Verifique su punto de riesgo -Blind Point

¿Su empresa realmente entiende sus dependencias y cómo puede mitigar los riesgos que salen a través de un ataque contra usted?

12 de agosto de 2025
•
Presente
Leer 4 minutos

Un panel de discusión en Def Con 33 la semana pasada titulada «Oponentes en la guerra: tácticas, tecnologías y lecciones de campos de batalla modernos«, Ofrecí varios puntos que deben ser pensados y un refrigerio claro: mientras que las tácticas digitales como Misoriales y campañas de influencia son útiles en el conflicto moderno, no ganarán una guerra. Esto se debe a que caen las bombas cuando caen las bombas y los elementos físicos de la guerra están en marcha, la propagación de la información errónea debido a los canales digitales se vuelve menos importante. Comprensiblemente, las víctimas de conflictos y personas tienen prioridades más urgentes: comida, protección y viva.

Si entrega la conversación sobre si se podría obtener una guerra con ataques cibernéticos y trastornos digitales, los participantes de la discusión también existieron de que los ataques cibernéticos causan daños temporales, mientras que una bomba que aterriza en algo es un método de destrucción más efectivo y permanente.

Los ataques contra una infraestructura crítica en Ucrania pueden confirmar esto: los actores orientados por Rusia han comenzado Numerosos ataques cibernéticos contra la red de poder del paísLo que conduce a trastornos temporales a medida que los sistemas se pueden volver a funcionar en un tiempo relativamente corto. Mientras tanto, una bomba que aterriza en un centro de energía debería causar daños y restricciones a largo plazo en el servicio, lo que puede llevar mucho tiempo o años restaurar. La conclusión con una gran imagen en esta parte del panel de discusión es que el ciber no solo puede ser obtenido por el ciber-él todavía debe ganarse en el campo de batalla físico.

Seguridad cibernética y física

La discusión luego desarrolló cómo el ciber influyó en los efectos físicos. Un participante de discusión hizo el comentario de que «un ejército no puede pelear si no fue alimentado». En otras palabras, dado que un número creciente de contratistas civiles se utilizan para proporcionar la logística necesaria para la operación de un ejército, lo que significa que el área de ataque es más integral de lo que parece.

Taco Bell usó el panel como una analogía ficticia. Un hacker podría decir que modificaron el suministro de agua en Taco Bell, pero en una inspección más cercana solo podría ser que manipularan el enfriador de agua de un restaurante, lo que no sería suficiente para influir en su empresa.

Sin embargo, un ataque cibernético en la cadena de suministro de Taco Bell podría convertirlo en una parada operativa. ¿Cómo? Al completar productos de productos en el restaurante. Esta dependencia podría ser aún más oscura: un ataque contra las compañías que proporcionan la carne utilizada en los tacos puede conducir a Taco Bell puede contratar la operación a medida que faltaban las comidas. La analogía se aplica a los militares: las tropas no pueden luchar sin comida o, en el mejor de los casos, son limitadas.

¿Qué significa esto para su empresa?

Si va más allá del panel de discusión, esto plantea una pregunta crítica para las empresas: ¿realmente entiende que sus dependencias están operativas? ¿Entiende la dependencia que sus clientes tienen de usted para garantizar la operación continua de su propia empresa?

Ajuste de un ataque cibernético que tome un elemento clave que el negocio necesita trabajar, para aferrarse a la analogía de Taco Bell. Por ejemplo, si la compañía depende de un proveedor de las especias de taco, entonces un Ataque cibernético contra el proveedor Podría influir en la capacidad de Taco Bell para continuar trabajando. Esto no es una mera especulación, hay ejemplos reales de ataques cibernéticos que han causado este tipo de trastornos. Por ejemplo el El incidente cibernético sufrió el sistema de saludUna empresa de procesamiento de datos de salud detuvo que los servicios médicos se proporcionaron en todas las prácticas y hospitales.

Hasta donde yo sé, los ciberdelincuentes solo extienden el pago de quienes los atacan directamente. Pero, ¿qué pasaría si un delito cibernético decidiera atacar al tercero y luego solicitar extorsión a todas las compañías que confían en este proveedor? En mi ejemplo, la Compañía Taco Spice está perturbada por el ransomware. Si bien el delito cibernético exige que el Gewürzgesellschaft pague directamente una demanda, en realidad puede obtener más si solicita un pago de todas las compañías que dependen del producto del proveedor, ya que la falta de oferta puede costar más que el proveedor mismo.

Si bien esta estrategia de monetización puede parecer especulativa, hay un punto importante aquí: ¿entiende realmente su empresa sus dependencias y cómo puede reducir el riesgo de ataque contra aquellos que dependen de ellas? Un ejemplo en la práctica podría ser un ataque contra una empresa de catering que sea contractual con la alimentación de pacientes en un hospital. Si la capacidad de alimentar a los pacientes se ve perturbada debido a un ataque cibernético, el hospital puede tener que declarar un gran incidente y un estrecho ingreso a nuevos pacientes. En este escenario, ¿el hospital pagaría a la extorsión exigir que traiga la oferta de catering?

El refrigerio más importante de esta reunión del panel es para mí: todos tenemos que comprender las dependencias en las que confiamos, representamos y entendemos completamente y aseguramos que tengamos resistencia si es necesario. Si no podemos llegar a un punto de resiliencia, al menos tenemos que comprender el riesgo de dependencias.