Todos dependen de los mismos proveedores
Importa menos cuántas brechas sufren los proveedores que lo pocos que son. La concentración es lo que convierte un incidente en un problema sectorial.
Denny Müller via UnsplashLos programas de riesgo de terceros cuentan proveedores. La cifra que de verdad anticipa una mala semana es cuántas organizaciones dependen del mismo, y medido así el panorama es bastante peor de lo que sugieren los cuestionarios.
El análisis del mapa de proveedores lo plantea sin rodeos: el motor del fallo en cascada es la concentración, no el volumen de brechas, porque un puñado de proveedores sostiene a una parte muy grande de las mayores compañías.
Las demostraciones más claras no fueron ataques. Una actualización defectuosa de un agente de seguridad muy extendido, y por separado caídas de grandes proveedores de nube y de red, tumbaron a la vez a empresas sin relación entre sí sin que nadie fuera el objetivo.
Esa es la propiedad que conviene interiorizar. La concentración convierte un fallo rutinario en uno sistémico, y lo hace con independencia de que la causa fuera maliciosa, lo que significa que los controles de seguridad no son la mitigación.
Si persiste es porque concentrarse resulta racional para cada uno. Contratar al proveedor líder es la decisión defendible para cualquier organización aislada, y todas las organizaciones tomando esa decisión defendible producen la exposición agregada.
Diversificar es caro y a menudo ilusorio. Un segundo proveedor que corre sobre la misma región de nube, usa el mismo proveedor de identidad o incorpora la misma biblioteca subyacente es otro logotipo sobre la misma dependencia.
Por eso la pregunta útil no es quién es el proveedor, sino qué ocurre sin él. Una organización capaz de decir cuánto tiempo puede operar con un proveedor caído sabe algo que ningún cuestionario le va a contar.
Los supervisores han empezado a preguntarlo en servicios financieros, donde las normas de resiliencia operativa obligan a identificar servicios críticos y fijar tolerancias de interrupción. El resto de la economía no tiene equivalente.
El trabajo práctico no tiene glamour y en su mayor parte no es técnico. Saber qué proveedores tocan qué procesos, probar el plan manual de respaldo y aceptar que algunas dependencias no se pueden eliminar y hay que planificar alrededor de ellas.
La conclusión incómoda es que un programa bien llevado no reduce mucho este riesgo. Lo documenta con precisión, lo que al menos significa que el fallo se anticipa en lugar de descubrirse.