Cadena de suministro de software en gobierno: el riesgo invisible

Boletín técnico-administrativo dirigido a áreas de compras, contraloría interna y direcciones de TI en dependencias gubernamentales. Información elaborada con base en fuentes de dominio público.

El problema en una frase

Cualquier organización es tan segura como su proveedor más débil con acceso a sus sistemas.

En el sector público mexicano, este principio aplica con particular gravedad: las dependencias contratan a docenas o cientos de proveedores tecnológicos, muchos de los cuales mantienen accesos remotos persistentes, credenciales privilegiadas y conexiones VPN durante años, frecuentemente sin renovación documentada.

Vectores de compromiso típicos

1. Compromiso del proveedor de software (supply chain)

El atacante compromete a un proveedor confiable e inyecta código malicioso en una actualización legítima. Cuando la dependencia aplica la actualización, el atacante obtiene acceso. Ejemplos públicos: SolarWinds (2020), 3CX (2023), múltiples librerías npm/PyPI.

2. Compromiso del proveedor de servicios administrados (MSP)

Empresas que administran de manera remota infraestructura de la dependencia son atacadas; sus credenciales privilegiadas dan al atacante acceso simultáneo a múltiples clientes. Este patrón ha afectado a MSPs internacionales y mexicanos.

3. Compromiso del proveedor de hosting o nube

El hosting compartido o cuentas de nube mal segregadas permiten que el compromiso de una cuenta vecina afecte a la dependencia.

4. Credenciales de soporte abandonadas

Cuentas creadas para soporte temporal que nunca se desactivan, frecuentemente con privilegios excesivos y sin MFA.

5. Dispositivos físicos comprometidos en origen

Hardware (firewalls, switches, cámaras, lectores) con firmware modificado en fábrica o en tránsito.

Controles defensivos prioritarios

A. Inventario y mapeo

• Inventario formal de todos los proveedores con acceso a sistemas gubernamentales.
• Para cada proveedor: nivel de acceso, datos a los que accede, periodicidad y persistencia del acceso.
• Mapeo de criticidad: qué proveedores podrían interrumpir un servicio al ciudadano.

B. Contractual

• Cláusulas obligatorias de ciberseguridad en todos los contratos con proveedores.
• Derecho de auditoría sobre las prácticas de seguridad del proveedor.
• Obligación de reportar incidentes en menos de 72 horas.
• Penalizaciones por violaciones de seguridad atribuibles al proveedor.

C. Técnico

• MFA obligatorio para todo acceso de proveedores.
• Acceso bajo principio de menor privilegio, segmentado por proveedor.
• Bitácora completa de accesos de terceros, retenida 12 meses como mínimo.
• Revisión trimestral de cuentas de proveedores; eliminación inmediata al término del contrato.
• Bastión jump host como punto único de acceso, con grabación de sesiones para accesos privilegiados.
• Validación de firmas digitales en software descargado de proveedores.

D. Procesos

• Revisión de cambios a infraestructura realizados por proveedores antes de aplicarlos en producción.
• Procedimiento de revocación inmediata de accesos ante señal de compromiso.
• Simulacro anual de “proveedor comprometido”: ensayar la respuesta operativa.

El factor humano: ingeniería social a proveedores

Los proveedores también son blanco de phishing. Un atacante que compromete la cuenta de un técnico de soporte que tiene acceso a la dependencia obtiene un punto de entrada con credenciales legítimas, no detectado por la mayoría de los controles tradicionales.

Por ello, los contratos deben exigir al proveedor:

• Programa documentado de capacitación a su personal técnico.
• MFA obligatorio para accesos a clientes.
• Política de cero compartición de credenciales entre técnicos.

Plantilla mínima de cláusula contractual

A continuación una redacción base que puede incorporarse a contratos con proveedores tecnológicos del sector público:

El Proveedor se obliga a: (i) implementar autenticación multifactor en todos los accesos remotos a sistemas e información de “la dependencia”; (ii) mantener bitácoras de acceso por al menos 12 meses; (iii) notificar a “la dependencia” cualquier incidente de seguridad que pudiera afectarla en un plazo no mayor a 72 horas a partir de su conocimiento; (iv) permitir auditorías de las prácticas de seguridad relacionadas con los servicios prestados, con notificación previa de 15 días hábiles; (v) eliminar todos los accesos al término del contrato, en un plazo no mayor a 5 días hábiles, y proporcionar constancia documental al efecto.

Cómo podemos ayudar

Aldana Cyberdefense ofrece a las dependencias:

• Inventario y diagnóstico de exposición por terceros (4–6 semanas).
• Diseño de programa de gestión de riesgo de proveedores (8–12 semanas).
• Pentesting de accesos privilegiados de proveedores (3–4 semanas).
• Auditoría técnica al proveedor crítico con su consentimiento contractual.

Para iniciar una conversación bajo NDA, contáctenos por el canal institucional.