Por Alan Mai. Durante años, la ciberseguridad en las pequeñas y medianas empresas se gestionó desde adentro con una premisa simple: proteger los equipos internos, resguardar las cuentas de email, instalar un antivirus y asumir que, con eso, los riesgos quedaban afuera.
- Somos Pymes >
- Opinión >
- Tecnología >
Por qué tu proveedor puede convertirse en tu mayor riesgo digital
La ciberseguridad es una práctica continua de gobernanza que involucra a todo el ecosistema.
Pero la integración tecnológica borró esas fronteras tradicionales.
Hoy una empresa puede invertir en tecnología, aplicar controles estrictos y capacitar a sus colaboradores y, aun así, quedar expuesta porque un tercero con acceso a su red o a sus datos tiene una seguridad más débil.
Nos encontramos con un cambio de paradigma claro: la cadena de proveedores hoy es una extensión directa de la superficie de ataque.
Vemos todos los días cómo los ciberdelincuentes ya no buscan forzar la puerta principal de una empresa si pueden ingresar de forma silenciosa usando los accesos, la infraestructura o las credenciales de un socio comercial o proveedor.
La confianza como puerta de entrada al negocio
Los atacantes operan con una lógica de eficiencia y rentabilidad.
¿Para qué gastar recursos en vulnerar a una empresa que reforzó sus defensas, cuando es posible comprometer a la consultora contable, al estudio jurídico, al proveedor de software de facturación o al soporte técnico externo que opera con esa empresa?
Estos proveedores y terceros suelen disponer de accesos privilegiados, integraciones vía API, sistemas compartidos en la nube y canales de comunicación abiertos que tienen de por sí la confianza implícita del cliente.
Y es precisamente ahí donde la confianza se transforma en una vulnerabilidad crítica.
Existe un riesgo tecnológico claro -la propagación de malware a través de plataformas interconectadas-, pero también un riesgo humano altamente efectivo.
Si se vulnera la cuenta de email real de un proveedor habitual y desde ahí se envía, por ejemplo, una factura corregida, un archivo adjunto con datos de pago o un enlace de actualización, las alertas internas se desactivan.
¿Cuántos colaboradores sospecharían de un email legítimo que proviene de un contacto de trabajo frecuente?
Al usar relaciones comerciales reales, el atacante no necesita romper un sistema por la fuerza: simplemente se loguea usando la confianza preexistente.
Contratar un servicio es importar su riesgo digital
Esta realidad exige trasladar la ciberseguridad del área técnica a la mesa de decisiones ejecutivas.
Cuando una empresa contrata una plataforma SaaS, terceriza su liquidación de sueldos o delega el mantenimiento de sus servidores, no solo está adquiriendo un servicio para ganar eficiencia o reducir costos, sino que además está heredando la postura de seguridad digital de ese proveedor.
Gestionar el riesgo de terceros hoy es una decisión clave de gobernanza y continuidad operativa.
Para proteger la operación, las empresas tienen que empezar a exigir garantías básicas antes y durante la relación comercial:
_Auditoría previa y controles mínimos: antes de otorgar accesos a sistemas internos o compartir información confidencial, es imprescindible validar que el proveedor aplique medidas básicas como autenticación multifactor (MFA) y resguardo de datos.
_Gestión de privilegios y accesos acotados: los terceros solo deben tener acceso a la información y a los sistemas estrictamente necesarios para cumplir su función. Los permisos ilimitados o permanentes son posibles vulnerabilidades.
_Protocolos de desconexión (offboarding): cuando una relación comercial termina, la revocación de usuarios, llaves digitales y credenciales asociadas debe ser inmediata. Muchos incidentes graves se deben a accesos de exproveedores que quedaron olvidados.
_Planes de contingencia frente a la caída de un tercero: si el proveedor de gestión en la nube o de logística sufre un ataque de ransomware y queda fuera de servicio por una semana, ¿la empresa puede seguir funcionando? Diseñar procesos alternativos es clave para evitar que la crisis de un socio paralice el negocio propio.
En un entorno empresarial cada vez más interconectado, la resiliencia no se construye en el aislamiento.
La ciberseguridad es una práctica continua de gobernanza que involucra a todo el ecosistema con el que operamos.
En la era del ciberdelito automatizado, ya no alcanza únicamente con saber qué tan protegida está tu empresa; resulta determinante entender qué tan protegidos están aquellos en quienes confiás todos los días para operar.
Alan Mai, especialista en ciberseguridad y CEO de Bloka.
Temas