Los 7 puntos vitales en la ciberseguridad de las cadenas de suministro

La cantidad de dinero que las empresas pierden cuando su ciberseguridad se ve vulnerada son millonarias. De acuerdo con Cybersecurity Ventures los crímenes en esta área costarán para 2023 ocho trillones de dólares.

El estudio indicó que el cibercrimen costará al mundo 9.5 trillones en 2024 y estimó que para 2025 será de 10.5 trillones. Las cifras son equiparables con el Producto Interno Bruto de grandes economías.

La ciberseguridad busca talento: Hay millones de vacantes sin cubrir en todo el mundo

Si el cibercrimen se midiera como un país, en términos de Gross Domestic Product (GDP) o Producto Interno Bruto (PIB), éste sería la tercera economía más grande del mundo después de Estados Unidos (cuyo PIB es de 25 trillones de dólares) y China (con 18.3 trillones de dólares)”.

Fernando Núñez, especialista en Akamai.

El experto subrayó que la ciberseguridad no es un tema de tecnología, se trata de un tema de negocios que debe de importar a las organizaciones de cualquier industria, incluyendo la de la logística.

Los ataques más recientes

Un reporte de 2020 elaborado durante 17 años consecutivos por Ponemon Institute, encuestó a 550 empresas, distribuidas en 17 países diferentes, que han sufrido algún incidente de seguridad.

Según el análisis, el costo promedio de una filtración de datos fue de 4.35 millones de dólares en el 2022 y el costo global promedio de un ataque de ransomware fue de 4.54 millones de dólares en el 2022.

Compañías que han recibido ciberataques:

• Merck: La farmacéutica recibió un ataque de ransomware notpetya el 27 de junio del 2017. El costo de los daños fue de 850 millones de dólares y la interrupción de la fabricación de la vacuna contra el papiloma humano que tuvo que parar la producción y hubo una pérdida en ventas de 400 millones de dólares. Se infectaron más de 30 mil computadoras y hubo un enfrentamiento legal contra la aseguradora alegaba una guerra cibernética por un tema geopolítico. Finalmente en el 2022 se logró resolver a favor de Merck.
• Toyota: La compañía tuvo un ataque cibernético en la cadena de suministro con su proveedor Kojima Industries Corporation. Los hechos ocurrieron el 28 de febrero del 2022 y tuvieron que suspender las operaciones en 28 líneas de producción en 14 plantas de Japón por todo un día. Esto afectó la fabricación de 17 mil autos, equivalente a una tercera parte de la producción global de Toyota, el costo estimado de las pérdidas fue de 356 millones de dólares.
• Clorox: El ataque sucedió el 14 de agosto del 2023 y hubo daños a la infraestructura de tecnologías de información y el suministro de productos se vio interrumpido. Se prevé una disminución en ventas de entre el 23 y el 28%, además la pérdidas en el valor de las acciones. El regreso a las operaciones de manera parcial les tomó poco más de 40 días.

¿Y las cadenas de suministro?

En una encuesta realizada por Gartner, el 52% señaló que el objetivo principal en los ataques cibernéticos que recibió habían apuntado a los proveedores de logística, 32% a los proveedores de nivel 1 nivel 2, por lo que la ciberseguridad en la cadena de suministro es vital.

Ciberseguridad: 5 aspectos que debes cuidar para tu gestión de riesgo

“La cadena de suministro debe ser parte de la gestión general de riesgo. Hablando específicamente de la interrupción en la operación, se tiene que ver qué tan tolerantes pueden ser a este riesgo, si la empresa se llega a quedar sin operación en minutos, horas, días, cuánto le cuesta”, enfatizó Núñez.

La encuesta de Gartner señaló que en términos de ciberseguridad en la cadena de suministro, el 28% espera un incremento de menos del 5%; un 44% espera que haya un incremento entre el 5 y el 10% y un 18%, que hay un incremento de poco más de 10%.

Aunque los líderes de la cadena de suministro consideran incrementar la inversión en esta área, actualmente existe escasez de expertos en ciberseguridad. En México la demanda es de 750 mil.

Según el experto, las organizaciones deben de contar con un modelo de ciberseguridad de de siete capas:

1. Seguridad de datos: Para proteger la transmisión y el almacenamiento de los datos se requiere un cifrado de los datos e información, respaldos o copias de seguridad para que se puedan restaurar ante un ataque.
2. Seguridad de los endpoints: Los puntos finales de los dispositivos con los que los usuarios tienen interacción, como móviles, tabletas, computadoras y algunas soluciones que pueden detectar algún tipo de incidente.
3. Seguridad de aplicaciones: Existen empresas que para el manejo de sus transacciones con sus proveedores de la cadena de suministro también suelen utilizar un portal que puede estar expuesto a Internet y si ese portal que es para B2B son necesarios varios productos, un firewall de aplicaciones web, una solución de protección de APIs, una una solución de manejo de bots, etc.
4. Seguridad de red: Se implementan controles de seguridad para proteger la red de la empresa, la infraestructura de tecnologías de información y la infraestructura de tecnologías operativas. El objetivo es evitar el acceso no autorizado a la red para ello hay diferentes tipos de dispositivos.
5. Seguridad en el perímetro: Puede ser una seguridad física de la empresa pero también una seguridad digital, existen dispositivos para ello.
6. Seguridad del usuario: Suele ser conocido como el eslabón más débil en la cadena de seguridad. El control de accesos, autenticación de los usuarios para acceder a los recursos de sistemas, de cómputo, un factor múltiple de autenticación.
7. Seguridad de emisión crítica: Los dispositivos, servidores, computadoras y sistemas donde tienen las aplicaciones críticas e información crítica de la empresa.