Los ciberataques a las cadenas de suministro están causando un impacto generalizado

La transformación digital tras la pandemia implicó un proceso de digitalización en la cadena de suministro ascendente y descendente de todas las organizaciones. La combinación de problemas en la cadena de suministro de microchips y la aparición de numerosos malware parece haber creado una tormenta perfecta.1

Las cadenas de suministro mundiales de todos los sectores se enfrentan al reto de un entorno dinámico e impredecible. Las persistentes incertidumbres geopolíticas, unidas a las nuevas normativas y sanciones internacionales, aumentan el riesgo de sanciones y de interrupción de la cadena de suministro.2 El riesgo cibernético, sobre todo el riesgo de terceros y cuartos, incrementa enormemente esta complejidad. Aunque la visibilidad y la fiabilidad de las cadenas de suministro se ven muy favorecidas por la conectividad digital, los atacantes también salen ganando con la consiguiente ampliación de la superficie de ataque. Hoy en día, uno de los mayores retos a la hora de gestionar los ciberataques en la cadena de suministro es comprender el amplio perfil de amenazas y los controles básicos de la empresa.

El impacto de un ataque a la cadena de suministro puede ser generalizado. Con miles de proveedores en potencia, un incidente en la cadena de suministro puede tener consecuencias muy variadas, más allá de la interrupción de la actividad empresarial. Los riesgos para la seguridad de las personas son una preocupación clave. Por ejemplo, un fabricante de equipos originales (OEM) de automoción que depende de dispositivos de otros OEM podría producir coches conectados en situación de riesgo. Después están los riesgos políticos de los vendedores establecidos en lugares geopolíticamente volátiles, o los nuevos riesgos de los vendedores que operan en un marco normativo más adverso. La complejidad y las posibles repercusiones de estos ataques a la cadena de suministro subrayan la necesidad de una gestión eficaz de los riesgos, lo que deja una cosa bien clara: la supervisión exhaustiva y la comprensión de los riesgos de terceros son cruciales.

Los resultados de CyQu de Aon ofrecen una visión esencial de esta cuestión. Esto es lo que indicaron los clientes de Aon.

Resultados de CyQu de Aon: informe de clientes de Aon

Al examinar los resultados de CyQu, los clientes de todos los sectores informaron de una mejora insignificante en la gestión de riesgos de terceros, con una puntuación media global de 2,2 en 2022. Para ponerlo en contexto, una puntuación de 2,2 representa un nivel bajo de madurez en la gestión de riesgos de terceros, lo que sugiere que la mayoría de las organizaciones se encuentran todavía en las primeras fases de establecimiento de prácticas sólidas de gestión de riesgos. A esto hay que sumar el hecho de que el ámbito de terceros recibió la puntuación de CyQu más baja de los nueve ámbitos puntuados. En particular, ningún sector ha logrado aún un enfoque sólido y sistemático en la gestión de riesgos de terceros. Estos resultados ponen de manifiesto los importantes retos a los que se enfrentan las empresas a la hora de gestionar los riesgos de la cadena de suministro, además de la urgente necesidad de estrategias de gestión de riesgos más completas y eficaces. Este resultado no sorprende. Comprender el riesgo que acarrean todos los proveedores supone un gran esfuerzo, y la conexión cada vez más profunda de toda la pila tecnológica de una empresa aumenta exponencialmente el riesgo de terceros.

Desde un punto de vista sectorial, los sectores de la construcción y el manufacturero mejoraron su perfil general de riesgos de terceros de «inicial» a «básico». Sin embargo, la construcción solo registró una madurez del riesgo «inicial» en la diligencia de terceros, «básica» en la gestión de contratos y «gestionada» en la gestión de inventarios de terceros.

Las empresas de servicios profesionales percibieron una mejora del perfil de riesgo en esas mismas categorías. La puntuación de los servicios profesionales (2,5) situó al sector en línea con el de las finanzas y seguros y el del software y la tecnología de la información, que tradicionalmente han sido los que mejores resultados han obtenido en el riesgo de terceros, en parte debido al entorno normativo que determina sus decisiones en materia de seguridad.

Según los datos del complemento de tecnología operativa, el 54 % de los clientes carecía de autenticación multifactor (MFA) para el acceso remoto de terceros a la tecnología operativa, lo que aumenta el riesgo de brechas en la red.