Riesgo de terceros: la superficie de ataque que usted no controla

Los incidentes originados en la cadena de suministro comparten un patrón: el atacante no busca el objetivo difícil, busca el eslabón con acceso y con menos controles. Ese eslabón suele ser un proveedor.

Qué preguntar antes de firmar

• Acceso. Qué sistemas y qué datos necesita realmente, más allá de lo que resulta cómodo conceder.
• Autenticación. Si su acceso privilegiado usa multifactor y si ese acceso se revisa al terminar el contrato.
• Registro. Si sus acciones quedan registradas y son consultables por usted.
• Respuesta. A quién se notifica y en cuánto tiempo si el proveedor sufre un incidente.
• Subcontratación. Quién más toca su información y bajo qué condiciones.

Controles que reducen el riesgo sin fricción

El acceso de terceros debe ser nominativo, limitado en alcance y con fecha de expiración. Los accesos compartidos, las cuentas genéricas y los túneles permanentes son el mecanismo más frecuente por el que una cadena de suministro se convierte en brecha.

Tratarlo como riesgo continuo

La evaluación de proveedores no termina con la firma del contrato. Los controles del proveedor cambian, su plantilla rota y su infraestructura se transforma. Un inventario de terceros críticos actualizado es la base para decidir dónde conviene invertir la revisión.