Seguridad de la cadena de suministro
Su nivel de seguridad es tan sólido como el proveedor, la biblioteca o el contratista más débil del que depende, y la mayoría de las organizaciones tienen una lista de dependencias mucho más extensa de lo que creen. La seguridad de la cadena de suministro consiste precisamente en elaborar un mapa de esa lista y decidir qué está dispuesto a aceptar.
Esto abarca dos problemas distintos que a menudo se agrupan en uno solo. Uno es la cadena de suministro de software: los paquetes de código abierto, las herramientas de compilación y los flujos de CI/CD que terminan formando parte de lo que usted distribuye, cualquiera de los cuales puede verse comprometido por completo en una fase anterior a la suya. El otro es la cadena de suministro de proveedores y terceros: los proveedores de SaaS, las empresas de servicios gestionados y los subcontratistas que tienen algún tipo de acceso a sus datos o a su red, además de sus propios subcontratistas, sobre los que probablemente no tenga ninguna visibilidad.
Mi enfoque
Empiezo por elaborar el mapa propiamente dicho —no una hoja de cálculo que alguien rellenó en su momento, sino una imagen actualizada de qué depende de qué, y de qué acceso tiene realmente cada dependencia frente al que se supone que debería tener—. A partir de ahí, se trata de establecer niveles: no todos los proveedores requieren el mismo escrutinio, y tratar a un procesador de nóminas de la misma manera que a un widget de análisis gratuito supone malgastar esfuerzos donde no conviene.
En lo que respecta a las dependencias de software, esto implica conocer qué contiene realmente su compilación —una lista real de componentes de software, no una suposición— y disponer de un proceso para cuando una de esas dependencias resulte estar comprometida. Para los proveedores, implica una redacción contractual que tenga sentido, cuestionarios de seguridad que se lean y un proceso de renovación que vuelva a evaluar realmente el riesgo, en lugar de limitarse a volver a firmar.
Nada de esto es definitivo. Aparecen nuevos proveedores, se incorporan nuevos paquetes y el mapa queda obsoleto al día siguiente de elaborarlo, a menos que algo lo mantenga actualizado.
Si no está seguro de qué es lo que realmente hay en su cadena de suministro en este momento, ese es un buen punto de partida. Póngase en contacto con nosotros y determinaremos dónde se encuentra el verdadero riesgo.