La realidad de los ataques a la cadena de suministro y seis medidas que deben tomar las empresas

Los ataques a la cadena de suministro no penetran directamente en la empresa objetivo, sino que expanden el daño a través de proveedores, contratistas, software o dependencias como SaaS. El artículo los clasifica en tres tipos: de negocio (vía contratistas), de software (abuso de actualizaciones o contaminación de OSS) y de servicio (vía cloud/SaaS). Como ejemplos representativos cita el caso SolarWinds de 2020 (código malicioso incluido en una actualización de Orion que afectó a unas 18,000 organizaciones) y el caso de Toyota/Kojima Press Industry en 2022 (paro de producción con un impacto equivalente a unas 13,000 unidades).

Como casos domésticos, menciona que en mayo de 2024 el proveedor de impresión y envío Iseto sufrió un ataque de ransomware que provocó la filtración de alrededor de 1,5 millones de datos personales y causó daños secundarios a los municipios y empresas contratantes; en junio de 2024 un ataque de ransomware al grupo KADOKAWA ocasionó interrupción de servicios y fugas de datos; y en 2023 la paralización de la terminal de contenedores del puerto de Nagoya (aproximadamente 3 días). Estos ejemplos muestran impactos en cadena independientemente del sector.

Las contramedidas deben estructurarse en tres capas: "interno", "gestión de contratistas" y "gestión de software". Señala la importancia de gestionar el riesgo de la cadena de suministro a nivel directivo conforme al nuevo concepto "Govern" introducido en NIST CSF 2.0, y explica tendencias regulatorias como el esquema de evaluación SCS del Ministerio de Economía, Comercio e Industria (★3: requisitos 26, criterios 81; ★4: requisitos 43, criterios 153).

Como seis medidas concretas que los departamentos de TI pueden implementar desde hoy, propone: ① principio de privilegio mínimo, ② implementación exhaustiva de autenticación multifactor (MFA), ③ detección y eliminación de shadow IT, ④ gestión de vulnerabilidades en software y librerías (aprovechando SBOM), ⑤ segmentación de red y diseño Zero Trust, y ⑥ recolección de logs de auditoría y detección de anomalías. Además, recomienda exigir a los contratistas evaluaciones periódicas, especificar requisitos de seguridad en los contratos y gestionar la subcontratación.

El artículo enfatiza la necesidad de definir procedimientos operativos y responsabilidades concretas (por ejemplo, quién recopila logs, quién actualiza las políticas, quién verifica a los contratistas), y la importancia de la visibilidad de SaaS y la gestión de accesos para prevenir shadow IT y la persistencia de privilegios de empleados retirados. Concluye presentando la función de gestión de SaaS de Josys.