Paso 4. La ciberseguridad de tu organización termina donde termina la de tus proveedores
En los tres pasos anteriores hemos construido el gobierno, comprendido la operación industrial y desarrollado las capacidades necesarias para proteger, detectar y responder ante un ciberincidente. Ahora aparece una realidad que muchas organizaciones descubren demasiado tarde.
Gran parte del riesgo ya no nace dentro de la planta, sino que entra cada día por la cadena de suministro. Los fabricantes de equipos, integradores, empresas de mantenimiento, ingeniería, proveedores cloud, acceso remoto, soporte técnico, actualización de software, servicios gestionados… todos ellos forman parte del funcionamiento normal de la operación industrial y, por tanto, también forman parte de su superficie de exposición.
La pregunta deja de ser ¿son seguros nuestros sistemas? Para convertirse en otra mucho más importante:
¿Hasta qué punto depende nuestra capacidad de resistir un ciberataque de decisiones que toman otras organizaciones?
El verdadero riesgo no son los proveedores
Un error habitual consiste en evaluar únicamente si un proveedor dispone de certificaciones, políticas o determinados controles de seguridad. Todo eso es importante, pero lo crucial es comprender qué dependencia hemos creado. La dependencia también es un riesgo, y NIS2 obliga a gobernarla.
Dos proveedores con idéntico nivel de ciberseguridad pueden representar riesgos completamente distintos y esto no depende únicamente de cómo trabajan, obedece a cuánto necesita la organización seguir dependiendo de ellos para mantener la operación. Las preguntas comienzan a cambiar.
- ¿Qué proveedor podría detener un proceso esencial?
- ¿Quién mantiene las estaciones de ingeniería?
- ¿Qué integradores conocen la lógica del proceso?
- ¿Qué fabricantes pueden modificar los PLCs o el SCADA?
- ¿Qué ocurriría si uno de ellos desapareciera mañana?
- ¿Qué capacidad tenemos para sustituirlo?
SG2CI incorpora la cadena de suministro dentro del sistema de gestión
SG2CI proporciona para este cuarto paso tres dominios estrechamente relacionados.
D8. Gobierno y confianza en la cadena de suministro, donde se establecen los criterios para seleccionar, clasificar y supervisar a los proveedores que participan en la operación industrial.
D9. Gestión de capacidades y desempeño de proveedores, cuyo objetivo consiste en evaluar periódicamente las capacidades técnicas, organizativas y de ciberseguridad de aquellos terceros cuya actividad puede afectar a los procesos esenciales.
D10. Colaboración con organismos públicos y privados, porque la resiliencia industrial ya no depende únicamente de la propia organización, sino también de la capacidad para compartir información, coordinar actuaciones y aprender conjuntamente del resto del ecosistema industrial.
De esta forma, la cadena de suministro deja de gestionarse únicamente mediante contratos para convertirse en una capacidad permanente de gestión del riesgo.
El Catálogo CCI para evaluar capacidades del ecosistema industrial
Para facilitar este trabajo, SG2CI incorpora el Catálogo CCI. Su objetivo no consiste únicamente en localizar fabricantes, integradores o soluciones de ciberseguridad industrial, permite también una visión estructurada de las capacidades de ciberseguridad del ecosistema tecnológico que rodea a la organización.
Gracias a ello es posible identificar proveedores especializados, conocer sus capacidades, comparar alternativas y disponer de criterios objetivos para apoyar decisiones relacionadas con la continuidad operativa y la resiliencia.
Porque gestionar la cadena de suministro no consiste únicamente en comprar mejor, sino también en reducir las dependencias críticas antes de que se conviertan en un problema.
¿Cómo saber si este cuarto paso está conseguido?
Al finalizar esta fase, la organización debería conocer con claridad qué proveedores son críticos para cada proceso esencial, qué nivel de dependencia existe respecto a cada uno de ellos, cómo se evalúan sus capacidades de ciberseguridad y qué medidas se han previsto para reducir el riesgo cuando esa dependencia resulte excesiva.
También debería ser capaz de demostrar que la gestión de proveedores forma parte del gobierno de la ciberseguridad industrial y no únicamente del proceso de compras. No se trata de desconfiar de los proveedores, se trata de comprender que la resiliencia de la organización dependerá, en gran medida, de la resiliencia del ecosistema del que forma parte.
Una reflexión final
Hace años las organizaciones protegían únicamente aquello que estaba dentro de su perímetro. Hoy ese perímetro prácticamente ha desaparecido.
Cada acceso remoto, cada actualización de software, cada servicio cloud, cada integrador y cada fabricante amplían el alcance real de la organización.
La resiliencia no se construye únicamente fortaleciendo la organización, sino también fortaleciendo las relaciones de confianza con todo el ecosistema industrial del que depende.
En el próximo post abordaremos el quinto paso del itinerario, donde analizaremos cómo medir objetivamente el nivel de madurez alcanzado, priorizar las inversiones y construir una hoja de ruta de mejora continua mediante MACIN.
