Más que simplemente “seguridad a través de la demanda”.

COMENTARIO

A finales de junio de 2017, el gigante naviero AP Møller – Maersk se vio afectado por una devastadora infección de software que “casi una quinta parte de la capacidad de envío mundial«.

Al final resultó que, el ataque no estaba dirigido a Maersk, sino que surgió de una «guerra caliente» regional entre Ucrania y Rusia, en la que una cepa de malware llamada «NotPetya» fue entregada a los clientes de una empresa de software ucraniana con clientes en Ucrania. y el resto del mundo. El ataque le costó a la economía global la friolera de 10 mil millones de dólares en daños: el evento cibernético más costoso del mundo hasta la fecha.

Siete años después, NotPetya está considerado uno de los ciberataques más importantes de nuestro tiempo. Sin embargo, esto no fue solo un ataque de malware, sino un ataque a la cadena de suministro de software que aprovechó una actualización de software comercial.

En los años transcurridos desde entonces, los ataques a la cadena de suministro de software se han convertido en el centro de atención, con incidentes adicionales como NotPetya que incluyen Ataques a la cadena de suministro contra SolarWinds y el Empresa de voz sobre IP 3CX. También, Informe de investigaciones de vulneración de datos de 2024 de Verizon (DBIR) descubrió que las infracciones por parte de organizaciones de desarrollo de software de terceros aumentaron un 68% desde 2023.

En respuesta, publicó la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA). Guía segura por diseño en 2023. Este movimiento señaló la necesidad de que los fabricantes de software diseñen sus productos de forma segura, rastreen y mitiguen vulnerabilidades y exposiciones comunes (CVE), implementen herramientas AppSec heredadas y habiliten protocolos como la autenticación multifactor (MFA). Pero no fue hasta agosto de 2024 que CISA lanzó otros nuevos. Ciertamente preguntando Orientación que aborda este problema de manera diferente al brindar a los compradores empresariales la capacidad de exigir productos de software comercial más seguros a sus proveedores, punto.

Secure by Demand es un buen punto de partida para los compradores empresariales que buscan elevar el nivel de las empresas que les suministran software crítico para el negocio. Sin embargo, es imperativo que estas empresas den un paso más. He aquí por qué.

Copia de seguridad del software

Secure by Demand se dirige a múltiples áreas de garantía de software: desarrollo de software seguro, seguimiento y parches de vulnerabilidades, autenticación y registro, y transparencia del software. CISA espera que los clientes empresariales encuesten a los proveedores de software comercial en cada una de estas áreas durante el proceso de adquisición.

Si bien estas auditorías se centran en partes importantes de la seguridad de la cadena de suministro de software, la orientación de CISA debería abarcar más que una simple lista de preguntas, no muy diferente de la forma dominante de gestión de riesgos de terceros (TPRM), que se basa en gran medida en cuestionarios. Lamentablemente, este enfoque está lejos de ser suficiente para proporcionar una verdadera seguridad del software.

En cambio, los cuestionarios dejan grandes vacíos en las evaluaciones de riesgos cibernéticos de terceros porque los clientes empresariales hacen preguntas inteligentes a los proveedores de software comercial pero carecen de las habilidades para verificar sus respuestas. Este fracaso deja a los compradores empresariales vulnerables y los obliga a confiar ciegamente en las credenciales de los productos de software críticos para el negocio en los que confían.

Lo mismo ocurre con las listas de materiales de software (SBOM), que Secure by Demand también recomienda a los compradores empresariales. Los SBOM brindan transparencia al enumerar los componentes de un software, que pueden incluir software de código abierto, software propietario y software de terceros. Sin embargo, un SBOM no detalla los riesgos calculados asociados con productos de software comerciales y de terceros.

Considere esto: ni un SBOM detallado ni un cuestionario de seguridad completo del proveedor habrían frustrado el ataque de NotPetya porque los clientes no sabían que había una puerta trasera rusa en la actualización de software en cuestión. Entonces, ¿por qué los clientes empresariales deberían confiar únicamente en los SBOM y los cuestionarios para proteger sus negocios?

Visión limitada del riesgo de la cadena de suministro

Es cierto: las auditorías recomendadas por CISA en su guía Secure by Demand incluyen la auditoría de componentes de software de código abierto utilizados en productos de software comerciales. CISA también exige que las organizaciones de usuarios finales determinen cómo los proveedores de software encuentran, divulgan y remedian las vulnerabilidades en su software. Sin embargo, los riesgos en la cadena de suministro de software van mucho más allá de estos controles.

Hoy en día, los ciberdelincuentes avanzados y los grupos de estados-nación atacan el software comercial comprometiendo los procesos de construcción para inyectar código malicioso o descubriendo y abusando de los secretos que se esconden en el código de la aplicación. Prueba de ello es el hecho de que los ataques más devastadores a la cadena de suministro de software hasta la fecha no se han producido como resultado de que los ciberdelincuentes explotaran componentes de código abierto y vulnerabilidades de software. Más bien, apuntaron directamente al software comercial, como fue el caso de NotPetya, 3CX y otros.

¿La solución? No confíes y comprueba

Para que los compradores empresariales puedan garantizar que el software comercial que utilizan sea seguro, deben validar de forma independiente la seguridad de su software crítico para el negocio. Esto requiere algo más que simplemente pedirles a los proveedores que respondan una lista de preguntas y proporcionen una SBOM. Una validación adecuada requiere pruebas y verificación independientes de que el software esté libre de componentes maliciosos (de código abierto o comerciales), vulnerabilidades críticas, malware, manipulación, comportamiento sospechoso y más, antes, durante o después de su implementación.

Secure by Demand proporciona un punto de partida sólido para los equipos de TPRM. Sin embargo, luego deberían dar el paso crucial de utilizar una solución madura de seguridad de la cadena de suministro de software, una que proporcione un análisis de software integral e independiente para garantizar que no confíen ciegamente en el software de su proveedor. Dicha herramienta también debería proporcionar una evaluación de riesgos de software procesable que sirva como receta para el éxito de un equipo de TPRM en la protección de su organización contra tales incidentes.

Con este nivel de control y evidencia verificable, los clientes empresariales pueden verificar la seguridad y la integridad del software comercial de misión crítica en el que confían, incluso después del reciente ataque a la cadena de suministro de software.