Por Claudio Martinelli, director general para Américas en Kaspersky
Las empresas llevan años aprendiendo a proteger sus propios sistemas. El problema es que hoy buena parte de sus riesgos ya no está dentro de la organización, sino en todo lo que la rodea: proveedores, plataformas, socios, servicios en la nube y terceros que hacen posible que el negocio funcione.
La globalización hizo que esa red creciera a una velocidad enorme. Una empresa puede diseñar en un país, producir en otro y apoyarse en tecnología desarrollada a miles de kilómetros. Eso trajo eficiencia, especialización y nuevas oportunidades, pero también creó una dependencia mucho más profunda entre organizaciones.
Y ahí está el reto: en ciberseguridad, un problema ajeno puede convertirse muy rápido en un problema propio. Una falla en un proveedor, una plataforma comprometida o un acceso mal protegido puede terminar afectando operaciones, datos y clientes. Por eso, hoy proteger la empresa también significa entender qué tan seguro es el ecosistema del que depende.
Un reciente estudio de Kaspersky confirma la dimensión del desafío: los ataques a la cadena de suministro fueron la principal amenaza que enfrentaron las empresas durante el último año. Las grandes organizaciones están particularmente expuestas por la amplitud de sus redes de proveedores, que muchas veces trascienden las fronteras de sus países y conectan sus operaciones con socios, servicios y tecnologías ubicados en distintas partes del mundo.
Esto plantea una pregunta que debería llegar hasta quienes toman las decisiones del negocio: ¿cuánto sabemos realmente sobre la seguridad de las empresas de las que depende nuestra operación? Elegir a un proveedor siempre ha requerido evaluar su experiencia, capacidad y solidez; hoy, esa evaluación también debe incluir qué tan preparado está para proteger los sistemas, la información y los procesos que compartimos con él.
Por ello, antes de iniciar una relación comercial, las organizaciones deben incorporar la ciberseguridad como uno de los criterios para elegir a sus proveedores, especialmente si les otorgará acceso a información, infraestructura o procesos críticos. Así como se evalúan precio, experiencia, capacidad operativa o estabilidad financiera, también necesitan saber cómo es que un socio potencial protege sus sistemas y datos y cómo responde ante vulnerabilidades.
Esta evaluación no debe quedarse únicamente en el proceso de selección, las responsabilidades también tienen que quedar claras en los contratos. Sin embargo, datos de Kaspersky muestran que solo 37% de las empresas incorpora requisitos de seguridad de TI en sus acuerdos con proveedores para reducir riesgos en la cadena de suministro.
Establecer estas condiciones permite definir desde el inicio cómo debe protegerse la información, qué medidas mínimas de seguridad deben mantenerse y, especialmente, qué debe ocurrir si se presenta un incidente. Cuando hay una crisis, saber quién debe informar, actuar y responder puede ahorrar un tiempo valioso.
Uno de los mayores errores sería pensar que un proveedor que hoy es seguro necesariamente seguirá siéndolo mañana pues las empresas cambian, sus sistemas evolucionan, incorporan nuevas tecnologías, contratan personal y trabajan, a su vez, con otros proveedores. Al mismo tiempo, las amenazas también evolucionan. Por eso, la seguridad de una relación comercial debe revisarse durante todo su ciclo de vida.
Aquí el principio es sencillo: confiar, pero mantener visibilidad. Esto implica supervisar de manera continua las conexiones con terceros, realizar evaluaciones periódicas y comprobar que los socios siguen cumpliendo los estándares acordados. Para relaciones particularmente críticas, las auditorías regulares pueden ayudar a descubrir vulnerabilidades antes de que se conviertan en incidentes.
También existe un componente humano que no debe subestimarse: una cadena de suministro conecta tecnologías, pero también personas, por ello, capacitar únicamente a los empleados propios deja una parte importante del riesgo sin atender. Compartir conocimientos, realizar ejercicios conjuntos y promover una cultura común de ciberseguridad con socios estratégicos puede fortalecer a todo el ecosistema. La lógica detrás de esto es simple: invertir en la seguridad de un socio también es invertir en la propia.
Esta cadena es como un condominio de casas: los que la habitan deben conocer su propia seguridad, así como sus proveedores, prestadores de servicios, contratistas, pues la protección depende de todos y puede verse comprometida por la vulnerabilidad de solo uno de los condóminos, por el eslabón más débil.
Otro momento que suele recibir menos atención es el final de una relación comercial. Un proveedor puede dejar de prestar servicios, pero conservar cuentas, permisos, conexiones o información que mantengan abiertas puertas hacia la organización. Por ello, el cierre de un contrato también debe contemplar la cancelación de accesos y conexiones, así como verificar que los datos corporativos hayan sido devueltos o eliminados y que no permanezcan copias innecesarias en sistemas de terceros. Cerrar correctamente una relación comercial no es solo una tarea administrativa; también es una decisión de seguridad.
Para los líderes empresariales, la conclusión es clara: la ciberseguridad ya no puede gestionarse únicamente dentro de las fronteras de la organización, pues una compañía puede invertir en tecnología, procesos y talento y, aun así, quedar expuesta por una vulnerabilidad en un tercero del que depende su operación. Por eso, la resiliencia también exige conocer esas dependencias, identificar cuáles son críticas y establecer responsabilidades y controles que permitan anticiparse y responder cuando algo cambia.
En un entorno global, proteger el ecosistema del que depende el negocio es también proteger su continuidad, reputación y capacidad de crecer. Para un C-level, esa es quizá la evolución más importante de la ciberseguridad: entender que ya no se trata solamente de proteger a la empresa de manera aislada, sino de fortalecer las conexiones que la mantienen funcionando. Porque en una economía donde ninguna empresa trabaja sola, la ciberseguridad tampoco puede hacerlo.
