El número de vulneraciones de datos vinculadas a integraciones de terceros aumentó considerablemente en 2023, lo que afectó significativamente a las organizaciones debido a la naturaleza interconectada de los entornos SaaS (software como servicio) modernos.
Las organizaciones deben adoptar estrategias integrales de seguridad SaaS, que incluyan una sólida seguridad de identidad, gestión de configuraciones y auditoría de integraciones, para mitigar vulnerabilidades y brechas de datos.
La integración de la IA y la adopción de aplicaciones SaaS hacen que las sólidas prácticas de gestión de riesgos de terceros sean fundamentales para proteger los datos y las aplicaciones empresariales críticos.
El año 2023 cerró como otro récord en cuanto al número de vulneraciones de datos a las que se enfrentan las organizaciones. En el último año, el 41% de las organizaciones que sufrieron un incidente material afirma que un tercero lo causó. En Estados Unidos, más de un millar de entidades se vieron afectadas debido a un ataque exitoso contra solo 87 organizaciones, lo que pone de relieve el nivel de riesgo cibernético que hoy generan los terceros.
Si bien la mayoría de las organizaciones es muy consciente del riesgo que representan los terceros, la gestión de riesgos de terceros se centra en evaluar las posturas de ciberseguridad o la higiene cibernética sin el contexto adicional de cómo están conectados estos terceros con la organización, es decir, cómo es la cadena de suministro cibernética.
La infraestructura distribuida moderna, que depende en gran medida del uso de software como servicio (SaaS), genera infinitas nuevas oportunidades de acceso no supervisado a datos y procesos corporativos. Para explotar los entornos en la nube, los adversarios aprovechan configuraciones incorrectas, errores humanos, ingeniería social, robo de credenciales y otros métodos de ataque para comprometer datos y aplicaciones empresariales críticos.
Las aplicaciones SaaS han descentralizado la adquisición de TI, ya que cada unidad de negocio adopta sus propias herramientas de productividad, lo que ha provocado una explosión de administradores de aplicaciones ajenos a los equipos de TI y de seguridad. Estas aplicaciones SaaS cuentan con un conjunto único de funciones de seguridad que deben configurarse de forma independiente, lo que las hace propensas a errores humanos y da lugar a configuraciones incorrectas, lo que crea una vulnerabilidad masiva para la organización.
A medida que más aplicaciones participan en flujos de trabajo con datos sensibles y se integran con aplicaciones empresariales críticas, aumenta la probabilidad de una vulneración de datos.
Protección ante la automatización acelerada por la IA
Además del aumento de las brechas de seguridad de terceros, 2023 puso la inteligencia artificial (IA) en el centro de la atención en materia de innovación. Durante décadas, la innovación en IA y aprendizaje automático se ha centrado en automatizar procesos para aumentar la productividad, una tecnología que depende de la integración de terceros en software y tecnologías.
En 2024 seguirá en primer plano el beneficio de incorporar la IA a la fuerza laboral moderna, un beneficio que acelerará y aumentará las vulnerabilidades de terceros que ya se explotan hoy.
Es de suma importancia que las organizaciones se centren en establecer una sólida seguridad SaaS para contener el riesgo de terceros antes de incorporar aún más el beneficio de la IA a la organización.
Recomendación 1: Conozca sus activos
La adopción de aplicaciones SaaS ha aumentado rápidamente un 41% en los últimos dos años, y se ha convertido en la principal preocupación de vulnerabilidad para los directores de información y de seguridad. Las brechas y configuraciones incorrectas en aplicaciones como Okta, Circle CI, Salesforce y Google Workspace evidencian los desafíos a los que se enfrentan las organizaciones, desde las aplicaciones SaaS empresariales hasta las de seguridad.
Por ejemplo, el ataque a Okta afectó al 100% de su base de clientes, lo que indica que, en cuanto a las brechas de terceros basadas en SaaS, una sola puede tener un efecto dominó en miles de organizaciones.
Con demasiada frecuencia, las organizaciones dan por hecho que soluciones como la autenticación multifactor, desarrollada para gestionar activos nativos de la nube, están completamente implementadas. Sin embargo, cada organización tiene al menos un 1% de sus cuentas SaaS sin protección de autenticación multifactor, lo que genera riesgos activos.
Si bien esto puede parecer un riesgo menor, el ataque de relleno de credenciales contra Drizly puso de manifiesto que basta una sola cuenta con autenticación débil para provocar una brecha importante. Además, las aplicaciones SaaS han evolucionado hasta convertirse en plataformas que almacenan y comparten datos de la empresa, lo que aumenta su susceptibilidad a exposiciones de datos causadas por errores humanos.
La naturaleza distribuida de la adquisición de SaaS significa que, más que nunca, las organizaciones deben tener una buena comprensión de cuáles son sus activos SaaS, quién los gestiona y qué información almacenan, para gestionar adecuadamente su seguridad.
Recomendación 2: Gestione y supervise las configuraciones
Las aplicaciones SaaS suelen ofrecer una gran cantidad de opciones de configuración. Muchas configuraciones de seguridad no están activadas por defecto, por lo que los administradores de aplicaciones son responsables de configurar correctamente la seguridad. Como estos administradores se encuentran fuera de la unidad de negocio de TI, muchos crean involuntariamente riesgos de exposición de datos a través de una seguridad de acceso débil.
La naturaleza descentralizada de la adquisición de aplicaciones SaaS significa que las áreas de TI y de seguridad no siempre conocen con antelación el despliegue de nuevas aplicaciones, lo que dificulta detectar los riesgos de configuración creados dentro de la organización.
Es fundamental que las organizaciones tengan un inventario completo de sus aplicaciones SaaS y supervisen periódicamente las configuraciones de seguridad, tanto para garantizar el cumplimiento adecuado de la política de seguridad como para mitigar los cambios en las configuraciones a lo largo del tiempo que puedan hacer las aplicaciones menos seguras.
Recomendación 3: Inventariar y auditar las integraciones
Una de las ventajas de las aplicaciones SaaS es la integración plug-and-play y de bajo código o sin código; lo mismo que crea una interoperabilidad de servicios sin fricciones también genera nuevas exposiciones a vulnerabilidades.
Una ventaja clave de los productos SaaS es su capacidad para conectarse con otras aplicaciones mediante integraciones, con el fin de consolidar y simplificar el acceso a los datos y la funcionalidad de las aplicaciones. Sin embargo, esta misma funcionalidad que permite la interoperabilidad genera vulnerabilidades al introducir un auténtico «revoltijo» de puntos de entrada en aplicaciones que albergan datos empresariales y de clientes críticos.
En promedio, las plataformas SaaS tienen cientos de integraciones disponibles que establecen un enlace autorizado entre múltiples plataformas. Una organización típica tiene más de un 50% de integraciones inactivas. Estas integraciones crean una vía autorizada para que los atacantes accedan sigilosamente a aplicaciones SaaS críticas, lo que puede dar lugar a un compromiso más amplio. Además, las organizaciones tienen un promedio de 21 integraciones con acceso a nivel de toda la organización, lo que abre una vía global para un compromiso sistémico.
Muchas de las integraciones inactivas en las organizaciones provienen de restos de antiguos proveedores y de pruebas de concepto que ya no se utilizan, lo que genera un riesgo oculto. Para minimizar este riesgo, las organizaciones deben supervisar activamente dónde se crean las integraciones de terceros entre aplicaciones y el nivel de acceso que tienen. Las auditorías periódicas de las aplicaciones SaaS también deben exigir la rotación de secretos y tokens de autenticación para minimizar, con el tiempo, el riesgo de robo de credenciales.
Al comprender, gestionar y auditar proactivamente los activos SaaS, sus configuraciones e integraciones, las organizaciones pueden fortalecer sus defensas frente a los riesgos de terceros y proteger los datos críticos en el ecosistema digital moderno.
