En una sociedad tecnológicamente dependiente e interconectada, gestionar el ciberriesgo dentro de las cadenas de suministro globales es fundamental.
Los incentivos de mercado desalineados, la desigualdad de riesgos y la visibilidad limitada en las cadenas de suministro exigen nuevos principios para reforzar la resiliencia del ecosistema.
Estos tres nuevos principios deben fomentar la integración, aprovechar la tecnología avanzada y ser adaptativos y proactivos.
Las organizaciones de todo el mundo se ven cada vez más afectadas por ciberincidentes que se producen en organizaciones socias. El número de ciberincidentes en las cadenas de suministro está aumentando, al igual que la magnitud de su impacto.
Las grandes organizaciones se enfrentan a una 25 % de probabilidad de sufrir un ciberataque con un coste medio de remediación de 4,9 millones de dólares. Según el Informe de Verizon «Data Breach Investigations Report 2024», el número de ciberincidentes que implican vulnerabilidades de software aumentó en 2023 un 180 % interanual; el 15 % de ellos involucró a un proveedor externo.
Las consecuencias no deseadas, ascendentes y descendentes, que afectan a la sociedad son aún más preocupantes. Un grupo de riesgo de este tipo podría acabar alcanzando los límites de lo que los ciberriesgos pueden asegurarse. Por desgracia, solo el 27 % de las cadenas de suministro son supervisadas y evaluadas periódicamente por sus clientes.
Los enfoques existentes para abordar estos desafíos son insuficientes. Frente a la limitada visibilidad en las cadenas de suministro, la desigualdad de riesgos de seguridad entre organizaciones y los incentivos de mercado desalineados, las carencias en la gestión de los ciberriesgos en las cadenas de suministro son inevitables. Esto provoca una evaluación inadecuada del ciberriesgo en la cadena de suministro y una comunicación y cooperación deficientes entre organizaciones, con consecuencias graves.
Una caída global de TI en julio de 2024 fue un ciberincidente involuntario en la cadena de suministro causado por CrowdStrike, que provocó que 8,5 millones de sistemas se bloquearan en miles de organizaciones de todo el mundo. Esto se debió a una única actualización defectuosa del contenido de una base de datos, lo que generó pérdidas sociales globales superiores a 10.000 millones de dólares. Una versión deliberadamente diseñada de un incidente así podría haber sido mucho peor.
Sin embargo, tras esta caída global de TI, el debate en el mercado apenas aborda la gestión de los ciberriesgos en las cadenas de suministro. El foco se centra sobre todo en debates tácticos sobre los aspectos técnicos de este incidente concreto, así como en acusaciones especulativas entre organizaciones sobre quién debería rendir cuentas por las pérdidas.
Como otro ejemplo, Change Healthcare procesa casi el 40 % de las 15.000 millones de reclamaciones médicas realizadas en EE. UU. Un ataque a Change Healthcare en febrero de 2024 provocó una acumulación de reclamaciones sin pagar, colocando a consultas médicas y hospitales en una situación urgente de flujo de caja y limitando el acceso de los pacientes a la atención sanitaria. Además, los datos sanitarios sensibles de millones de personas se filtraron a la dark web, con un coste de United Healthgroup 2.500 millones de dólares en recuperación, todo ello a partir de un único punto de fallo.
La sociedad ya ha sufrido muchas brechas de seguridad globales significativas e impactantes en las cadenas de suministro, entre ellas el ataque de Not Petya a Maersk, el ataque Sunburst a SolarWinds, el ciberataque a MOVEit y la campaña contra la cadena de suministro de Okta. Sin embargo, lo peor podría estar aún por llegar: muchos directivos prevén un evento cibernético catastrófico en los próximos años.
Dado el impacto social, es necesaria una mejor gestión del ciberriesgo en la cadena de suministro. Mediante legislación (por ejemplo, como la NIS2 en la UE y las normas de ciberseguridad de la SEC en EE. UU.), a los consejos de administración de las organizaciones se les ha encomendado la tarea de gestionar estos riesgos. No obstante, existen capacidades limitadas para evaluar el conjunto de dependencias digitales globales entre organizaciones y, por tanto, las implicaciones de riesgo y resiliencia de dichas dependencias. El aumento de las brechas en la cadena de suministro puede provocar una erosión de la confianza y, en última instancia, obstaculizar los esfuerzos de digitalización.
Establecer un marco sólido
En mayo de 2024, MIT CAMS, en colaboración con la Agentur für Innovation in der Cybersicherheit GmbH (Cyberagentur), del Gobierno alemán, organizó en el MIT un taller clave destinado a establecer un marco más sólido para gestionar el ciberriesgo y mejorar la ciberresiliencia dentro de las cadenas de suministro. Este taller reunió a un grupo diverso de líderes de opinión, entre ellos directores de seguridad de la información, expertos en ciberseguros, directivos de empresas tecnológicas, reguladores, analistas de mercado y académicos.
Los debates se clasificaron en estas tres áreas de interés:
1. Reforzar la gobernanza, la supervisión y la colaboración
Subrayar la importancia de estructuras de gobernanza cohesionadas y de esfuerzos colaborativos entre las partes interesadas para garantizar una supervisión integral y una gestión eficaz de los ciberriesgos.
2. Fomentar la ciberresiliencia sistémica
Promover estrategias y prácticas que mejoren la resiliencia general de las cadenas de suministro frente a las ciberamenazas, garantizando que puedan resistir las interrupciones y recuperarse de ellas.
3. Avanzar en las evaluaciones y mitigaciones de riesgos
Desarrollar metodologías sofisticadas de evaluación de riesgos y estrategias de mitigación para identificar de forma proactiva y abordar las posibles vulnerabilidades dentro de las cadenas de suministro.
¿Cómo aborda el Foro los desafíos globales de ciberseguridad?
El Centro para la Ciberseguridad ofrece una plataforma de confianza en la que los líderes se reúnen para comprender los ciberriesgos cambiantes y sus implicaciones sistémicas. Se centra en generar comprensión y confianza en un mundo digital cada vez más interconectado.
Gracias a la colaboración intersectorial y al intercambio de conocimientos, el Centro ayuda a sus socios a reforzar la ciberresiliencia y a abordar los desafíos que requieren respuestas colectivas.
3 principios para afrontar los riesgos de las cadenas de suministro globales
De estos debates surgieron tres principios clave, considerados esenciales para que las organizaciones gestionen con eficacia el ciberriesgo y la resiliencia de la cadena de suministro:
1. Fomentar la integración
Integrar la resiliencia dentro de la cadena de suministro y en profundidad en los procesos y la cultura organizativa de las distintas organizaciones colaboradoras, garantizando que se convierta en un aspecto fundamental de la toma de decisiones operativas y estratégicas.
2. Aprovechar las tecnologías avanzadas
Utilizar tecnologías de vanguardia para reforzar las defensas cibernéticas, agilizar la evaluación de riesgos y mejorar la resiliencia general.
3. Ser adaptativos y proactivos
Cultivar una mentalidad organizativa flexible y con visión de futuro, que permita adaptarse rápidamente a las ciberamenazas cambiantes y adoptar medidas proactivas para mitigar los riesgos.
Estos principios son fundamentales en las tres áreas de interés y ofrecen un enfoque integral para gestionar el ciberriesgo y reforzar la resiliencia de las cadenas de suministro.
3 formas de limitar el riesgo en la cadena de suministro global
Para reducir el ciberriesgo y reforzar la ciberresiliencia en las cadenas de suministro, las empresas deberían:
1. Fomentar la integración para la colaboración
Dado que las organizaciones están integradas en una cadena de suministro, los recursos colectivos, los conocimientos y la experiencia de toda la cadena de suministro superan las capacidades de cada organización por separado, lo que permite la coopetición. La coopetición permite a los competidores colaborar en ámbitos específicos, como la ciberresiliencia. Por ejemplo, podrían compartir información relevante sobre amenazas y mejores prácticas, realizar ejercicios cibernéticos conjuntos dentro de una cadena de valor o sector, ayudarse mutuamente en la mitigación del ciberriesgo y fomentar la colaboración para reforzar la continuidad del negocio y la recuperación ante desastres.
Asimismo, las grandes empresas pueden desempeñar un papel clave para reducir la desigualdad en materia de seguridad. Dicho papel puede ir mucho más allá de los gestos habituales de ofrecer asesoramiento sobre implementación o formación en concienciación. Las pequeñas y medianas empresas carecen a menudo de los recursos y fondos necesarios para adquirir determinadas capacidades de seguridad esenciales. Considerar el despliegue y la dotación de determinadas capacidades de seguridad a nivel de cadena de suministro, en lugar del nivel de cada organización individual, favorece la accesibilidad, aumenta las economías de escala y refuerza la resiliencia de la cadena de suministro. Esta colaboración afecta a los niveles operativo, táctico y estratégico de las organizaciones que cooperan.
2. Aprovechar las tecnologías avanzadas para reforzar la medición y la gestión del ciberriesgo
Las soluciones tecnológicas emergentes con altos niveles de potencia de cálculo, tecnología en la nube e inteligencia artificial permiten captar la estructura sistémica y el contexto complejo de las cadenas de suministro y distribuirlos de forma eficaz entre los participantes. Por ejemplo, los entornos empresariales e industriales con múltiples componentes independientes ahora pueden cuantificarse y optimizarse desde una perspectiva de resiliencia.
Un reciente análisis del ciberriesgo realizado en el MIT a partir de datos de más de 40.000 empresas estableció empíricamente que los factores de la cadena de suministro son importantes impulsores del ciberriesgo, mejorando de forma significativa indicadores como las puntuaciones de seguridad desde el exterior. Los algoritmos basados en datos que siguen la teoría de grafos pueden identificar los elementos críticos de la cadena de suministro que amenazan la resiliencia, para priorizar recursos y esfuerzos destinados a reforzarla.
Asvin Labs demostró en su investigación que el aprendizaje federado puede aumentar significativamente los conocimientos de ciberseguridad individuales de una organización y, al mismo tiempo, reforzar la visión general del ecosistema. La agregación de datos en modelos de IA compartidos y entrenados colectivamente es clave en este punto. Los enfoques de cuantificación del ciberriesgo ampliamente aceptados pueden adaptarse con facilidad a entornos complejos en los que coexisten tecnologías de la información y tecnologías operativas. Sin duda, los avances en IA serán esenciales para cambiar la carrera armamentística en ciberseguridad
y permitir una mejor toma de decisiones y mejores oportunidades defensivas.
3. Ser adaptativos y proactivos frente a las ciberamenazas
La adaptabilidad y la proactividad afectan al diseño arquitectónico y a la supervisión de las cadenas de suministro. La resiliencia requiere una resistencia integrada y un pensamiento de sistemas de sistemas en un diseño arquitectónico adaptativo de la cadena de suministro para absorber el impacto de un ciberataque. Este diseño incorpora redundancia, creada mediante capacidad duplicada y amortiguadores que compensan las carencias, así como diversidad, ya que la heterogeneidad de personas, procesos y sistemas limita la propagación de determinados ciberataques. Asimismo, debe incluir modularidad, de modo que los sistemas comprometidos puedan aislarse, limitando su impacto en la cadena de suministro en su conjunto.
La supervisión que contribuye a la resiliencia requiere una sólida previsión directiva. La previsión directiva es la capacidad de anticipar el futuro o explorar posibles estados futuros de los indicadores de rendimiento relevantes para el entorno empresarial, con el fin de adelantarse y actuar en consecuencia. La previsión directiva puede mejorarse mediante técnicas asistidas por simulación. Estas técnicas crean una réplica estratégica virtual que capta el entorno complejo multidimensional, como la ciberseguridad y las cadenas de suministro. Estas simulaciones pueden ofrecer un entorno interactivo y exploratorio que permite a los directivos encontrar las mejores opciones estratégicas que refuercen el rendimiento de la cadena de suministro y fomenten la resiliencia, y mejorar los paneles de gestión y los informes para prever la tendencia futura de comportamiento de los indicadores de rendimiento esenciales.
Además, los juegos de simulación atacante-defensor centrados en la cadena de suministro pueden aumentar la concienciación directiva y adquirir heurísticas directivas para reforzar la toma de decisiones que fomenta la resiliencia. De este modo, las simulaciones ayudan a cerrar la brecha entre atacantes y defensores, ya que proporcionan a los miembros del consejo de administración más tiempo para anticipar estratégicamente posibles eventos críticos futuros.
El camino por delante
Afrontar el ciberriesgo y la resiliencia va más allá del alcance de las organizaciones individuales. Reforzar la ciberresiliencia en las cadenas de suministro globales exige adoptar estos tres principios clave, centrados en fortalecer la colaboración, utilizar métodos avanzados para reforzar la medición y la evaluación, y ser más adaptativos y proactivos frente a las ciberamenazas emergentes.
El autor desea agradecer a Sander Zeijlemaker (CAMS), Raphael Yahalom (CAMS), Ranjan Pal (CAMS) y Mirco Ross (Asvin.io) su inestimable orientación, esfuerzo, liderazgo y apoyo a lo largo de este proyecto.
