La Fundación Borredá, en colaboración constante con nuestro Socio Protector Telefónica, presentamos las conclusiones y claves metodológicas de nuestro informe especializado en la Seguridad en la Cadena de Suministro.
Este documento surge en un momento crítico en el que la interdependencia operativa y tecnológica entre clientes y proveedores ha redefinido por completo los perímetros tradicionales de la Seguridad corporativa. Incidentes de escala global, como el célebre ataque sufrido por SolarWinds a través de su software Orion (vulnerabilidad Sunburst), han demostrado que los ciberdelincuentes sofisticados ya no atacan únicamente las infraestructuras centrales de las organizaciones, sino que aprovechan el eslabón más débil de su ecosistema de proveedores para comprometer cadenas enteras de suministro.
Datos aportados por investigaciones de LEET Security revelan una realidad ineludible: el 53% de los incidentes de seguridad actuales tienen su origen directo en la cadena de suministro. Ante este panorama, queda clara una premisa institucional: o protegemos el conjunto de nuestro ecosistema o ninguna organización estará verdaderamente segura.
El nuevo marco regulatorio europeo
La gestión del riesgo de terceros ha dejado de ser una recomendación de buenas prácticas para convertirse en una obligación legal ineludible bajo el nuevo paraguas normativo de la Unión Europea. Nuestro análisis profundiza de manera pormenorizada en estas regulaciones clave:
- Directiva NIS2: Extiende de forma obligatoria los requisitos de ciberseguridad y el enfoque basado en la gestión de riesgos directamente a las relaciones que las entidades esenciales mantienen con sus cadenas de suministro.
- Reglamento DORA (Ley de Resiliencia Operativa Digital): Impone al sector financiero la obligación estricta de evaluar, monitorear y documentar de forma continua los riesgos derivados de las tecnologías de la información y comunicación (TIC) aportadas por terceros proveedores.
- Esquema Nacional de Seguridad (ENS): En sus actualizaciones más recientes, el ENS introduce como pilares metodológicos fundamentales la protección de la cadena de suministro, la interconexión de sistemas y la seguridad en entornos de la nube , consolidándose como el marco de referencia preferente tanto para el sector público como para el privado.
Gestión del ciclo de vida del servicio: El caso de éxito de Telefónica
Uno de los mayores valores de esta publicación es la exposición detallada del modelo operativo de Telefónica. Con decenas de miles de proveedores y contratos anuales gestionados en entornos geográficamente dispersos, la compañía ha implantado con éxito un principio fundamental: la corresponsabilidad de las áreas gestoras. El departamento de seguridad no puede absorber de forma directa el control individual de cada contrato; en su lugar, actúa como un facilitador que provee herramientas, normativas y soporte técnico. A través de esta metodología basada en estándares internacionales como la ISO 28000 y un set de hasta 454 requisitos variables de seguridad , se identifican y mitigan los riesgos a lo largo de las tres fases críticas de la relación con cualquier proveedor.
Homologación, certificación y el reto de las Startups
El informe destaca que la proliferación desordenada de requisitos de auditoría individuales es insostenible para el mercado, ya que amenaza con ralentizar el negocio o disparar los costes operativos. La solución eficiente radica en el uso de esquemas de certificación únicos y transparentes , tales como las categorías del Esquema Nacional de Seguridad (ENS) o iniciativas de calificación sectorial compartida como la plataforma PINAKES en el ámbito financiero, la cual evita duplicidades innecesarias al centralizar la evaluación de proveedores comunes.
Asimismo, las grandes corporaciones se enfrentan al reto de integrar la innovación que aportan las startups, empresas emergentes que habitualmente carecen de la robustez financiera o de procesos maduros exigidos en los análisis de riesgos tradicionales. Ante esto, el estudio propone el diseño de modelos de homologación simplificados.
Descarga el informe completo: Construye un ecosistema resiliente. Fortalecer la Seguridad en la Cadena de Suministro exige una combinación estratégica de automatización tecnológica, alineamiento con las directivas europeas y, sobre todo, una cultura corporativa fundamentada en la transparencia y el intercambio ágil de información.
DESCARGA EL INFORMEAccede al conocimiento sectorial: Te invitamos a formar parte de nuestra comunidad de conocimiento. Puedes descargar este análisis y examinar el resto de investigaciones de nuestro catálogo en nuestra sección Publicaciones de la Fundación Borredá
TERTULIAS VIRTUALES: EL ZOOM DE LA FUNDACIÓN BORREDÁ
LECTURA RECOMENDADA: La ciberseguridad de la cadena de suministro debe ser uno de los pilares de toda estrategia de seguridad corporativa hoy en día. Y empresas como Telefónica, BBVA y Red Eléctrica Española son conscientes de ello. De hecho, así lo mostraron en la tertulia que la Fundación Borredá dedicó a esta temática junto con Leet Security y el Centro Criptológico Nacional
