106 red seguridad segundo trimestre 2025 monográfico cadena de suministro Seguro que recuerdan el personaje llamado Alegría, de la película de Disney/ Pixar Inside Out (Del revés, en España, IntensaMente, en Latinoamérica). Entrañable, positiva y con la energía y grandes expectativas de un CISO que presenta su plan estratégico. Alegría quiere que todo salga bien y que su cliente (perdón, la niña Riley) esté alegre y feliz el cien por cien del tiempo. Y toma el mando de todo para conseguirlo. Sin embargo, por mucho que lo intenta, Alegría no puede controlar todas las emociones. Se esfuerza en planificar, imponer, corregir y excluir todo lo que no sea “positivo”, pero la realidad se impone. Descubre que necesita a Tristeza, a Miedo, a Asco y a Ira. Solo cuando deja de imponerse y empieza a colaborar, las cosas comienzan a funcionar mejor. En cierta forma, a Alegría le ocurre lo mismo que a muchas organizaciones con su cadena de suministro. Mitos y realidades Las empresas suelen hablar con soltura de “la cadena de suministro” como si fuera algo estructurado, lineal, estable. Casi elegante. Pero esa idea es sólo una simplificación. En realidad, cada empresa tiene su cadena de suministradores: única, caótica, dinámica, volátil, multinivel. Por ello, las organizaciones tienen problemas para progresar en el conocimiento (y control) de su cadena de suministros más allá de los proveedores directos. A partir de ese punto, se diluye su capacidad de control. Solo puede asumir que los mecanismos de control se están trasladando de nivel en nivel de suministradores, sea como requisito contractual o con otras herramientas. Pero cuando algún suministrador en nivel N no es diligente, se pierde visibilidad de los suministradores que dependen de él. Además, ocurre que los propios procesos de la organización incorporan servicios de terceros que no contratan, pero de los que dependen (como se descubrió con Mitre). Y también hay entidades en la propia organización que, deliberadamente o por error, contratan mediante procedimientos no esperados y quedan también fuera de la cadena. Todos estos elementos generan su shadow supply-chain, que existe, no se conoce y no se puede controlar preventivamente. Por ejemplo, ¿quién da soporte al software del proveedor de Recursos Humanos? ¿Dónde están alojados los backups? ¿Quién mantiene el módulo de firma electrónica? ¿Se podría considerar que el repartidor de zumos de la cafetería de enfrente de nuestras oficinas es una amenaza? No se sabe. No se puede saber. Intentar saberlo es costosísimo y, en mayor o menor medida, son parte de su cadena de suministro. En realidad, no estamos ante errores técnicos, sino ante deficiencias del modelo de cadena de suministro utilizado. No es posible controlar la cadena de suministro. Solo podemos gestionar su De cadenas a redes: reescribiendo la gestión de proveedores Mariano J. Benito Cybersecurity & Privacy Ambassador de GMV No es posible controlar la cadena de suministro, solo gestionar su riesgo y aceptar un nivel económicamente viable
RkJQdWJsaXNoZXIy MTI4MzQz