Servicios de seguridad de la cadena de suministro

La gestión de la cadena de suministro implica establecer políticas y procedimientos claros para abordar los riesgos de ciberseguridad; es el primer paso esencial para tomar el control de los riesgos procedentes de su cadena de suministro. La ciberseguridad en la cadena de suministro debe integrarse en todo el proceso, empezando por la incorporación inicial de los proveedores.

Otra parte esencial de la gestión de la cadena de suministro es el proceso de supervisión; la ciberseguridad no es una actividad puntual, debe integrarse profundamente en todo el proceso de adquisición. La gestión de la cadena de suministro incluye la clasificación de los proveedores en función del riesgo, la definición de los requisitos de seguridad, la supervisión del cumplimiento y las prácticas de auditoría. El resultado es un marco estructurado para gestionar y reducir las vulnerabilidades en toda la cadena de suministro.

Utilizamos los requisitos de los marcos existentes, como ISO 27001, NIST CSF e IEC 62443 y preparamos cuestionarios pertinentes que pueden integrarse además con las herramientas existentes utilizadas para la cadena de suministro.

Basándonos en el nivel de riesgo asignado, realizamos evaluaciones de los proveedores de alto riesgo y revisiones de los proveedores de bajo riesgo, utilizando cuestionarios preparados. La principal diferencia es la profundidad de la evaluación; los proveedores de mayor riesgo requieren un nivel de assessment más profundo.

Una assessment de proveedores se centra en evaluar las prácticas de ciberseguridad de un proveedor individual y el cumplimiento de los requisitos. El objetivo es analizar todos los requisitos de ciberseguridad pertinentes y evaluar las pruebas de cumplimiento aportadas. El resultado es un informe detallado que resume los resultados de la revisión para ese proveedor específico, destacando cualquier riesgo o área de mejora. Este servicio está dirigido a los proveedores de alto riesgo.

Una revisión de proveedores implica la evaluación de los proveedores de bajo riesgo con respecto a los criterios de ciberseguridad definidos, evaluando su cumplimiento y los riesgos potenciales. La atención se centra en la revisión del estado de cumplimiento proporcionado; las pruebas sólo se revisan por muestreo. El proceso concluye con un informe combinado que resume los resultados de la revisión de todos los proveedores, ofreciendo una visión clara de la postura de seguridad de su cadena de suministro.

También podemos realizar una evaluación del ciclo de vida de desarrollo de software (SDLC) de sus proveedores externos. Evaluamos cómo se integra el desarrollo seguro en sus procesos, desde el diseño y la codificación hasta las pruebas y la publicación. Nos centramos en identificar los puntos débiles que podrían introducir riesgos en su organización a través de un código inseguro, un uso deficiente de las bibliotecas de terceros o la omisión de pasos de validación.

Examinamos áreas clave como las prácticas de diseño seguro, el modelado de amenazas, las políticas de revisión del código, las pruebas estáticas y dinámicas y la gestión de dependencias. Los resultados se comparan con los estándares de desarrollo seguro. Usted recibe un informe estructurado, que incluye calificaciones de riesgo, perspectivas procesables y recomendaciones específicas para el proveedor. Esto le ayuda a ganar visibilidad, reducir el riesgo de la cadena de suministro de software y cumplir los requisitos establecidos por normativas como DORA y NIS2.