El mundo interconectado en el que vivimos hoy no nos permite practicar la autarquía empresarial y depender única y exclusivamente de nosotros y de nuestros empleados. Tus productos y tus servicios dependen, en gran medida, de personas que no reciben una nómina de tu organización. Recordemos que la seguridad de toda nuestra cadena de valor viene dada por la que ofrece, o practica, el eslabón más vulnerable la misma, independientemente de la empresa a la que pertenezca. Es crucial, por tanto, evitar la existencia de cualquier eslabón débil.

El cariño con el que construimos la seguridad de la información de nuestros proveedores ha de ser idéntico al que aplicamos en nuestra organización. Tenemos que involucrar a todos nuestros proveedores, desde los más básicos hasta los más complejos, en la orquestación de nuestra propia protección, siempre de modo proporcional a su importancia para nuestra cadena de valor. Todas las medidas preventivas, de detección y mitigadoras que diseñemos e implementemos para gestionar nuestros riesgos operacionales van a tener un componente externo a nuestra empresa que no podemos olvidar. Sólo así podemos crear una organización realmente resiliente.

Esto implica que, a la hora de seleccionar a nuestros proveedores, el precio no puede ser el principal criterio de decisión. Otros parámetros como la cercanía a nuestra cultura de empresa, la realización y prueba de ejercicios de continuidad de negocio, la sintonía entre colaboradores, la posibilidad de trabajar de forma conjunta y compartir criterios de calidad similares a los de nuestra organización, tienen que pesar tanto o más que el precio de sus servicios.

A esta receta de “tratamiento justo a tu cadena de valor” se añade, hoy en día, un componente geopolítico que también hemos de factorizar. Por ejemplo, ¿qué plan de contingencia tenemos si nuestro proveedor de nube pública, del que tanto dependemos, por motivos ajenos a su plan de negocio, se ve obligado a doblar el precio de la potencia de cómputo y del software que usamos en sus máquinas? ¿Compensaría regresar entonces a nuestro centro de datos y comenzar a utilizar software de código abierto? Sugiero al lector que responda a estas preguntas de forma abierta y sincera.

Estos escenarios tan extremos ya no parecen tan irreales. Tenemos que comenzar a pensar de modo alternativo y a preparar nuestras organizaciones para que puedan sobrevivir, e incluso crecer, en entornos de alta variabilidad. Esta nueva aproximación a una ciberseguridad más cercana a los riesgos geopolíticos nos va a requerir la creación de equipos multidisciplinares, diversos y capaces de ser funcionales cuando el resto de nuestros competidores dejan de serlo, bien sea por una pandemia, un volcán, una guerra vecina, una dana o... un apagón.