¿Cómo debe tratarse la gestión de riesgos de la cadena de suministro en un programa de ciberseguridad?
Trate el riesgo de la cadena de suministro como parte del riesgo del sistema: identificando dependencias, estableciendo requisitos para los proveedores y monitorizando la exposición continua.
La gestión de riesgos en la cadena de suministro se vuelve crítica cuando los sistemas dependen de proveedores para software, servicios en la nube, equipos o soporte operativo. En un enfoque orientado a NIST, esto significa identificar dónde los proveedores afectan a la confidencialidad, la integridad y la disponibilidad, y definir requisitos que reflejen la tolerancia al riesgo de la organización.
Los programas eficaces también mantienen evidencia: expectativas de seguridad hacia los proveedores, procesos de incorporación y revisión, rutas de comunicación ante incidentes y reevaluación periódica a medida que evolucionan las dependencias. Esto reduce los puntos ciegos donde los cambios de terceros introducen nuevas vulnerabilidades o riesgos operativos.
Related Information
- Mapee las dependencias de proveedores respecto a servicios y activos críticos.
- Defina requisitos de seguridad y expectativas contractuales.
- Evalúe los controles y excepciones del proveedor en función del riesgo.
- Planifique por adelantado la comunicación ante incidentes con terceros.
- Reevalúe a los proveedores periódicamente a medida que cambian sistemas y amenazas.
Expert Insight
Las organizaciones suelen mapear proveedores, pero no logran operacionalizarlo; lo que falta son requisitos medibles y una cadencia de revisión continua vinculada a las dependencias críticas.
Topics
Related Answers
¿Cómo debe definir el alcance de un test de intrusión en función del riesgo?
El alcance basado en riesgos prioriza los activos y rutas de ataque con mayor impacto potencial y define reglas de compromiso claras para probarlos de forma segura y legal.
byChristophe MAZZOLA
¿Por qué la ISO 27035 se centra en una gestión de incidentes estructurada?
La ISO 27035 enfatiza la estructura para que los incidentes se gestionen de forma coherente, legal y con la mínima interrupción del negocio.
byHenri HAENNI
¿Qué le ayuda a hacer un sistema de gestión de IA (AIMS) a una organización?
Un AIMS ayuda a una organización a gobernar cómo se planifica, implementa, opera y mejora la IA, de modo que las iniciativas de IA se mantengan controladas, consistentes y auditables.
byTania POSTIL