La conversación que más he repetido este año no empieza con una pregunta técnica. Empieza con una frase incómoda: “nos atacaron, pero el ataque no entró por nosotros”.
Y después de esa frase siempre viene un silencio, y del silencio sale la pregunta que de verdad importa: ¿y esto ahora de quién es?
¿De quién es el problema cuando el ataque entra por otro?
Vale la pena hacer el inventario mental. El proveedor que le factura. El que tiene una VPN abierta para dar soporte. La casa de software que administra su ERP y entra con una cuenta privilegiada. El despacho contable que guarda su nómina completa. La herramienta que alguien de su equipo contrató en tres clics con la tarjeta corporativa y que hoy lee el correo de media empresa.
Todos ellos están adentro. No en sentido figurado: tienen usuario, permisos y una llave que usted no revisa desde hace meses.
Jurídicamente la responsabilidad puede repartirse, y para eso están los contratos y los abogados. En la práctica el reparto es bastante menos elegante. El cliente al que se le filtraron los datos no llama al proveedor: lo llama a usted. El regulador no le escribe al proveedor: le escribe a usted. Y el nombre que aparece en la nota de prensa no es el del proveedor.
Su proveedor tuvo el incidente. Usted tiene el problema.
Los dos números que conviene llevar a la junta
No hace falta llenar una presentación. Con dos cifras alcanza, y las dos son de este año.
La primera: el informe anual de Verizon sobre brechas de datos encontró que el 48% de las brechas analizadas involucró a un tercero. Casi la mitad. Y no es una cifra estable: creció un 60% respecto del año anterior, que ya venía de duplicarse.
La segunda es la que a mí me parece más reveladora. Según el estudio de cadena de suministro de SecurityScorecard, el 78% de las organizaciones reconoce que su programa de seguridad cubre menos de la mitad de su ecosistema de proveedores.
Léalas juntas y el cuadro queda claro. La mitad de los ataques llega por la puerta que casi nadie está mirando.
¿Qué le van a preguntar, y cuándo?
Se lo van a preguntar antes de lo que cree, y probablemente no sea el atacante quien pregunte primero.
Los auditores ya lo están preguntando. Las casas matrices lo preguntan cuando consolidan riesgos. Y las aseguradoras de ciberriesgo lo preguntan de una forma muy concreta, porque de esa respuesta depende la prima y a veces la cobertura misma: quieren evidencia de que usted vigila y de que sabe responder, y quieren saber qué pasa cuando el que falla es un tercero suyo.
Cuando yo me siento de ese lado de la mesa, hay tres cosas que trato de poder contestar sin buscar en el teléfono.
Cuántos proveedores tienen acceso hoy a nuestros sistemas, con qué permisos y desde cuándo. Esa lista casi nunca existe, y cuando se arma por primera vez suele sobrar gente.
Si a uno de ellos lo comprometen esta madrugada, cómo nos enteramos: ¿lo detectamos nosotros por el comportamiento raro de esa cuenta, o esperamos a que el proveedor tenga el valor de llamarnos tres semanas después?
Y qué dice el contrato. Plazo de aviso, obligación de informar, derecho a auditar. Si no está escrito, no existe.
Ninguna de las tres depende del proveedor. Dependen de que alguien esté mirando esas cuentas de forma continua, incluida la madrugada del sábado, que es cuando una credencial de soporte robada se estrena. Sobre cómo evaluar a quien contrata para eso ya escribí antes, cuando hablamos de qué mirar al elegir un proveedor de seguridad, y el criterio es el mismo que aplico ahora para el resto de la cadena.
Si hoy no tiene esa lista de accesos de terceros, es lo primero que levantamos en el diagnóstico sin costo. Suele ser la parte del informe que más sorprende, y no por lo técnico.
Porque la superficie de ataque de su empresa dejó de terminar donde termina su empresa. Y su responsabilidad, tampoco.
