura y cómo acotar el nivel de infección y compromiso. Para ello, no solo será necesario tener claridad de lo crítico que es una aplicación o un sistema en el negocio, sino poder orquestar las medidas de mitigación de la forma más efectiva lo que obliga a tener un gobierno fuerte dentro de la compañía. 

Intercambiar información permanentemente con otros actores regulados, comparar experiencias respecto de la mejor manera de protegerse, controlar que las medidas de mitigación que se están desplegando en la compañía sean efectivas, pero sobre todo mucha coordinación con dichos proveedores de la cadena de suministro para validar que las medidas preventivas y correctivas que se implementen sean las correctas. 

 Por último, y no menos importante, Patricio Villacura resaltó que el software de terceros no necesita acceso ilimitado a toda la red, por lo que es importante utilizar la segmentación de red para dividir ésta en zonas según funciones comerciales. De esta manera, si un ataque a la cadena de suministro compromete parte de la red, el resto de la misma aún estará protegida.