Dado que la conectividad es la norma para las empresas y los datos están en todas partes, la seguridad de la cadena de suministro es un elemento crucial para garantizar una organización resiliente.
Sin embargo, mientras que la demanda de servicios siempre disponibles nunca había sido tan alta, las cadenas de suministro nunca han sido tan frágiles.
Mediante la adopción de buenas prácticas y el fomento de la cooperación de múltiples partes interesadas, las organizaciones pueden construir cadenas de suministro digitales más resilientes y seguras.
La transformación digital está revolucionando la industria, impulsando la innovación, agilizando las operaciones y elevando las expectativas de los clientes a nuevas cotas. Dado que las empresas son cada vez más digitales por defecto, con la conectividad como norma y los datos en todas partes, la seguridad de la cadena de suministro es un elemento crucial para garantizar una organización resiliente. Sin embargo, mientras que la demanda de servicios siempre disponibles nunca había sido tan alta, las cadenas de suministro nunca han sido tan frágiles.
Ha pasado el tiempo en que las cadenas de suministro eran simples y lineales. La red digital de suministro actual es un enredo hiperconectado — más parecido a un cajón lleno de cables anudados que a una cadena ordenada, en el que casi todas las organizaciones son a la vez proveedoras y consumidoras de un producto o servicio. Si fuera una cadena, estaría rota en varios puntos.
¿Por qué es tan difícil corregir la seguridad de la cadena de suministro?
Hay varias razones por las que proteger la cadena de suministro es tan complicado, y la complejidad y la diversidad de los actores agravan el desafío.
Sobrecarga de evaluación: Evaluar la seguridad de cada proveedor (o de uno mismo como proveedor) es difícil. La mayoría de las organizaciones carecen de los recursos necesarios para responder a cuestionarios de seguridad personalizados para cada cliente.
Incentivos desalineados: Los proveedores rara vez consideran la seguridad como una ventaja de mercado. Los clientes presionan para obtener costes más bajos, no una mejor seguridad. Los fundamentos de la seguridad, como la aplicación de parches y la gestión de accesos, no impulsan las ventas de la misma manera que una nueva función de IA (y eso suele ser más fácil de hacer).
Falta de injunción: Los consumidores rara vez exigen una seguridad robusta, hasta que se produce una brecha. Para entonces, es demasiado tarde.
¿Cómo aborda el Foro los desafíos globales de ciberseguridad?
El Centro para la Ciberseguridad ofrece una plataforma de confianza donde los líderes se reúnen para comprender los riesgos cibernéticos en evolución y sus implicaciones sistémicas. Se centra en generar comprensión y confianza en un mundo digital cada vez más interconectado.
Mediante la colaboración intersectorial y el intercambio de conocimientos, el Centro ayuda a sus socios a reforzar la ciberresiliencia y a abordar desafíos que requieren respuestas colectivas.
Presentación de la cadena de demanda
En pocas palabras, la gestión de la cadena de suministro es difícil y los incentivos del mercado están rotos. Pero como consumidor, usted no está indefenso. Toda cadena de suministro tiene una cadena de demanda correspondiente: la red de usuarios que consumen la cadena de suministro. En teoría, la oferta sigue a la demanda, como el principio básico de la economía. Así, si la demanda aumenta, la oferta se ajustará en consecuencia. Si la demanda disminuye, la oferta se reduce. Y cuando la demanda supera a la oferta, ¿qué ocurre? Los precios suben.
Pero en la seguridad de la cadena de suministro, este principio parece fallar, incluso cuando los clientes quieren una mejor seguridad. ¿Por qué?
¿Cómo podemos corregir la cadena de demanda?
La cadena de suministro ya es compleja y frágil, pero la cadena de demanda podría reforzarla si existen alineación, colaboración y requisitos sólidos para la cadena de suministro. Sin embargo, antes hay que abordar algunas cuestiones:
El coste manda, no la seguridad, y todos esperan que sea otro quien pague la factura: Los proveedores suministran lo que pide el mercado, mientras que los demandantes priorizan el coste y las funciones, no la seguridad, al elegir proveedores. A menudo, los demandantes o bien dan por sentado un nivel básico o, y este es un problema más difícil de resolver, no incluyen la postura de seguridad de una organización como criterio clave para evaluar a un proveedor. Esto no es un desprecio deliberado hacia la seguridad; se debe a la presión empresarial y, como el impacto no es inmediato, las organizaciones no creen que sea un problema o suponen que alguien más ya asumió el riesgo o la responsabilidad de cualquier posible deficiencia de seguridad.
La evaluación coherente de proveedores se nos resiste; necesitamos definir una referencia común: Los demandantes no evalúan a los proveedores de manera coherente. Adoptan enfoques similares pero diferentes, no estandarizados, para evaluarlos. Aunque puede haber bastante coincidencia, no existen requisitos de seguridad colectivos, un conjunto de referencia mínimo ni una metodología común de evaluación. En esfuerzos duplicados, aunque existan múltiples requisitos similares, cada demandante realiza su propio trabajo para verificar a un proveedor. Este trabajo tedioso y redundante podría abordarse, al menos en parte, con una norma técnica consensuada, pero el ecosistema parece poco dispuesto a colaborar o incapaz de encontrar un punto de referencia común. Podría ser más eficaz si se abordara sector por sector, pero la fragmentación dificulta las cosas. Los guardianes digitales y las plataformas dominantes también podrían asumir el papel de elevar la referencia básica de higiene, pero corren el riesgo de incurrir en conductas anticompetitivas y en acusaciones de abuso.
La evaluación dinámica de proveedores también se nos resiste; debemos encontrar una forma sistémica común de lograrla con poco esfuerzo: Los demandantes no han encontrado la manera de reflejar que la ciberseguridad es dinámica. La supervisión minuto a minuto del estado de un proveedor es excesiva, pero los cuestionarios anuales no transmiten el estado actual y cambiante de la seguridad en una organización. Las listas de materiales de software (SBOM) y VEX son un primer paso para automatizar y comprender el riesgo y la exposición de forma coherente, pero una cadena de suministro es más que el software suministrado. Una evaluación más frecuente de los proveedores podría dar lugar a una falta de profundidad en cada evaluación o requerir más personal, a menos que gran parte de la evaluación se automatice o estandarice para permitir su repetición y actualización periódica.
Las pymes son demasiado pequeñas para influir por sí solas, y el impacto en el ecosistema requiere escala: Las pymes no tienen poder de compra para exigir una mejor seguridad. Deben elegir entre lo que solicitan las organizaciones más grandes, lo que puede no ajustarse a sus necesidades. Para las pymes es difícil unirse y exponer sus requisitos. Los gobiernos pueden impulsar el mercado con sus propios contratos para garantizar que las capacidades sencillas estén disponibles de forma inmediata para las pymes con limitaciones técnicas, pero este es un enfoque fragmentario que no ofrece resultados coherentes para las pymes.
La retroalimentación parece opcional; necesitamos un ciclo de retroalimentación transparente y coherente: Los demandantes no retroalimentan a sus proveedores para influir en sus prioridades de seguridad y hojas de ruta. Si sus políticas internas exigen la autenticación multifactor (MFA), puede trasladar esta exigencia a su proveedor en el momento de la contratación. Esto empieza a configurar la dinámica del mercado: ahora existe una fuente de ingresos asociada a la implantación de la MFA para ese proveedor. Esto puede crecer rápidamente, pero siempre existe el riesgo de que el proveedor considere que los ingresos no compensan el coste.
Llamamiento a una acción holística, basada en el riesgo y colaborativa
Como consumidoras, las organizaciones a menudo se resignan a que la seguridad de su cadena de suministro sea «simplemente así». Pueden emprender un esfuerzo intensivo para corregir ciertos aspectos, pero el problema suele parecer demasiado grande, demasiado costoso y demasiado difícil para abordarlo en solitario. El esfuerzo colectivo parece la solución obvia, pero la coordinación también es difícil y no existe una estandarización. El ecosistema está inactivo.
Cuando un mercado no logra buenos resultados en materia de seguridad, puede «corregirse» mediante la oferta, la demanda o la configuración de la dinámica del mercado a través de iniciativas regulatorias. Cada una de estas soluciones tiene sus propios problemas (no es necesario mencionar el entramado existente de regulaciones y dinámicas de mercado), especialmente si se centra demasiado en el producto final o en marcar casillas, en lugar de en los procesos y los verdaderos impulsores del cambio. Sin embargo, crear un enfoque estandarizado de evaluación, aprovechar el poder de compra para obtener mejores resultados o una regulación bien elaborada son incentivos —tangibles e intangibles— para hacer algo diferente, algo mejor.
¿Cuál es lo más pequeño que podemos hacer, como comunidad de seguridad, para crear una higiene básica en torno a la seguridad de nuestra cadena de suministro? ¿Cuáles son los criterios que los demandantes deberían incluir en su proceso de reflexión al elegir e interactuar con los proveedores?
A medida que las empresas avanzan hacia operaciones más digitales, la seguridad de la cadena de suministro cobra más importancia y se vuelve más difícil. Afrontar estos desafíos requiere un enfoque holístico, basado en el riesgo y colaborativo.
Para avanzar en estas áreas de investigación y en estas cuestiones, la iniciativa Cyber Resilience in Industries reúne a las principales partes interesadas con cadenas de suministro de todas las formas y tamaños. Mediante la adopción de buenas prácticas y el fomento de la cooperación de múltiples partes interesadas, las organizaciones pueden construir cadenas de suministro digitales más resilientes y seguras.
Lea el último informe del Foro Económico Mundial: Brújula de la ciberresiliencia: trayectorias hacia la resiliencia
