98 red seguridad segundo trimestre 2025 monográfico cadena de suministro En el ránking de ciberamenazas emergentes hasta 2030 publicado por ENISA (Agencia Europea de Ciberseguridad), el compromiso de la cadena de suministro de software ocupa el primer lugar. Sabotajes, intrusiones, espionaje… son riesgos derivados de la falta de seguridad en el desarrollo de soluciones informáticas. Estas amenazas se multiplican en un contexto de tensiones geopolíticas y dependencia tecnológica. ¿Cómo responder? Vulnerabilidades Los ataques a la cadena de suministro aprovechan las vulnerabilidades de los sistemas, procesos o herramientas que vinculan a un proveedor o subcontratista con una organización objetiva. Los atacantes suelen dirigirse a la entidad menos segura, por lo que se trata de un ciberataque especialmente devastador y sofisticado. Estos ataques también pueden ser utilizados por actores estatales o paraestatales para afectar a industrias más globales. En la cadena de suministro de software, la creciente dependencia de componentes de terceros (no rastreados o indirectos), como el código fuente abierto, es uno de los principales riesgos de acceso no autorizado y robo de datos. De hecho, el informe 2024 Open Source Security and Risk Analysis Report de Synopsys analiza 1.000 bases de código abierto comerciales de 17 sectores empresariales, revelando una situación preocupante: casi la mitad de ellas no han visto ninguna actividad de desarrollo durante al menos 24 meses. Y lo que es aún más alarmante, el 91 por ciento de estas bases de código incluyen componentes obsoletos, con un retraso de, al menos, 10 versiones respecto a las versiones más recientes disponibles. Estos fallos y la falta de parches pueden ser explotados por ciberdelincuentes y gobiernos extranjeros, comprometiendo la seguridad de los proveedores de software y de sus usuarios. El ataque a SolarWinds en 2020 es un ejemplo paradigmático de este tipo de ciberamenazas. En aquel momento, los atacantes infiltraron malware en las actualizaciones oficiales del software de gestión de redes Orion, lo que permitió una operación de espionaje a gran escala y la exfiltración de datos sensibles. Alrededor de 18.000 clientes, entre ellos agencias gubernamentales estadounidenses y empresas estratégicas, se vieron afectados. Ante estos riesgos, las organizaciones deben replantearse y consolidar su cadena de suministro de software, una parte muy estratégica de su entorno informático. Cartografía de riesgos En primer lugar, poniendo en marcha una verdadera cartografía de los riesgos de sus proveedores. En el contexto actual, es esencial visualizar la exposición geopolítica de sus socios más críticos, la localización de sus datos y su conformidad con la normativa vigente. A escala europea, esta cartografía es una de las recomendaciones de la Directiva NIS2 (y del reglamento DORA para el sector financiero) con el objetivo de reforzar la ciberresiliencia del mayor número posible de empresas y autoridades públicas. Una mejor evaluación de los riesgos implica una mejor preparación ante posibles ataques o crisis, con la introducción de planes de continuidad de negocio y de recuperación ante desastres (Plan de Continuidad de Negocios y Plan de Recuperación de Desastres), en particular. Proveedores de confianza Además, a las organizaciones les interesa confiar en proveedores de software de confianza con certificaciones o etiquetas reconocidas. En Europa, certificaciones de seguridad como LINReinventar las cadenas de suministro frente a las tensiones geopolíticas Gabriel Guevara Country Manager en España y Latam de Tixeo
RkJQdWJsaXNoZXIy MTI4MzQz