Las empresas mexicanas enfrentan un riesgo que puede comenzar fuera de sus propios sistemas. Proveedores y contratistas con acceso a información, plataformas u operaciones corporativas pueden convertirse en una puerta de entrada para ataques de ransomware, especialmente cuando las compañías desconocen el nivel de ciberseguridad de los terceros que integran su cadena de suministro.
Achilles México advierte que las organizaciones con terceros altamente expuestos dentro de su superficie de ataque presentan tres veces más probabilidades de sufrir ransomware y más del doble de enfrentar otro tipo de ciberataque.
La firma identifica la falta de visibilidad tecnológica y operativa sobre proveedores como uno de los principales puntos ciegos de las empresas, en momentos en que la expansión de las cadenas productivas y el nearshoring aumentan el número de relaciones entre compañías, contratistas y prestadores de servicios.
¿Por qué un proveedor puede abrir la puerta a un ciberataque?
Las compañías pueden invertir en proteger sus propios sistemas y mantener, al mismo tiempo, vulnerabilidades provenientes de terceros.
El riesgo aparece cuando un proveedor obtiene acceso a sistemas internos, información de clientes, infraestructura tecnológica u operaciones logísticas, pero no cuenta con controles de seguridad equivalentes a los de la empresa contratante.
“Los ataques rara vez entran por la puerta principal; entran por el proveedor chico que tiene acceso a tus sistemas, a tu información de clientes o a tu operación logística, y que no tiene equipo de seguridad”, señaló Sergio Zilli, Territory Manager de Achilles en México.
De acuerdo con el directivo, el problema puede pasar inadvertido dentro de los procesos tradicionales de compras porque la evaluación del proveedor suele concentrarse en variables comerciales y operativas.
Tres veces más probabilidad de sufrir ransomware
Achilles sostiene que las organizaciones que tienen terceros con alta exposición dentro de su superficie de ataque presentan tres veces más probabilidad de enfrentar un secuestro de datos mediante ransomware.
Además, reporta más del doble de probabilidad de sufrir otro tipo de ciberataque.
El documento no especifica la muestra, periodo, universo empresarial ni metodología utilizados para calcular estos multiplicadores, por lo que las cifras deben entenderse como datos reportados por Achilles y no como una medición representativa de todas las empresas mexicanas.
Tampoco proporciona un monto promedio de las pérdidas generadas por estos incidentes.
El señalamiento, sin embargo, coloca la gestión de proveedores dentro de una dimensión financiera: una vulnerabilidad externa puede trasladarse hacia la empresa mediante interrupciones operativas, pérdida de información o secuestro de sistemas.
Un proveedor pequeño también puede representar un riesgo crítico
El tamaño del contratista no necesariamente determina el nivel de exposición, de acuerdo con Achilles.
La firma señala que proveedores con una facturación relativamente baja pueden convertirse en puntos vulnerables cuando tienen acceso a infraestructura crítica, pero no fueron clasificados como tales durante su contratación.
Esto cambia la lógica tradicional de evaluación.
Una empresa puede tener cientos o miles de proveedores, pero la exposición no necesariamente estará concentrada en aquellos con los contratos de mayor valor. Un proveedor pequeño con acceso privilegiado a sistemas puede representar un riesgo mayor que otro con una relación comercial más grande pero sin acceso tecnológico sensible.
Por ello, Achilles plantea que las compañías identifiquen no sólo cuánto compran a cada proveedor, sino qué información, plataformas y procesos pueden alcanzar.
El riesgo de proveedores también puede convertirse en un problema legal
La exposición no termina en la ciberseguridad.
Achilles advierte sobre empresas que continúan administrando grandes redes de proveedores mediante hojas de cálculo, correos electrónicos y documentación que puede quedar desactualizada.
La firma denomina a este problema “la trampa del dato vencido”: considerar que un proveedor que cumplía los requisitos cuando fue contratado mantiene automáticamente la misma situación meses después.
El documento señala particularmente obligaciones relacionadas con subcontratación y cumplimiento laboral y de seguridad social, donde la relación entre contratantes y prestadores de servicios puede generar responsabilidades que no desaparecen simplemente por establecerlas contractualmente.
Para las empresas, esto convierte la actualización documental de proveedores en un proceso que requiere seguimiento durante toda la relación comercial.
Del expediente del proveedor al monitoreo continuo
La propuesta de Achilles consiste en abandonar un modelo basado exclusivamente en declaraciones y documentos presentados al momento de contratar.
En su lugar, plantea un esquema de monitoreo continuo, donde las empresas puedan validar periódicamente las evidencias proporcionadas por los integrantes de su cadena de suministro.
La firma propone utilizar herramientas de inteligencia artificial para apoyar la revisión de información y detectar cambios en la situación de los proveedores.
El objetivo es reducir la distancia entre el momento en que un contratista es aprobado y su condición real meses después.
Bancos e inversionistas también miran la cadena de suministro
La gestión de proveedores puede adquirir además importancia para las compañías que buscan financiamiento, inversión o acceso a cadenas internacionales, según el planteamiento de Achilles.
La firma sostiene que bancos, fondos de inversión y clientes globales están incorporando criterios de trazabilidad, sostenibilidad y seguridad dentro de sus evaluaciones.
Sin embargo, el documento no presenta datos que permitan cuantificar cuánto puede mejorar el costo de financiamiento de una empresa por implementar estos controles ni demuestra una relación automática entre monitorear proveedores y obtener mejores condiciones crediticias.
El valor estaría en la capacidad de documentar y demostrar cómo se administran los riesgos dentro de la cadena.
La vulnerabilidad puede estar fuera de la empresa
La expansión de cadenas productivas obliga a las compañías a evaluar un riesgo que tradicionalmente quedaba fuera de sus propios sistemas.
Un contratista puede cumplir comercialmente y, al mismo tiempo, mantener vulnerabilidades tecnológicas o documentación desactualizada que exponga a su cliente.
La advertencia de Achilles coloca así la ciberseguridad de terceros dentro de la gestión financiera y operativa del negocio. No basta con proteger los sistemas internos cuando proveedores externos pueden conectarse a ellos.
El reto para las empresas será identificar qué terceros tienen acceso a información y procesos críticos, mantener actualizada su evaluación y determinar cuánto riesgo están incorporando indirectamente a su operación. En una cadena de suministro cada vez más conectada, la seguridad de una compañía también dependerá de la seguridad de quienes hacen negocios con ella.
