Cadena de suministro y terceros: el eslabón más débil en el ENS

Por qué los proveedores son el vector de ataque más explotado

El incidente de SolarWinds en 2020 comprometió a más de 18.000 organizaciones, incluyendo agencias del gobierno estadounidense, a través de una actualización maliciosa de software de gestión de red. El ataque a Kaseya en 2021 permitió distribuir ransomware a más de 1.500 empresas a través de un proveedor de servicios gestionados. En España, el CCN-CERT ha documentado múltiples incidentes en los que el vector de entrada fue un proveedor con acceso a los sistemas de la organización víctima.

La lógica del atacante es clara: en lugar de atacar directamente a un objetivo bien protegido, es más eficiente comprometer a un proveedor de software, soporte técnico o servicios cloud que tiene acceso legítimo y de confianza a los sistemas del objetivo. Esto hace que la gestión de la cadena de suministro sea una prioridad de primer nivel, no un trámite administrativo.

Controles ENS aplicables

El Esquema Nacional de Seguridad (RD 311/2022) aborda la seguridad de terceros principalmente en el marco operacional:

• op.ext.1 — Contratación y acuerdos de nivel de servicio: exige que los contratos con proveedores de servicios externos establezcan los requisitos de seguridad aplicables, incluyendo el nivel ENS que deben cumplir los sistemas del proveedor que dan soporte al servicio contratado. Aplica desde categoría BÁSICA.
• op.ext.2 — Gestión diaria: requiere que la organización mantenga supervisión activa de los servicios externalizados, no limitándose a verificar el cumplimiento en la contratación inicial. Aplica desde categoría MEDIA.
• mp.s.4 — Interconexión de sistemas: cuando el proveedor tiene interconexión directa con los sistemas del organismo, se aplican requisitos adicionales de seguridad en el punto de interconexión.

ISO 27001:2022: controles de la cadena de suministro

ISO 27001:2022 dedica varios controles del Anexo A a la gestión de proveedores:

• 5.19 — Seguridad de la información en relaciones con proveedores: exige definir e implementar procesos y procedimientos para gestionar los riesgos de seguridad de la información asociados al uso de productos y servicios de proveedores.
• 5.20 — Tratamiento de la seguridad de la información en los acuerdos con proveedores: los requisitos de seguridad deben quedar recogidos en contratos formales.
• 5.21 — Gestión de la seguridad de la información en la cadena de suministro de TIC: específico para proveedores de tecnología, exige considerar los riesgos de la cadena de suministro de software y hardware, incluyendo los componentes de terceros que incorpora el proveedor en sus productos.
• 5.22 — Seguimiento, revisión y gestión de cambios de los servicios de proveedores: la supervisión de proveedores debe ser continua, no puntual.

Cómo clasificar a los proveedores según su criticidad

No todos los proveedores presentan el mismo nivel de riesgo. Una clasificación práctica se basa en dos ejes: el acceso que tiene el proveedor a los sistemas e información de la organización, y la criticidad del servicio que presta. A partir de esta clasificación se pueden definir tres niveles:

• Crítico: proveedores con acceso a sistemas de información sensibles, que procesan datos personales, o cuya interrupción afectaría a procesos de negocio esenciales. Requieren la mayor diligencia: cuestionario detallado, cláusulas contractuales exhaustivas, revisión periódica y posibilidad de auditoría.
• Importante: proveedores con acceso limitado o que prestan servicios de soporte. Requieren cuestionario básico y cláusulas contractuales estándar.
• Estándar: proveedores sin acceso a sistemas o información sensible. Gestión contractual básica.

Qué cláusulas de seguridad incluir en los contratos

El contrato con un proveedor crítico o importante debe incluir, como mínimo, las siguientes cláusulas:

• Requisitos ENS aplicables: especificar la categoría ENS que debe cumplir el proveedor en los sistemas que dan soporte al servicio contratado, con obligación de acreditar el cumplimiento.
• Derecho de auditoría: la organización se reserva el derecho a auditar al proveedor, directamente o mediante tercero, con un preaviso razonable.
• Notificación de incidentes: el proveedor debe notificar en un plazo máximo (típicamente 24-48 horas) cualquier incidente de seguridad que pueda afectar a los sistemas o datos de la organización.
• Gestión de subcontratistas: el proveedor debe informar de cualquier subcontratación e imponer los mismos requisitos de seguridad a sus subcontratistas.
• Eliminación segura de datos: al finalizar el contrato, el proveedor debe garantizar la eliminación segura de toda la información de la organización de sus sistemas.
• Continuidad del servicio: el proveedor debe disponer de planes de continuidad que garanticen la prestación del servicio ante incidentes en sus propios sistemas.

Cuestionario de seguridad a proveedores: los 10 puntos clave

Antes de contratar a un proveedor crítico o importante, o en las revisiones periódicas de proveedores existentes, el cuestionario de seguridad debe cubrir al menos estos aspectos:

• ¿Dispone de una política de seguridad de la información documentada y aprobada por la dirección?
• ¿Cuenta con certificación ENS o ISO 27001 vigente? En caso negativo, ¿cuál es su hoja de ruta?
• ¿Cómo gestiona los accesos de sus empleados a los sistemas de sus clientes? ¿Aplica el principio de mínimo privilegio?
• ¿Qué controles aplica para la protección de datos en tránsito y en reposo?
• ¿Dispone de un proceso formal de gestión de vulnerabilidades y parcheado?
• ¿Cómo gestiona los incidentes de seguridad? ¿Tiene un equipo de respuesta o acuerdo con un MSSP?
• ¿Realiza formación en seguridad a sus empleados? ¿Con qué frecuencia?
• ¿Cómo gestiona el acceso remoto de sus técnicos a los sistemas de sus clientes?
• ¿Dispone de un plan de continuidad de negocio probado? ¿Cuáles son sus RTO/RPO para los servicios críticos?
• ¿Utiliza subcontratistas para la prestación del servicio? ¿Cómo verifica su cumplimiento de seguridad?

Auditoría de proveedores: cuándo es necesaria y cómo realizarla

La auditoría de proveedores no es necesaria para todos: se justifica cuando el proveedor es crítico y el cuestionario no proporciona evidencias suficientes, cuando se han producido incidentes o señales de alarma, o cuando el contrato lo permite y la antigüedad de la relación lo aconseja.

La auditoría puede realizarse mediante revisión documental (solicitar políticas, informes de auditoría internos, resultados de pruebas de penetración), mediante inspección in situ, o mediante la revisión de certificaciones de terceros (ISO 27001, SOC 2, ENS). Para muchos proveedores, la aportación de un certificado vigente de ISO 27001 o ENS es suficiente evidencia de control.

Documentación para la auditoría ENS e ISO

Para demostrar el cumplimiento de los controles de gestión de proveedores en una auditoría, la organización debe presentar: un inventario de proveedores clasificados por criticidad, los cuestionarios de seguridad completados por los proveedores más críticos, los contratos con las cláusulas de seguridad incorporadas, los registros de revisión periódica de proveedores, y los informes de cualquier auditoría de proveedor realizada. Esta documentación debe mantenerse actualizada y revisarse al menos anualmente o cuando se produzcan cambios en los servicios contratados.