Tu exposición también tiene proveedores: CTEM y riesgo de terceros para el directorio

Casi la mitad de las brechas involucra a un tercero. Cómo llevar la gestión continua de la exposición (CTEM) a los proveedores y al directorio.

Tu exposición también tiene proveedores: CTEM y riesgo de terceros para el directorio

Casi la mitad de las brechas ya tiene un tercero de por medio. Por qué la gestión continua de la exposición a amenazas (CTEM) tiene que incluir a los proveedores, y cómo convertirla en pocas decisiones claras para el directorio.

Casi la mitad de las brechas ya no empieza en tu empresa: empieza en un proveedor. Según el estudio global de brechas más reciente, las que tienen un tercero de por medio llegan al 48 % del total, frente al 30 % del año anterior. Es un 60 % más en un año, y el año anterior la cifra ya se había duplicado.

La pregunta para el directorio es directa: ¿sabe cuáles de sus proveedores podrían detener el negocio?


Dos informes que no se hablan

Hoy al directorio le suelen llegar dos informes por separado. Uno trae miles de vulnerabilidades clasificadas en rojo, amarillo y verde. El otro reúne los cuestionarios de proveedores, que se responden una vez al año.

Ninguno responde lo que el directorio necesita saber: qué puede detener el negocio y qué conviene arreglar primero. El primero mide fallas técnicas sin relación con los procesos. El segundo describe al proveedor en una fecha puntual y no vuelve a mirarlo hasta el año siguiente.

El atacante no espera al parche

Un informe global de incidentes estima que el tiempo medio hasta la explotación llegó a −7 días: en promedio, la explotación empieza antes de que exista el parche.

Del lado de quien defiende, el estudio de brechas citado arriba encontró que corregir por completo una vulnerabilidad crítica toma una mediana de 43 días, frente a 32 el año anterior. La medición se hizo sobre vulnerabilidades críticas de dispositivos de borde y del catálogo KEV de CISA. Son dos estudios distintos, así que las cifras no se restan, pero muestran el mismo desfase.

Y explotar una vulnerabilidad ya es la primera vía de entrada, con el 31 % de las brechas, por delante de las credenciales robadas.

De vulnerabilidades a exposición

Por eso conviene medir otra cosa: la exposición. Es todo lo que un atacante podría usar contra la organización, sus sistemas, su nube y también sus proveedores.

Gestionarla sin pausa se llama: CTEM, gestión continua de la exposición a amenazas. Es un programa en cinco etapas (alcance, descubrimiento, priorización, validación y movilización) que empieza por el negocio. Para el riesgo de terceros (TPRM), su aporte es tratar a los proveedores como parte de la misma superficie que se gestiona.

Alcance y descubrimiento, con los proveedores dentro

El alcance parte de una decisión de negocio: cuáles son los procesos que no pueden detenerse, como ventas, pagos o producción. Los proveedores que sostienen esos procesos entran en el alcance desde el inicio. Según la clasificación de terceros del mismo estudio de brechas, son, por ejemplo, el que aloja tus datos, el que presta un servicio como el procesamiento de pagos y el que se conecta a tu entorno por acceso remoto.

El descubrimiento junta los activos propios y los de terceros en un solo mapa, cada uno unido al proceso que sostiene. Aquí el cuestionario anual muestra su límite: retrata al proveedor un solo día, mientras su exposición cambia el resto del año. Por eso el seguimiento tiene que ser continuo: sus fallas visibles desde internet, sus incidentes y sus accesos a tu red.

En el análisis de las configuraciones de doble factor (MFA) ausentes o mal configuradas en cuentas de nube de terceros, la mitad de los hallazgos se resolvió dentro del primer mes, pero solo el 23 % de los terceros llegó a corregirlo por completo.

Priorizar y validar por impacto en el negocio

Con el mapa armado, una falla crítica en un servidor de pruebas puede esperar. Una de severidad media en el sistema de pagos, quizá no.

La pregunta para cada riesgo es la misma: si alguien lo explota, ¿qué proceso se detiene y cuánto cuesta? Un estudio basado en unos 70.000 reclamos a seguros cibernéticos encontró que, en los incidentes de cadena de suministro o de terceros, la interrupción del negocio (directa o por la caída de un tercero) representa el 50 % de los montos de pérdida conocidos.

Después viene la validación: comprobar si un atacante de verdad puede llegar hasta ese proceso. Lo que no se puede explotar baja en la lista y lo que sí se puede explotar sube al primer lugar.

Movilizar: dueño, plazo y decisión

Cada riesgo prioritario recibe un dueño, un plazo y una decisión: corregir, mitigar, transferir o aceptar. Con un proveedor, la decisión muchas veces pasa por el contrato: exigir la corrección, recortar sus accesos o reemplazarlo.

Luego el ciclo vuelve a empezar, porque la exposición cambia todo el tiempo.

Por qué es un tema de directorio

El cambio para el directorio es pasar de miles de alertas a pocas decisiones claras, en un solo tablero que muestre qué procesos están expuestos, a través de qué proveedor y qué se está haciendo al respecto.

La regulación va en la misma dirección. En Europa, la directiva NIS2 (UE 2022/2555) establece en su artículo 20 que los órganos de dirección aprueban las medidas de gestión de riesgos de ciberseguridad, supervisan su aplicación y pueden responder por los incumplimientos. El artículo 21 incluye la seguridad de la cadena de suministro, con la relación con los proveedores directos, entre las medidas mínimas, y pide considerar las vulnerabilidades propias de cada proveedor. En distintos países, leyes y agencias nacionales de ciberseguridad ya exigen lo mismo a la infraestructura crítica y a su cadena de suministro.

¿Quieres ver tu exposición, con tus proveedores incluidos, en un solo tablero?

En Assertiva te ayudamos a armar ese mapa y a convertirlo en decisiones para el directorio. Escríbenos a contacto@assertiva.biz.

Fuentes



Iniciar sesión para dejar un comentario
Assertiva en Segurinfo Chile 2026: Casos de Éxito, Gobernanza en IA y Relacionamiento Ejecutivo