- Las cadenas de suministro digitales se convirtieron en uno de los flancos más vulnerables de las empresas. Una organización puede invertir millones en protegerse y quedar expuesta por un tercero que no cuida sus propios controles.
El perímetro que las empresas mexicanas deben defender dejó de terminar en sus propias oficinas. Hoy, uno de los mayores riesgo cibernético de una organización no solo está dentro de sus muros: está en la red de proveedores, plataformas y socios tecnológicos con los que intercambia información todos los días. El ataque ya no toca la puerta principal; entra por la de un tercero.
El dato dimensiona el problema. Tan solo en los últimos doce meses se registraron más de 237 mil intentos de ransomware en México, según mediciones de la industria, en un contexto en el que el país arrastra un déficit cercano a los 300 mil especialistas en ciberseguridad. La escasez de talento y el aumento de los ataques forman una combinación peligrosa: hay más amenazas y menos manos capacitadas para contenerlas.
El cambio de fondo es que el delito se profesionalizó. El llamado ransomware como servicio permite que grupos criminales renten sus herramientas a terceros (empleados, proveedores y competencia), de modo que ya no se necesita ser un experto para lanzar un ataque sofisticado. A la par, las campañas de engaño se volvieron más creíbles: correos y mensajes potenciados con inteligencia artificial, e incluso suplantaciones de voz e imagen, que apuntan a los eslabones humanos de la cadena.
“Una empresa puede invertir millones en blindar su infraestructura y aun así quedar expuesta por un proveedor que no tiene los mismos controles. El reto ya no es solo proteger lo propio, sino evaluar y gestionar el riesgo de toda la red con la que operas. La seguridad de tu empresa es, hoy, tan fuerte como el más débil de tus proveedores.”
— Fidel Delgado, Tecnología de la Información, Salles Sainz Grant Thornton
Esa realidad obliga a un cambio de enfoque. La ciberseguridad deja de ser un asunto puramente tecnológico y se convierte en una función de gestión de riesgo de terceros: saber a qué información acceden los proveedores, con qué controles la protegen y qué ocurriría si uno de ellos fuera vulnerado. Preguntas que hasta hace poco se consideraban excesivas hoy son parte básica de la debida diligencia.
La firma recomienda a las organizaciones incorporar la evaluación de proveedores a su estrategia de seguridad: mapear quiénes tienen acceso a datos sensibles, exigir estándares mínimos de protección en los contratos, monitorear el cumplimiento y preparar planes de respuesta que contemplen un incidente originado fuera de la propia empresa. No se trata de desconfiar de cada socio, sino de gestionar con inteligencia un riesgo que ya es compartido.
Salles Sainz Grant Thornton apoya a las empresas en el diseño de esa mirada integral, que combina la protección de la infraestructura propia con la gestión del riesgo de la cadena de suministro digital. En un entorno donde el eslabón más débil define la seguridad de todos, auditar al proveedor dejó de ser opcional para convertirse en una condición de continuidad del negocio.
