102 red seguridad segundo trimestre 2025 monográfico cadena de suministro pero que no hay soluciones universales y cada caso es diferente. Al final, es una cuestión de nivel. Volvamos a los datos. Es cierto que la conciencia sobre el riesgo de terceros ha ido creciendo y, por un lado, se ve un aumento en el grado de supervisión anual de proveedores (55,3%) y una disminución en las organizaciones que no los evalúan en absoluto (7%). Por otro lado, hay también una mejora en los mecanismos de evaluación usados, pasando de utilizar mayoritariamente el cuestionario de autoevaluación como mecanismo favorito a otra situación en la que los cuestionarios se han emparejado con las evaluaciones documentales y con las auditorías/certificaciones de terceros. En este sentido, se ve que los procesos de gestión de riesgo de terceros aumentan su nivel de madurez, ampliando los mecanismos utilizados, a la par que decrece la confianza que se deposita en las certificaciones de sistemas de gestión (en un 28,7%, que supone el mínimo de la serie). Pero esta situación, desde mi punto de vista, tiene todavía mucho margen de mejora, porque los cuestionarios de autoevaluación no garantizan la veracidad de las respuestas, las auditorías propias son costosas y difíciles de reutilizar (lo que potencia la fatiga auditora) y las certificaciones solo indican el cumplimiento de requisitos mínimos estáticos. Ante esto, la calificación de ciberseguridad, o rating, emerge como una buena solución, aportando una visión más ágil, eficiente y objetiva del estado de la seguridad, y porque sus resultados son comparables y proporcionan información comprensible que se puede compartir con la dirección. Aunque no es recomendable para todos ni para todos los casos. El rating ofrece información de nivel… de nivel de riesgo y de nivel de cumplimiento con los requisitos de la norma con la que esté mapeada. No es de extrañar que su uso haya aumentado un 55 por ciento, aunque no todas las calificaciones son iguales. A la hora de clasificarlas, a grosso modo las hay de dos tipos: Las que se hacen desde fuera, que para elaborar su calificación utilizan información pública disponible y análisis perimetrales. Las que se hacen desde dentro, que auditan los procedimientos y medidas de seguridad de una organización, a menudo in situ, y comparten los resultados. Ambas opciones aportan objetividad, monitorización continua y mayor eficiencia, pues están basadas en el principio de “evaluar una vez, utilizar múltiples veces”. Pero las que se realizan desde dentro aportan, además, una visión exhaustiva y verificada de las capacidades de seguridad del proveedor al implicar una revisión in situ de las medidas implementadas, identificación de aspectos de mejora que sirven tanto al usuario como al proveedor para adoptar una mejora continua y, quizá el aspecto más interesante, un incentivo natural para el incremento de los niveles de ciberseguridad gracias a la transparencia que aportan. Esta transparencia del nivel de ciberseguridad incentiva a las organizaciones a mejorar su situación, ya que se convierte en un factor de negocio más. A diferencia de los sistemas que solo buscan el cumplimiento de requisitos mínimos, los ratings incentivan la mejora continua. Conversación de nivel Para concluir, me permito hacerlo con una pregunta: en un contexto en el que la ciberseguridad en la empresa española se enfrenta a un escenario donde la cadena de suministro es uno de los puntos de mayor vulnerabilidad, con casi la mitad de los ciberataques originándose en proveedores, en el que la regulación europea de ciberseguridad no solo eleva los estándares de ciberseguridad y resiliencia operativa, sino que impone una responsabilidad indelegable a la alta dirección, y estableciendo que los métodos tradicionales de evaluación de terceros son ineficientes… ¿Estás esperando a que ocurra una brecha de seguridad en alguno de tus proveedores para tener una conversación de nivel con ellos?
RkJQdWJsaXNoZXIy MTI4MzQz