El panorama de amenazas de ENISA para los ataques a la cadena de suministro muestra que en el 66 % de los ataques a la cadena de suministro analizados, los proveedores no sabían, o no eran transparentes, sobre cómo se vieron comprometidos. Por el contrario, menos del 9 % de los clientes afectados por ataques a la cadena de suministro desconocían cómo se habían producido los ataques. Esto pone de manifiesto la brecha existente en términos de madurez en la notificación de incidentes de ciberseguridad entre los proveedores y las empresas de cara al usuario final. Alrededor del 62 % de los ataques a clientes se aprovecharon de su confianza en el proveedor. En el 62% de los casos, el malware fue la técnica de ataque empleada. En cuanto a los activos objetivo, en el 66 % de los incidentes, los atacantes se centraron en el código de los proveedores para comprometer aún más a los clientes objetivo. El informe observa un mayor interés de los grupos de amenazas por los ataques a la cadena de suministro y los ataques contra los proveedores de servicios gestionados (MSP) . Además, el informe considera probable que en un futuro próximo se vea una mayor inversión de recursos en la investigación de vulnerabilidades en estas cadenas de suministro. Esta es una de las razones por las que los grupos de amenazas han estado atacando directamente a los investigadores de seguridad. Otro objetivo son los repositorios de código abierto comunes y populares como NPM, Python y RubyGems, que son clonados o infectados con malware, con el objetivo de infectar a cualquiera que los implemente como herramientas o paquetes dentro de su proyecto. Como cualquiera puede publicar paquetes en plataformas de código abierto, la inyección de malware suele pasar desapercibida durante mucho tiempo.

Por lo tanto, es evidente que los riesgos cibernéticos derivados de socios, proveedores y vendedores podrían tener implicaciones sistémicas. Así lo confirman también los resultados de una encuesta reciente entre ciberdirigentes y directores ejecutivos: casi el 40 % de los encuestados afirmaron haberse visto afectados negativamente por un incidente de ciberseguridad relacionado con sus terceros proveedores/cadena de suministro. El aumento de los incidentes ha preocupado a la mayoría de los CEO encuestados (58 %), que indicaron que consideran que sus socios y proveedores son menos resistentes que su propia organización. Esto supondrá la mayor influencia en el enfoque de la ciberseguridad de sus organizaciones en el futuro. El objetivo de este informe es proporcionar una visión general de las prácticas actuales en materia de ciberseguridad de la cadena de suministro de TIC/tecnologías operativas (TIC/OT) seguidas por los operadores en la UE, así como identificar buenas prácticas en materia de ciberseguridad de la cadena de suministro de TIC/OT. El informe se centra principalmente en la relación de las entidades esenciales e importantes con diferentes tipos de proveedores directos y proveedores de servicios, por ejemplo, fabricantes, distribuidores, integradores, proveedores de servicios gestionados de seguridad (MSSP) o proveedores de servicios de computación en nube. Por tanto, identifica buenas prácticas para entidades esenciales e importantes, y para diferentes tipos de proveedores y prestadores. Las entidades esenciales e importantes suelen operar infraestructuras críticas y utilizan productos, sistemas y soluciones de fabricantes, proveedores de canales de distribución, integradores de sistemas y proveedores de servicios digitales. Algunas entidades fabrican sus propios productos (hardware y software) y, en este caso, también pueden considerarse entidades importantes. Las buenas prácticas recomendadas para la fabricación pueden aplicarse también a estas organizaciones. Una entidad suele tener una relación contractual con sus proveedores directos y prestadores de servicios en la que pueden definirse medidas organizativas, de proceso y técnicas para la entrega o el servicio respectivos adquiridos. La gama de medidas contractuales aceptables se limita al poder de adquisición de una organización y a las capacidades de un proveedor o prestador de servicios. Algunas medidas se aplican en cascada a lo largo de la cadena de suministro, pero el control general de la aplicación por parte de una organización no suele ser posible, debido que no existe una relación contractual general que pueda, por ejemplo, proporcionar un derecho de auditoría o el derecho a solicitar información detallada sobre las medidas de seguridad a todos los proveedores a lo largo de la cadena de suministro. Un ejemplo típico de esta falta de control en la cadena de suministro de productos y componentes es el software de código abierto, que está a disposición del público y cuyas normas de uso se determinan en acuerdos de licencia no negociables.

El informe enfatiza la importancia de la evaluación de riesgos, la gestión de proveedores, la monitorización y detección continua de amenazas, la preparación para la gestión de incidentes y la implementación de medidas de seguridad física y lógica. Las recomendaciones incluyen establecer criterios de seguridad para la selección de proveedores, firmar acuerdos contractuales claros, implementar herramientas de seguridad y sistemas de detección de intrusiones, y contar con planes de respuesta a incidentes y medidas de protección física y lógica. En resumen, el informe proporciona orientación práctica para asegurar la cadena de suministro en un entorno cada vez más digital y conectado, protegiendo los activos y la información contra los riesgos cibernéticos.

Para leer más ingrese a:

https://www.enisa.europa.eu/publications/good-practices-for-supply-chain-cybersecurity

https://www.enisa.europa.eu/publications/good-practices-for-supply-chain-cybersecurity/@@download/fullReport