Una empresa puede proteger bien su propia infraestructura y seguir expuesta a través de un tercero. Hoy el riesgo también entra por proveedores de software, librerías open source, APIs, herramientas de desarrollo y servicios tecnológicos conectados a la operación.
ENISA reportó que los compromisos de cadena de suministro y terceros representaron el 10% de los ciberataques que más afectaron las operaciones diarias de las organizaciones analizadas. Además, el 47% los identifica entre sus principales preocupaciones futuras.
Gartner advierte que los atacantes están apuntando a dependencias de software comercial y open source, APIs de terceros y herramientas DevOps para generar un impacto en cascada.
¿Dónde puede aparecer el riesgo?
| Punto de exposición | Riesgo | Control recomendado |
|---|---|---|
| Proveedor de software | Vulnerabilidad heredada | Evaluación y auditoría |
| Librerías y paquetes | Código malicioso o comprometido | SCA + SBOM |
| APIs de terceros | Accesos no controlados | Autenticación y monitoreo |
| Pipeline CI/CD | Alteración del proceso de desarrollo | Firmado y validaciones |
| Subproveedores | Riesgo sin visibilidad directa | Gobierno de terceros |
| Actualizaciones | Distribución de software comprometido | Validar origen e integridad |
¿Cómo reducir el riesgo de terceros?
El primer paso es saber qué componentes externos utiliza la organización, quién los mantiene y qué acceso tienen.
ENISA señala que el 54% de las organizaciones consultadas ya realiza evaluaciones o auditorías de riesgo a proveedores y el 63% exige estándares o certificaciones de seguridad.
Una estrategia sólida combina evaluación de proveedores, inventario de dependencias, Software Bill of Materials (SBOM), análisis continuo de componentes, control de accesos y validaciones dentro del ciclo de desarrollo.
ENISA también ha publicado guías específicas para implementar SBOM y mejorar la transparencia de la cadena de software.
La seguridad ya no termina en el perímetro de la empresa. También debe extenderse hacia cada proveedor, componente y dependencia que participa en la operación.
En Givercom ayudamos a evaluar esa exposición e integrar controles de seguridad en cada capa tecnológica.
No basta con confiar en un proveedor. Hay que poder verificarlo.
📩 informacion@givercom.com
🌐 www.givercom.com
📱 +511 771-6963
Givercom | Shaping What’s Next
