Proteger la cadena de suministros

Objetivos de aprendizaje

Después de completar esta unidad, podrá:

Describir las responsabilidades de una organización en lo que respecta a evaluar el nivel de riesgo cibernético de los proveedores.
Enumerar las habilidades clave para proteger el proceso de desarrollo de aplicaciones.
Describir el enfoque de confianza cero en la seguridad.

Este módulo se creó en colaboración con el Foro Económico Mundial. Obtenga más información sobre el contenido de socios en Trailhead.

Evaluar el riesgo cibernético de los proveedores

En el primer módulo de esta ruta, Gestión de riesgos de ciberseguridad, aprendió a pensar como un líder de negocio y cómo fomentar las asociaciones internas y externas. También aprendió sobre las prácticas sólidas de ciberhigiene, la implementación de una autenticación fuerte y la protección contra el phishing. En este módulo, aprenderá acerca de los cinco principios restantes de la guía de WEF, empezando con la protección de la cadena de suministros.

El control de los riesgos de terceros es un problema que les quita el sueño a muchos directores de seguridad de la información (CISO). Una encuesta reciente de la percepción de riesgos cibernéticos globales reveló que casi el 50 % de las compañías no pueden evaluar el nivel de riesgo cibernético de sus proveedores de hardware y software. Es una buena idea que como líder mantenga un inventario actualizado de qué datos se comparten con qué entidades y en qué condiciones. Hay varios pasos que puede realizar para mitigar el riesgo de vulnerar información confidencial:

Llevar a cabo diligencia debida de los antecedentes de los proveedores. Esto incluye estipular los controles de seguridad que se ejecutan en los empleados de terceros.
Limite el acceso de terceros según la necesidad. Comparta solo la información que el empleado externo necesita para llevar a cabo su función y revise con regularidad los acuerdos de uso compartido de información.
Establezca vínculos contractuales con los proveedores en cuanto a las políticas de seguridad. Los acuerdos de uso compartido de datos deben definir claramente qué políticas debe seguir el proveedor y las consecuencias si no lo hace.
Establezca una cadencia para la auditoría y la revisión de la relación con terceros, en función de la importancia crítica y del riesgo de la relación.

Imagen de una persona que representa la organización principal en el medio, conectada en forma de rueda con otras personas que representan a terceros y a los datos que estos tienen.

Proteger el ciclo de vida de desarrollo de software (SDLC)

Las piezas que componen el SDLC de una organización son un aspecto clave de la cadena de suministros. A fin de proteger el SDLC, los equipos de seguridad expertos permiten que los desarrolladores escriban código seguro desde la etapa inicial, además de integrar prácticas de diseño de seguridad en todo el ciclo de vida del proyecto y del desarrollo del producto. Puede obtener más información acerca de este enfoque en el módulo de Trailhead Responsabilidades de los ingenieros de seguridad de aplicaciones. Además de proteger el ciclo de vida del desarrollo, los líderes de ciberseguridad expertos también piensan en cómo proteger sus datos sin importar hacia dónde van, un concepto conocido como enfoque de seguridad de confianza cero.

Implementar un enfoque de seguridad de confianza cero

En el pasado, las organizaciones solían implementar un enfoque de seguridad basado en perímetro, en el cual la red de la organización se trataba como una zona de confianza, y se implementaban las defensas de seguridad principales, como cortafuegos y protección antivirus, en los extremos. Hoy en día, los líderes de ciberseguridad reconocen la necesidad de adoptar un enfoque de confianza cero que no supone que una organización está protegida dentro de los límites de su propia red corporativa “segura”. Un enfoque de confianza cero pone el control en torno a los activos de datos en sí. Puede aprender más acerca de este enfoque en el módulo de Trailhead Planificación de seguridad de red .

Resumen

En esta unidad, aprendió cómo las organizaciones protegen los datos confidenciales independientemente de dónde estén almacenados. Para hacerlo, evalúan y auditan las relaciones con terceros, protegen el SDLC y adoptan un enfoque de seguridad de red de confianza cero. Ahora, veamos cómo las organizaciones pueden prevenir y monitorear las amenazas cibernéticas, y responder ante ellas.