El pasado 30 de noviembre, Emilio Rico, Security Advisor de Grupo TRC, expuso esta realidad en el evento de ciberseguridad XVI Jornadas STIC CCN Cert y IV Jornadas de Ciberdefensa: ESPDEF-CERT. Las grandes empresas están detectando que los ataques no se hacen directamente a sus redes, sino que emplean su cadenas de suministro como vector de ataque. Se prevé que, en 2030, este será el principal problema de ciberseguridad en cualquier organización.

En el desarrollo de aplicativos y productos tecnológicos, los elementos son el resultado de múltiples composiciones de librerías y desarrollos de terceros que en su origen pueden no haber estado orientados en su capa de ciberseguridad, o simplemente, no están contemplando nuevas amenazas. No estamos hablando de que se esté distribuyendo malware, sino que parte del código que se emplea en nuestros desarrollos, llevan implícitas graves vulnerabilidades detectadas.

Emilio Rico mostró una gran avalancha de ejemplos de empresas(y estados) que han sufrido ataques en este sentido gracias a vulnerabilidades en su código fuente, corporaciones como TESLA, Minecraft, Apple… sirven de foto para escalar este problema.

CONFÍA, PERO VERIFICA

Como respuesta, Emilio Rico expuso los fundamentos de la matriz MITRE para el seguimiento y análisis de los incidentes detectados en el mundo industrial que recopila gran parte de las tácticas, técnicas y procedimientos utilizados.

Podemos resumirlos en realizar una valoración de que sea capaz de definir la fiabilidad, reputación, calidad… tanto de las empresas como componentes y servicios que ofertan.

• En la cadena de proveedores analizar los componentes y servicios desarrollados.
• En la cadena de componentes, analizar su fiabilidad, rendimiento, autenticidad, integridad de la información…
• En la cadena de servicio, valorar su integridad, calidad, seguridad y la reputación y fiabilidad del servicio y empresa.

¿Significa que tenemos que desconfiar de TODO y revisar TODOS los elementos que componen nuestra red y software para estar seguros? Obviamente, esta labor es imposible, pero existen herramientas y procedimientos que agilizan y simplifican este trabajo.

Si quiere saber más, no dude en consultar con nuestro equipo de ciberseguridad