La cadena de suministro se ha convertido en uno de los vectores de ataque más aprovechados, porque comprometer a un proveedor con controles de seguridad más débiles suele ser más sencillo que atacar directamente a la organización objetivo, y ese proveedor a menudo ya cuenta con acceso legítimo a sistemas o datos internos. Este riesgo abarca desde proveedores de software que distribuyen actualizaciones comprometidas, hasta proveedores de servicios que manejan datos sensibles o mantienen conexiones directas a la red interna. El panorama se complica porque el riesgo no termina en el proveedor directo, sino que se extiende a los subcontratistas de ese proveedor, formando una cadena de dependencias que muchas organizaciones ni siquiera tienen mapeada. Entender este panorama de forma realista, en lugar de asumir que la seguridad termina en el propio perímetro, es el punto de partida para justificar la inversión en un programa formal de gestión de riesgo de terceros.

Panorama del Riesgo Cibernético en la Cadena de Suministro