108 red seguridad segundo trimestre 2025 monográfico cadena de suministro riesgo y aceptar un nivel económicamente viable. Red de suministradores No solo se trata de la gestión interna. Las organizaciones no suelen valorar que tienen clientes y, por ello, forman parte de cadenas de suministro. Tantas cadenas como clientes tienen. Por ello, estos clientes (y a su vez, sus clientes) dependen de la organización y se benefician de las buenas y malas prácticas de ciberseguridad implantadas. Incluso, pudiera ocurrir que algunos de los clientes de una empresa sean también suministradores de la misma. Se establecen así relaciones circulares de dependencia entre las organizaciones que se comportan alternativamente como suministrador o cliente en distintos momentos. Y así, una organización puede tenerse a sí misma en su cadena de suministro. Muy loco todo, ¿verdad? ¿Cómo gestionarlo? Aquí es cuando fallan las estrategias de gestión top-down, tradicionalmente aplicadas en cadena de suministro, donde el cliente (top) impone condiciones hacia sus proveedores (down). Funcionan hasta que la organización se identifica dentro de las cadenas de varios clientes y debe aplicar simultáneamente varios modelos de controles. Es, como poco, muy complejo y costoso. Y se complica exponencialmente cuando se activan los mecanismos de verificación o auditoría. ¿Podría ocurrir que el cliente pidiera información a su cadena de suministro y, como consecuencia, tuviera que facilitar su propia información para satisfacer esta petición? Teóricamente, podría ocurrir. Pero suena demencial. Estos elementos apuntan a un fallo del modelo de cadena de suministro. La cadena de suministro no existe. Existe la red de suministro que alcanza a todo un mercado y donde cada actor puede identificar su cadena de suministro propia, con sus dependencias lineales y circulares. Respuestas efectivas En una red de suministro, el riesgo debe gestionarse conjuntamente en colaboración con el resto de actores, no mediante la imposición del cliente al suministrador. Sí, con la creación de relaciones de confianza entre los actores de la red, que colaboran con transparencia para mantener y fortalecer esta confianza. Las herramientas necesarias pueden ser variadas, pero deben partir de un fundamento común: el suministrador no debe ser visto como un peligro, un probable culpable de problemas de seguridad de la organización y sospechoso por defecto de ser una fuente de defectos, inseguridades y peligros. Un actor al que se le requiere que proporcione niveles de protección más elevados que los que dispone su cliente (situación más que frecuente), mientras que se le exige imperiosamente una reducción de costes y de precios (en ocasiones a costa de los recursos para la ciberseguridad del propio suministro que, por supuesto, no puede disminuir). Por el contrario, el suministrador va a participar en el proceso de su cliente y quizás sea más práctico asistirle, como también se asisten a las áreas de una organización con menor grado de madurez en ciberseguridad. Esta estrategia es posible y funciona. Necesita herramientas, marcos, tiempo y confianza. Con herramientas disponibles, algunas más evidentes y otras menos obvias, pero más necesarias. Se mejora la capacidad auditora, se puede generar y transmitir confianza en su cadena, se identifican y gestionan riesgos. El reto ya no es tener el control, sino conseguir confianza en un entorno incontrolable. Como le pasó a Alegría, la gestión de suministradores comienza a funciona al dejar de imponer y empezar a confiar.
RkJQdWJsaXNoZXIy MTI4MzQz