Las empresas mantienen una relación cada vez más estrecha con proveedores tecnológicos, plataformas cloud, empresas de servicios, fabricantes, distribuidores y otros terceros. Muchos de ellos tienen acceso a sus sistemas, gestionan información o intervienen en procesos esenciales para el negocio, lo que amplía la superficie de exposición frente a un ciberataque.
Es por ello que la cadena de suministro se ha convertido en una de las principales preocupaciones de las organizaciones europeas en materia de ciberseguridad. Según el informe NIS Investments 2025 de la Agencia de la Unión Europea para la Ciberseguridad que recoge Secure & IT, el 47% de las organizaciones consultadas señala los ataques a la cadena de suministro entre las amenazas que más le preocupan, solo por detrás del ransomware, con el 55%.
En aproximadamente el 66% de los casos estudiados, los ciberdelincuentes utilizaron el código de los proveedores como vía de acceso a sus clientes. Asimismo, en el 58% de los incidentes examinados, el principal objetivo fueron los datos de las organizaciones afectadas, incluida información personal y propiedad intelectual.
El riesgo de un proveedor, un riesgo de negocio
Por otro lado, los incidentes en la cadena de suministros pueden llevar a la paralización de un proveedor crítico, lo que puede afectar a la producción, impedir la prestación de un servicio, comprometer información sensible o provocar interrupciones en numerosas organizaciones de manera simultánea.
Esta realidad convierte la gestión de terceros en una cuestión de continuidad de negocio, gestión del riesgo y gobierno corporativo, especialmente en compañías que dependen de numerosos proveedores tecnológicos o que operan en sectores esenciales.
Lamentablemente, como explican desde Secure & IT, un porcentaje muy pequeño de las organizaciones revisa los riesgos de ciberseguridad asociados a sus proveedores directos y muy pocos se centran en analizar los correspondientes a su cadena de suministro.
Recomendaciones
Para abordar la gestión del riesgo de terceros de manera integral y continua, es importante acciones como las siguientes:
- Identificar y clasificar a los proveedores según criticidad, teniendo en cuenta especialmente los que cuentan con acceso a información, sistemas o procesos críticos.
- Evaluar el riesgo antes de la contratación, realizando un análisis de la postura de seguridad del potencial proveedor e incorporando requisitos específicos en materia de ciberseguridad en los contratos.
- Analizar las dependencias críticas, identificando aquellos servicios cuya caída podría detener o afectar significativamente al negocio.
- Limitar y controlar los accesos de terceros, aplicando criterios de mínimo privilegio y revisando periódicamente permisos y credenciales.
- Preparar planes de continuidad y respuesta ante incidentes que contemplen escenarios en los que el origen del problema se encuentre en un proveedor.
- Supervisar la postura de seguridad de los proveedores de forma continua, evitando que la evaluación de proveedores sea únicamente un ejercicio realizado en el momento de su contratación o en momentos puntuales durante la prestación del servicio.
