Integridad de la cadena de suministro

Ciberseguridad de la cadena de suministro: por qué es importante

La resiliencia operativa es un enfoque clave para gestionar los riesgos de todo tipo de amenazas en una organización. El objetivo final es mantener la eficacia operativa ante los ataques y las interrupciones en la cadena de suministro, los ciberataques y las interrupciones empresariales causadas por peligros naturales.

Hable con el equipo y consulte sobre evaluaciones de hardware hoy

Muchas organizaciones han ampliado sus cadenas de suministro a nivel global, incluso en países claramente hostiles, con componentes, hardware, equipos, software y recursos humanos operados, fabricados y adquiridos en todo el mundo.

La globalización ha generado abundantes oportunidades para el crecimiento empresarial y la eficiencia, así como fragilidad operativa derivada de cadenas de suministro largas y complejas. En la actualidad, se producen cambios sustanciales en el entorno de seguridad global impulsados por el resurgimiento de la competencia entre grandes potencias, lo que está acelerando los esfuerzos de reshoring de capacidades y capacidad de fabricación crítica.

Además, el riesgo de ciberataques contra la cadena de suministro sigue obstaculizando el crecimiento y la expansión empresarial. En 2019, la cadena de suministro digital de SolarWinds fue comprometida por actores de amenazas que infectaron un pipeline de actualizaciones de software con código malicioso conocido como Sunburst. En total, se estimó inicialmente que 18.000 clientes habían instalado sin saberlo una actualización maliciosa posterior liberada por la empresa. SolarWinds revisó posteriormente esta cifra a aproximadamente 100 clientes, incluidas agencias gubernamentales, así como Microsoft, FireEye e Intel, lo que pone de manifiesto las graves consecuencias de una cadena de suministro insegura.

Otro evento notable de seguridad en la cadena de suministro de los últimos años es conocido como Log4j, una vulnerabilidad crítica descubierta en el sistema de registro de código abierto Apache Log4j, utilizado por innumerables sistemas y soluciones de software basadas en Java en todo el mundo. En su punto álgido en 2021, investigadores de seguridad registraron más de 10 millones de intentos exploit por hora, poniendo en riesgo la seguridad de cientos de millones de dispositivos.

Años después, el riesgo para las cadenas de suministro digitales sigue aquejando incluso a las empresas tecnológicas más destacadas de la actualidad. Recientemente, el presidente de Microsoft, Brad Smith, fue interrogado por miembros del Congreso en relación con la vulneración de las cuentas de correo electrónico de Microsoft Exchange pertenecientes a funcionarios del Departamento de Estado.

El hardware también puede comprometer la estabilidad de las cadenas de suministro actuales. La escasez de chips durante y después de la pandemia demuestra la fragilidad de las cadenas de suministro globales especializadas, lo que ha provocado problemas de producción en innumerables empresas y una disponibilidad limitada de productos para los consumidores. Las organizaciones deben tener en cuenta ahora los cambios en el sector de los semiconductores, como la ley estadounidense CHIPS Act de 2022 CHIPS Act, que restringe la financiación federal a las organizaciones de semiconductores que externalizan el desarrollo a países específicos.

Por ejemplo, desde 2019, Huawei ha sido incluida en la lista negra comercial de EE. UU. Estas restricciones se han reforzado este año, y fabricantes de chips estadounidenses como Qualcomm e Intel no pueden exportar ni vender determinados productos a Huawei. Existen acusaciones de que Huawei tiene vínculos con el ejército chino.

Sin embargo, proteger la cadena de suministro y garantizar su integridad de extremo a extremo ha sido siempre una tarea compleja y, en algunos casos, profundamente desafiante.

Las organizaciones deben considerar no solo problemas de software, problemas logísticos, hardware falsificado o defectuoso y amenazas internas. En los últimos años, IOActive ha observado un cambio en las tácticas hacia una mayor sofisticación, en el que las empresas objetivo se ven comprometidas indirectamente mediante explotaciones en cadena, como las de fabricantes upstream y proveedores de terceros.

La cadena de suministro es un punto de entrada a las redes corporativas que los actores de amenazas están atacando en masa.

Mantener la integridad de la cadena de suministro exige prácticas de seguridad sólidas y específicas en cada eslabón de la cadena de valor. Los proveedores, los vendedores y sus propios proveedores y vendedores también deben ganarse y mantener un alto nivel de confianza. La más mínima mancha en las operaciones de un tercero puede socavar la seguridad de toda la cadena de suministro, degradar la integridad y la confianza, interrumpir las operaciones y causar daños reputacionales.

Las cadenas de suministro actuales deben alcanzar un estado de resiliencia, construido desde las raíces de confianza a nivel de silicio y estructurado de manera que implemente la seguridad en cada capa tecnológica y cada nivel de la cadena de suministro.

Aquí radica el desafío. A medida que las cadenas de suministro crecen en tamaño y complejidad, el riesgo puede aumentar exponencialmente. Según las estimaciones de los analistas de McKinsey, una empresa automotriz tiene, de media, vínculos con aproximadamente 250 proveedores de primer nivel, pero esta cifra aumenta hasta unos 18.000 en toda la cadena de suministro. En comparación, una empresa tecnológica trabaja con alrededor de 200 proveedores de primer nivel, cifra que se eleva a unos 12.000 en todos los niveles de la cadena de suministro.

Pocas empresas revelan exactamente cuántos proveedores tienen, pero si consideramos que solo Walmart opera una cadena de suministro con más de 100.000 proveedores, podemos ver que la seguridad de la cadena de suministro no puede lograrse con un enfoque tradicional de defensa y gestión de riesgos en ciberseguridad.

IOActive adopta un enfoque único basado en la «mentalidad del atacante» en materia de seguridad y combina investigación experta con técnicas probadas con el tiempo para proteger las cadenas de suministro modernas en todos los niveles de la pila tecnológica, incluido el nivel de silicio. En esta guía, analizaremos cómo gestionar los riesgos operativos de las cadenas de suministro modernas y por qué la implementación de un marco de trabajo de seguridad desde el diseño es crucial para la integridad de la cadena de suministro en la actualidad.

Seguridad de la cadena de suministro, explicada

Las cadenas de suministro están formadas por una red de entidades, incluidos fabricantes, empresas, distribuidores y proveedores asociados que producen productos o servicios.

Estas cadenas, descritas de otro modo como pasos en una red de producción, están ahora muy influenciadas por la tecnología y pueden incluir desde componentes físicos hasta operadores humanos y tecnologías de nueva generación, como la automatización y la inteligencia artificial (AI).

Los productos y componentes físicos, incluidos los procesadores y otro hardware informático crítico, se fabrican y se desplazan a lo largo de una cadena de suministro, hasta llegar finalmente a las organizaciones finales o a los consumidores. Las cadenas de suministro digitales son similares en el sentido de que los ciclos de vida del desarrollo de software avanzan a través de etapas de desarrollo, que pueden incluir cambios en el código y en la configuración, antes de ser liberados a los licenciatarios y usuarios finales.

No obstante, cada eslabón de una cadena de valor, ya se trate de hardware, software o servicios, amplía la superficie de ataque. Los factores de riesgo incluyen componentes obsoletos y vulnerables, hardware falsificado y falso, amenazas internas, zero-day y vulnerabilidades conocidas, sin parchear o mitigadas, así como la falta de comunicación o de establecimiento de estándares de seguridad básicos entre los socios de la cadena de suministro.

Las organizaciones deben mantener la resiliencia y la integridad de la cadena de suministro, al tiempo que evitan la interrupción de las operaciones. Para obtener los mejores resultados, las organizaciones deben ser capaces de gestionar los incidentes con rapidez y regresar a los niveles y capacidades operativas previos a la crisis.

La urgencia de aplicar prácticas de seguridad sólidas en la cadena de suministro y los riesgos modernos asociados a la producción de productos altamente integrados y complejos no han pasado desapercibidos, pero aún queda un largo camino por recorrer para alcanzar una verdadera integridad y resiliencia de la cadena de suministro.

Según una reciente encuesta e informe publicados por la Agencia de la Unión Europea para la Ciberseguridad (ENISA), el 86 % de los encuestados aplican políticas de ciberseguridad en la cadena de suministro de tecnologías de la información y la comunicación (ICT) y de tecnología operativa (OT), pero menos de la mitad, el 47 %, han asignado presupuestos para las actividades asociadas.

En total, el 61 % de las organizaciones implicadas en cadenas de suministro exigen una certificación de seguridad a sus proveedores, el 43 % utiliza servicios de calificación de seguridad y el 37 % afirma realizar diligencia debida o evaluaciones de riesgo. Por desgracia, el 9 % de los encuestados de las organizaciones participantes indican que no evalúan los riesgos de seguridad de su cadena de suministro.

Establecer políticas de seguridad y planes de respuesta adecuados para gestionar los riesgos de la cadena de suministro puede resultar difícil, dado que existe una comprensión muy dispar de las amenazas de ciberseguridad: ¿Cuándo se producirán? ¿De dónde procederán? ¿Cuáles serán las repercusiones? ¿Qué ataques son posibles?

Estos problemas afectan a todos los sectores, incluidas las infraestructuras críticas, la energía, la manufactura, las telecomunicaciones, la tecnología, la logística y el transporte. Dado que la economía actual depende de la disponibilidad puntual de productos y servicios, una interrupción —como una escasez de chips o el cierre de una línea de producción por un ciberataque— puede tener consecuencias de gran alcance.

En lugar de centrarse únicamente en eventos de alto impacto y bajo riesgo, como los ataques llevados a cabo por grupos de ciberataques patrocinados por el Estado, la mayoría de las organizaciones deberían reforzar hoy la resiliencia de su cadena de suministro creando una base segura en cada etapa de producción y distribución.

«Por lo general, los ataques a la cadena de suministro no se centran en el objetivo inicial, sino en aprovecharlo para moverse lateralmente a través de la cadena de suministro». John Sheehy, SVP, Research and Strategy en IOActive

Una cadena de suministro segura debe situar la seguridad en su núcleo. Para las empresas modernas, esto significa que la seguridad debe considerarse desde la capa más baja de la pila tecnológica, el nivel de silicio.

La implementación de controles de seguridad en los niveles tradicionales de tecnología de la información (IT), red y aplicación ya no es suficiente. Los ataques a la cadena de suministro basados en hardware están en aumento, incluida la inserción de hardware falsificado en las cadenas de suministro, el robo de propiedad intelectual para habilitar futuros ataques y los ciberataques basados en silicio, que incluyen robo de datos y vigilancia, implantes, backdoors y el acceso no autorizado de individuos a activos corporativos.

En IOActive, somos conscientes de que es crucial verificar los componentes y el hardware antes de que entren en la cadena de suministro. Nuestro equipo de seguridad del silicio ayuda a los clientes a comprender los riesgos emergentes de los ataques a nivel de silicio, y podemos apoyar a organizaciones legítimas en la evaluación de chips, dispositivos y sistemas para mejorar la resiliencia general de la cadena de suministro.

Durante las últimas décadas, IOActive ha liderado la investigación en ciberseguridad de sistemas hardware y embebidos, aprovechando nuestra experiencia en estas áreas para perfeccionar nuestras técnicas de ataque y operacionalizar la defensa de la seguridad de la cadena de suministro y del silicio.

IOActive adopta una mentalidad única de «atacante» al realizar ataques basados en silicio, que incluyen actividades de caja blanca, caja gris y caja negra que contribuyen a la creación de modelos de amenazas personalizados de gran valor para nuestros clientes. Nuestros servicios incluyen:

• Investigación y análisis
• Evaluación y confirmación de funciones de seguridad
• Extracción de datos y netlist (NVM)
• Muestreo de riesgos de la cadena de suministro y modelado de amenazas
• Detección de hardware backdoor
• Apoyo contra infracción de PI
• Evaluaciones de riesgos

La seguridad de la cadena de suministro depende de un diseño e implementación adecuados de la seguridad del hardware. Comprender los chips, su arquitectura de seguridad y sus perfiles de riesgo permite tomar decisiones empresariales informadas sobre proveedores, alianzas, iniciativas de negocio y la protección de la propiedad intelectual.

IOActive se especializa en evaluaciones de seguridad de pila completa y puede evaluar la seguridad en todos los niveles, desde el silicio y el hardware hasta los programas, las políticas y la gobernanza, para ofrecer a nuestros clientes una visión holística de la resiliencia de sus cadenas de suministro frente a la explotación.

Para obtener más información sobre nuestros servicios de evaluación de silicio y pila completa, contáctenos hoy.

Obtener la ficha de servicios de seguridad del silicio

Cómo las nuevas regulaciones de chips impactan en la cadena de suministro

Las amenazas en el proceso de fabricación entrañan riesgos para las cadenas de suministro globales y, por tanto, han impactado en el ámbito político. Los reguladores de todo el mundo examinan las amenazas que plantean el hardware y los componentes falsificados introducidos en las cadenas de suministro, que pueden poner en riesgo la seguridad nacional y la seguridad pública, así como los peligros de los ciberataques.

En respuesta a las tensiones geopolíticas, que necesariamente incluyen una falta de confianza, e impulsados por el deseo de promover el crecimiento económico nacional, numerosos gobiernos están intentando traer de vuelta los elementos críticos de la cadena de suministro dentro de las fronteras nacionales mediante esfuerzos de relocalización.

Un excelente ejemplo de este esfuerzo es la ley estadounidense CHIPS Act. Esta ley, que entró en vigor en 2022, restringe la financiación y los subsidios federales al prohibir a las organizaciones semiconductoras receptoras expandir sus operaciones en cualquier país considerado una «amenaza para la seguridad nacional» de los Estados Unidos. En la actualidad, estos países incluyen la República Popular China (RPC).

Una ley comparable es la CHIPS Act europea. Con una estimación de un billón de microchips fabricados a nivel mundial en 2020 y una demanda que se espera que se duplique para 2023, esta ley propone un marco para reforzar la producción de semiconductores por parte de los Estados miembros de la Unión Europea (UE), mejorar la resiliencia de las cadenas de suministro y reducir las dependencias externas de tecnologías y componentes críticos.

En vigor desde 2023, la Comisión Europea afirma que la ley «reforzará la competitividad y la resiliencia de Europa en tecnologías y aplicaciones de semiconductores».

Cómo empezar a proteger la cadena de suministro

La seguridad de la cadena de suministro conlleva desafíos complejos, y verificar por completo cada componente, procesador, dispositivo físico, proveedor, fragmento de código fuente y proceso de desarrollo o distribución es casi con total seguridad imposible.

No obstante, esto no significa que carezcamos de capacidad para mejorar la resiliencia de las cadenas de suministro actuales y reducir el riesgo de interrupción operativa; muy al contrario.

La seguridad de la cadena de suministro es un proceso continuo, no el resultado de una única auditoría o comprobación. Para acompañarle en este camino, a continuación analizamos los aspectos más importantes para proteger su cadena de suministro frente a las amenazas actuales.

Cree una base de hardware segura

En los últimos años, IOActive ha observado un cambio en las tácticas de los ciberdelincuentes. Existe ahora un desafortunado interés en comprometer el hardware para infiltrarse en las cadenas de suministro globales. Esto incluye la colocación de implantes, rootkits, malware diseñado para atacar sistemas embebidos y la explotación de fallos involuntarios en componentes informáticos y configuraciones.

A medida que el sector de los semiconductores sigue expandiéndose y aumenta la importancia operativa de los dispositivos de consumo y empresariales, garantizar la integridad del hardware es crucial para la seguridad de la cadena de suministro.

En la medida de lo posible, las cadenas de suministro deben diseñarse para garantizar la seguridad, la resiliencia y la integridad, con evaluaciones realizadas sobre una base adecuada al riesgo –ya sea por las propias organizaciones o por terceros de confianza– para verificar los componentes y asegurar que su rendimiento y resultados se ajustan a las expectativas.

Además, las organizaciones deben realizar de forma periódica comprobaciones de firmware y centrar sus estrategias de gestión de riesgos en los problemas más amplios de calidad e integridad de los componentes, en lugar de limitarse a los eventos de baja frecuencia y alta consecuencia, como el riesgo de ataques patrocinados por el Estado. El marco de evaluación de la cadena de suministro de Open Compute Project (OCP), OCP SAFE, es un excelente ejemplo de un enfoque informado para gestionar los riesgos de hardware e integridad de firmware.

Más información sobre los servicios de IOActive OCP S.A.F.E.

Software: desarrollo de código seguro

Aunque el hardware debe ser fundamental para la verdadera integridad de la cadena de suministro, no debemos olvidar la importancia de la seguridad del software, ya que todos los niveles de la pila tecnológica deben estar protegidos frente a ataques.

Existen desafíos asociados a la integridad del software y a las comprobaciones de verificación, como el acceso potencialmente limitado al código fuente y a la propiedad intelectual, pero disponemos de numerosas herramientas escalables que pueden asistir en revisiones y evaluaciones de terceros, incluidas revisiones de seguridad de binarios.

Las organizaciones deben integrar las comprobaciones de firma de código y cifrado, revisar los registros de cambios de los proveedores y asegurarse de estar informadas de cualquier cambio significativo en el software y las actualizaciones, ya sea propietario o de código abierto.

Considere el Ciclo de Vida de Desarrollo de Productos Seguros (SDL)

El ciclo de vida de desarrollo de productos seguros (SDL) es fundamental para proteger las cadenas de suministro de software.

Una SDL implica la creación y el cumplimiento de un conjunto de prácticas para garantizar la calidad, la seguridad y la privacidad en todas las etapas del desarrollo de un producto. Al mapear el proceso completo de desarrollo de software e integrar controles, auditorías y revisiones en cada etapa, las organizaciones pueden resolver vulnerabilidades, eliminar posibles vías de explotación y mejorar la seguridad de los productos antes de su despliegue.

Como explica la Agencia de Ciberseguridad e Infraestructura de EE. UU. (CISA), los marcos de trabajo SDL definen los procedimientos y políticas en producción, especificando cómo y cuándo se llevarán a cabo el desarrollo, la verificación y la validación de productos. Estos pueden incluir prácticas de programación segura, revisiones de código, pruebas, evaluaciones de vulnerabilidades, controles de aseguramiento de la calidad y cómo se establecerán y gestionarán canales seguros de distribución e implementación. Un excelente ejemplo de un marco de trabajo SDL estandarizado para una industria vertical específica es SAEISO 21434, que “incluye requisitos para procesos de ciberseguridad y un lenguaje común para comunicar y gestionar el riesgo de ciberseguridad”.

Una reflexión sobre la IA

También es importante considerar los cambios que el machine learning (ML) y la inteligencia artificial (AI) inevitablemente introducirán en el proceso SDL y en la integridad de la cadena de suministro en su conjunto.

La IA, más allá de los asistentes de chat y los modelos básicos de aprendizaje automático (ML), podría convertirse en una herramienta invaluable para reducir el código inseguro. No obstante, al mismo tiempo, las organizaciones deben considerar cómo la IA podría emplearse con fines maliciosos, por ejemplo, para apoyar la escritura de malware diseñado específicamente para atacar componentes o software concretos, algo que, de otro modo, quedaría fuera de las capacidades de muchos actores de amenazas.

Las cadenas de suministro, por su propia naturaleza, deben ser fluidas y flexibles. Las tecnologías disruptivas, incluida la IA y otras tecnologías de próxima generación en el horizonte, podrían cambiar el panorama de la fabricación y la distribución globales. Al centrarse en la resiliencia y la integridad, las organizaciones se ofrecerán a sí mismas la mejor oportunidad de superar cualquier futura interrupción de su eficacia operativa.

Actualizaciones de firmware para productos físicos

Durante la última década, hemos observado una falta de prácticas de seguridad sólidas en relación con las actualizaciones firmware de productos físicos, incluida la ausencia de actualizaciones seguras, comprobaciones de integridad criptográfica robustas, una fuerte cifrado firmware para resistir la ingeniería inversa y actualizaciones innecesariamente retrasadas.

Con miles de millones de dispositivos conectados en todo el mundo, muchos de los cuales aún contienen credenciales codificadas y son fabricados por proveedores que no ofrecen procesos de parcheo oportunos, examinar la firmware de los productos físicos es crucial para proteger la cadena de suministro.

Como se señala en un informe de 2022 publicado por los Departamentos de Comercio y Seguridad Nacional de EE. UU., muchos de los OEM actuales también externalizan el firmware desarrollo a terceros, lo que «introduce riesgos relacionados con la falta de transparencia en los estándares de programación y ciberseguridad de los proveedores».

Aunque la seguridad de algunos productos físicos está limitada por las capacidades del chip integrado y los presupuestos de potencia, firmware, al igual que el software de computación tradicional, debe protegerse frente a amenazas cibernéticas mediante actualizaciones de seguridad periódicas. Esto es especialmente cierto teniendo en cuenta los privilegios asignados a firmware, que, en manos equivocadas, podrían provocar que se eludieran los controles de seguridad.

Arquitectura de chips: ¿por qué es importante?

A medida que los dispositivos de consumo y empresariales crecen exponencialmente, gestionar y verificar los chips que los alimentan es fundamental para garantizar la integridad de la cadena de suministro.

La selección de la arquitectura de chip y del proveedor adecuados, informada por la realización de pruebas de garantía de seguridad, es necesaria para evitar problemas que podrían interrumpir todo el proceso de producción y causar impactos reputacionales consecuentes, ya estén relacionados con la cadena de suministro de software o con la línea de producción industrial.

Por ejemplo, si los chips falsificados son indistinguibles de los diseños originales sin asistencia especializada, su uso podría acabar provocando brechas de datos y/o fallos de hardware. En comparación, algunas arquitecturas de chips pueden contener defectos de diseño inherentes que podrían ser explotados por actores de amenazas.

Las organizaciones también deben asegurarse de estar al tanto de los cambios normativos y de cumplimiento en el ámbito de los semiconductores. Esto es especialmente importante en un momento en que los gobiernos de todo el mundo están fomentando el desarrollo de chips dentro de sus fronteras e introduciendo sanciones en algunos escenarios en los que la producción de chips se externaliza fuera de ellas.

Reversing the Chip: Minimizar el riesgo en routers, switches y hardware falsificado

Las organizaciones deben evaluar y validar de forma proactiva el hardware, incluidos los routers y los switches, para minimizar el riesgo en su cadena de suministro.

La evaluación de socios y fabricantes dentro de la cadena de suministro también puede reducir considerablemente el riesgo de interrupciones operativas, problemas técnicos, problemas legales y daños a la reputación.

Un ejemplo de fallos de verificación de hardware con consecuencias catastróficas fue destacado por el FBI, que descubrió productos Cisco falsificados fabricados por socios chinos que acabaron en la cadena de suministro militar de EE. UU.

Los fabricantes de productos falsificados socavan a los productos auténticos, mientras que el crimen organizado y las entidades gubernamentales extranjeras pueden añadir implantes maliciosos, como código o subrutinas encubiertas, en chips falsificados.

Al margen de las preocupaciones de seguridad nacional, los equipos de red, el hardware y los procesadores de calidad inferior o falsificados suelen provocar inestabilidad en productos auténticos, siendo el fabricante legítimo quien asume las consecuencias y los costes.

Detectar este tipo de compromisos en la cadena de suministro puede resultar difícil, especialmente al realizar la diligencia debida a nivel de silicio. Requiere equipos especializados, extracción de microcódigo, material fuente y especialistas cualificados capaces de analizar las operaciones del microprocesador en el nivel más profundo.

No obstante, como IOActive ha demostrado en su investigación y en su capacidad para detectar chips falsos en la cadena de suministro, existen métodos rentables que reducen la superficie de ataque y mejoran la resiliencia y la integridad de las cadenas de suministro actuales.

Estrategias para asegurar la cadena de suministro

El panorama de amenazas evoluciona constantemente y, con él, desarrollar una cadena de suministro basada en la integridad es la mejor forma de mitigar el riesgo de compromiso. No se puede confiar en aquello que no se puede verificar.

Las amenazas y vulnerabilidades no mitigadas en las cadenas de suministro de software, hardware y servicios suponen un riesgo significativo para las organizaciones. Los actores de amenazas cibernéticas han demostrado que una cadena de suministro es tan fuerte como la seguridad de las organizaciones más débiles que intervienen en ella.

A medida que las organizaciones han madurado sus operaciones de ciberseguridad y mejorado su postura de seguridad, su cadena de suministro se convierte en un objetivo más práctico para un actor de amenazas altamente racional. El hardware, firmware, los procedimientos operativos, los proveedores o los elementos humanos ofrecen objetivos atractivos a un actor de amenazas que se enfrenta a un objetivo con una higiene cibernética sólida, lo que le permite ejecutar su secuencia de ataque para infiltrarse y moverse lateralmente por la red, y producir efectos consecuentes a su paso.

Según el estudio Global Cybersecurity Outlook de 2023 del Foro Económico Mundial, la mayoría de los directivos empresariales encuestados consideran que los actores de amenazas cibernéticas tienen ahora más probabilidades de centrarse en la interrupción del negocio y el daño reputacional. Como resultado, los líderes empresariales actuales afirman que la resiliencia cibernética está integrada en las estrategias de gestión del riesgo empresarial de sus organizaciones.

La cadena de suministro no está exenta de estas preocupaciones, y se requiere resiliencia para combatirlas.

Las organizaciones deben centrarse en gestionar prudentemente el riesgo y mantener la eficacia operativa durante incidentes de seguridad o interrupciones en la cadena de suministro para alcanzar una verdadera resiliencia y madurez en seguridad.

IOActive recomienda los siguientes pasos para iniciar su recorrido de integridad y seguridad de la cadena de suministro:

• Identificar las entidades de la cadena de suministro, incluidos los inventarios de productos, componentes, bibliotecas de software y uso de firmware. El uso de SBOM y materiales HBOM sería útil en este contexto, y su aplicación está respaldada por una orden ejecutiva de 2021 que exige a las organizaciones federales utilizar estos documentos.
• Poner en marcha un programa de integridad de la cadena de suministro que combine la confianza ganada y los procesos de verificación para socios, proveedores y hardware
• Colabore con organizaciones asociadas para mejorar la postura de seguridad de sus cadenas de suministro completas, así como aumentar el coste técnico y las consecuencias para los atacantes cibernéticos interesados en atacarlas
• Priorizar las evaluaciones técnicas y de riesgo de las áreas de alto riesgo y alto impacto, como los ataques basados en silicio y firmware, que pueden producir compromisos integrales
• Elaborar modelos de amenazas para enumerar y comprender los vectores de ataque, los riesgos y las consecuencias, así como hojas de ruta para alcanzar los niveles de madurez de seguridad deseados
• Reevaluar periódicamente los controles y los componentes de la cadena de suministro
• Sea consciente de las herramientas y vectores de ataque de próxima generación que pueden afectar a la integridad y seguridad de la cadena de suministro, incluida la inteligencia artificial.

«No se moleste en buscar implantes maliciosos de Estados nación si no busca problemas de calidad con impacto en la seguridad, como las falsificaciones. No es necesario que un actor de amenazas utilice una cadena de suministro lenta, arriesgada y costosa si no parchea sus servidores». John Sheehy, SVP, Research and Strategy en IOActive

Preguntas frecuentes