Un incidente de ciberseguridad en un proveedor puede afectar a toda una cadena de suministro
Notipress.- La integración de empresas mexicanas a cadenas globales de suministro mediante el nearshoring amplía los riesgos de ciberseguridad asociados con proveedores tecnológicos y socios comerciales. Aunque las organizaciones establecen controles de acceso y protección para sus empleados, no siempre aplican las mismas exigencias a terceros que utilizan sus sistemas, intercambian información o participan en procesos operativos.
De acuerdo con el e-book Ciberseguridad e Inteligencia Artificial: El Blueprint para la Integración de IA y Ciberseguridad en PyMEs, publicado por Delta Protect y la Alianza Nacional de Inteligencia Artificial (ANIA), 40% de las organizaciones sufrió una brecha de seguridad relacionada con un socio o proveedor clave durante los últimos tres años. El dato refleja la exposición que pueden generar las conexiones entre empresas cuando los controles de protección no abarcan a todos los participantes.
La dependencia de proveedores adquiere relevancia en México debido a la incorporación de pequeñas y medianas empresas a cadenas internacionales de producción. En estos esquemas, una interrupción tecnológica puede extenderse más allá de la organización afectada inicialmente y comprometer actividades de otros participantes que dependen de sus servicios o suministros.
El documento presenta el caso de un fabricante automotriz cuya producción global permaneció paralizada durante cinco semanas. El incidente ocasionó costos directos cercanos a 260 millones de dólares y afectó a más de 5,000 proveedores de su cadena de suministro. El ejemplo ilustra el alcance que puede tener una interrupción operativa dentro de una red de empresas interdependientes.
Sin embargo, la aplicación de controles de seguridad no siempre alcanza a los proveedores externos. Según las cifras incluidas en el blueprint, 53% de las organizaciones contrata servicios administrados de seguridad, pero solamente cuatro de cada diez extienden el mismo rigor de protección a sus proveedores.
Esta diferencia implica que una empresa puede mantener mecanismos internos de autenticación, vigilancia y capacitación mientras conserva relaciones comerciales con terceros sujetos a exigencias distintas. Los accesos concedidos a proveedores y el intercambio de información se convierten así en aspectos relevantes para evaluar la exposición de toda la operación.
La incorporación de inteligencia artificial en los servicios de terceros añade otra dimensión. El informe señala que únicamente una de cada cuatro organizaciones dispone de controles para monitorear los prompts y las respuestas intercambiadas con proveedores externos de IA.
La falta de visibilidad sobre estas interacciones dificulta conocer qué información se comparte con los modelos, cómo se utiliza y qué respuestas regresan a los procesos empresariales. Cuando estas herramientas forman parte de actividades operativas, su administración también debe considerarse dentro de las políticas de ciberseguridad empresarial.
Para Delta Protect y ANIA, el desafío consiste en pasar de una evaluación centrada exclusivamente en la seguridad interna a un esquema de responsabilidad compartida entre empresas y proveedores. Esto supone identificar qué terceros tienen acceso a los sistemas, cuáles son sus privilegios y qué mecanismos permiten supervisar el intercambio de información.
En el marco del Mes de la Concientización sobre la Ciberseguridad, ambas organizaciones destacaron la importancia de incorporar estas evaluaciones a los procesos de contratación, administración de riesgos y continuidad operativa. El objetivo es que las relaciones con proveedores contemplen requisitos de protección desde su establecimiento y durante su funcionamiento.
Entre las medidas planteadas se encuentra mantener un registro de los proveedores que interactúan con los sistemas empresariales y revisar los permisos que reciben. También se propone monitorear las entradas y salidas de los modelos de inteligencia artificial de terceros, particularmente cuando procesan información vinculada con las operaciones de la organización.
Otro componente es exigir transparencia sobre el tratamiento de los datos e incorporar cláusulas de ciberseguridad y uso responsable de inteligencia artificial en los contratos. Estas disposiciones buscan establecer obligaciones para las partes y evitar que la protección dependa únicamente de acuerdos informales o de la confianza comercial.
Santiago Fuentes, Co-CEO de Delta Protect, señaló en información a NotiPress que la confianza constituye un elemento central en estas relaciones. “La confianza es el activo más difícil de construir y el más fácil de destruir”, afirmó al referirse a los riesgos asociados con proveedores y socios tecnológicos.
La propuesta de revisar el ecosistema completo también responde a las características de las cadenas de suministro vinculadas con el nearshoring. A medida que más empresas participan en procesos compartidos, la continuidad de sus actividades depende de que los controles de seguridad contemplen las conexiones entre organizaciones y no solamente los sistemas propios.
“En México nos preparamos para una auditoría financiera, pero no para una auditoría de ecosistema. Tu seguridad es tan fuerte como el eslabón más débil de tu cadena”, concluyó Fuentes.
La ciberseguridad en las cadenas de suministro requiere, por tanto, conocer los accesos de terceros, establecer responsabilidades contractuales y supervisar el uso de tecnologías externas. Para las empresas mexicanas integradas a redes internacionales de producción, estas medidas forman parte de la gestión de riesgos operativos asociados con la dependencia de proveedores.
