4.

2 Protección de la cadena de suministro

INTRODUCCIÓN
Su cadena de suministro debe ser segura,
sólida y estar bien gestionada. No importa lo
extensa ni lo compleja que pueda ser, nosotros
podemos ayudarle a lograr excelentes niveles
de seguridad. También podemos compartir
nuestro conocimiento en la gestión del
desempeño y la calidad de los proveedores, la
responsabilidad medioambiental, la
conformidad normativa, la previsión de
necesidades y mucho más: le transferimos los
conocimientos para que pueda ofrecer
excelencia en la cadena de suministro a diario.
2
20XX
¿QUÉ ES LA SEGURIDAD EN
LA CADENA DE
SUMINISTRO?
 Un sistema de gestión de la seguridad de la cadena de
suministro combina prácticas tradicionales en la gestión
de la cadena de suministro con medidas de seguridad, lo
que le permite proteger su negocio de amenazas como la
piratería, el terrorismo o el robo. Entre los aspectos
importantes de la gestión de la seguridad se incluyen
validar las credenciales de los proveedores, proteger la
carga y asegurar el transporte de esta.
La importancia de la seguridad de la
cadena de suministro de software
 En la actualidad, es muy poco el software que se escribe desde cero; por
lo general, es una combinación de elementos que contiene software
open source. Sin embargo, estos elementos de software están sujetos a
aspectos vulnerables y los desarrolladores tienen poco control sobre el
código fuente de un tercero o no pueden implementar muchos cambios
a lo largo del tiempo. Es importante señalar que los sistemas de
software sin actualizar son más propensos a presentar problemas de
seguridad. Dado que el software es esencial para llevar a cabo las
operaciones empresariales diarias, la seguridad de la cadena de
suministro es una de las principales responsabilidades de las empresas y
de sus equipos de seguridad.
EJEMPLO
En 2020, la empresa de software SolarWinds sufrió un ataque de ciberseguridad: se
lanzó un código malicioso a través de su sistema de software de gestión y supervisión
de la TI (Orion), una plataforma que usan las grandes empresas y organismos
gubernamentales. Al atacar la cadena de suministro, los piratas informáticos no solo
se infiltraron en los sistemas de la empresa, sino también en los de sus clientes. Si
bien Log4j es uno de los sistemas de software open source más utilizados, también es
altamente vulnerable: ha dejado a miles de usuarios y empresas expuestos a las
filtraciones de datos y los ataques. En 2021, el presidente de los Estados Unidos hizo
hincapié en la importancia de las cadenas de suministro y de la seguridad del
software mediante dos decretos ejecutivos: cadenas de suministro y ciberseguridad.

20XX
Los riesgos de seguridad de la cadena de suministro
de software
•Puntos vulnerables: son fallas en el código del software que pueden aprovecharse y derivar en
una filtración de datos. Ejecute parches en sus elementos y actualícelos para reducir este riesgo.
•Licencias:es un riesgo legal que podría obligarlo a convertir cualquier elemento de software
en open source y anular los derechos de patente. Consulte con los especialistas en esta área.
•Dependencias de terceros: son las dependencias de cualquier empresa externa que forman
parte de la cadena de suministro de software, y no es sencillo reconocerlas. Analice todo el
código de terceros y comuníquese con sus proveedores para conocer las prácticas de seguridad
que utilizan para brindarle protección.
•Procesos y políticas: es necesario implementarlos en la empresa para evitar inconvenientes.
Cree políticas para los desarrolladores y los procesos (o playbooks) que le permitan responder
ante un punto vulnerable
7
título de la presentación 20XX
Comparación entre la seguridad de las
aplicaciones y la de la cadena de suministro de
software
La cadena de suministro de software está
compuesta por todo lo que se relaciona con el
código, sean elementos o personas. Sin embargo,
la seguridad de las aplicaciones se encarga de
proteger al código en sí de los ataques y los
puntos vulnerables. Esta debe aplicarse en cada
etapa del desarrollo, tal como sucede con la
seguridad de la cadena de suministro.
8
título de la presentación 20XX
CONCLUSIÓN GENERAL
La seguridad de la cadena de suministro de software combina las prácticas recomendadas
de la gestión de los riesgos y la ciberseguridad para proteger a dicha cadena de los puntos
vulnerables posibles. La cadena está formada por absolutamente todo lo relacionado con el
código durante el ciclo de vida de desarrollo del software (SDLC), desde el diseño de la
aplicación hasta los canales de CI/CD y la implementación.
ncluye redes de información sobre el software, como los elementos (p. ej.: a infraestructura,
el hardware, los sistemas operativos, los servicios de la nube, etc.); las personas que los
crean; y las fuentes de las que provienen, como los registros, los repositorios de GitHub, las
bases de código u otros proyectos open source. También incluye los puntos vulnerables que
podrían tener un impacto negativo en la seguridad del software, y aquí es donde entra en
juego la protección de la cadena de suministro.
9
título de la presentación 20XX
CONCLUSIONES INDIVIDUALES
GONZÁLEZ MARTÍNEZ
EVELYN MICHELLE
• Examinar el sistema de
• Ofrecer el acceso con privilegios
mínimos a los recursos de la
cadena de suministro (p. ej., las
herramientas para los
desarrolladores, los repositorios
de código fuente y otros sistemas
de software), habilitar la
autenticación de varios factores y
usar contraseñas seguras.
• Realizar capacitaciones en
materia de seguridad para el
personal.
MENDEZ CARRASCO
PAOLA
software con herramientas
automatizadas de pruebas
de seguridad, como el
análisis de la composición
del software (SCA), las
pruebas estáticas de la
seguridad de las
aplicaciones (SAST) y las
pruebas dinámicas de la
seguridad de las
aplicaciones (DAST).
10
CONCLUSIONES INDIVIDUALES
ROJAS VÁZQUEZ
CASANDRA
• Ofrecer el acceso con privilegios
mínimos a los recursos de la
cadena de suministro (p. ej., las
herramientas para los
desarrolladores, los repositorios
de código fuente y otros sistemas
de software), habilitar la
autenticación de varios factores y
usar contraseñas seguras.
• Realizar capacitaciones en
materia de seguridad para el
personal.
título de la presentación
LUCERO GARCÍA YOHALI
DONAGI
o Conocer a los proveedores
y a las personas con
quienes se hacen negocios,
especialmente a los
proveedores directos.
Evaluar los riesgos de las
medidas de ciberseguridad
y de las políticas públicas
respecto de los aspectos
vulnerables de cada
proveedor.
o cadena de suministro..
11
20XX
GRACIAS