El perímetro de una organización dejó de coincidir con los activos que ella misma administra. Hoy, una parte relevante de la operación depende de proveedores de tecnología, plataformas SaaS integradas, proveedores de nube y API de socios. Cada una de esas conexiones amplía la superficie expuesta a internet y transfiere, fuera del control directo de la compañía, una fracción del riesgo que los comités de auditoría y de riesgo son responsables de supervisar.
Los datos de 2025 tornaron difícil ignorar esta dinámica. El informe anual de Verizon documentó que la participación de terceros en las violaciones confirmadas se duplicó con respecto al período anterior, pasando del 15% al 30% de los casos analizados. La lectura es directa: aproximadamente una de cada tres violaciones ahora involucra un eslabón de la cadena de proveedores, y no exclusivamente los sistemas internos de la organización afectada.
Este texto examina por qué creció la exposición de terceros, por qué los instrumentos tradicionales de evaluación de proveedores dejaron de acompañarla y qué ofrece la supervisión continua de la superficie de ataque de terceros a quien responde por el riesgo a nivel del consejo.
Lo que establecen las cifras de 2025
La base analítica es amplia y converge. El informe de Verizon examinó más de 22.000 incidentes y 12.195 violaciones confirmadas, el mayor conjunto de datos jamás reunido por la publicación, y registró el salto de la participación de terceros del 15% al 30%. Se trata de una duplicación en un único ciclo anual.
SecurityScorecard, en su informe global de violaciones de terceros, apunta en la misma dirección con una metodología independiente: el 35,5% de las violaciones analizadas en 2024 tuvieron origen en el acceso de terceros, un alza de 6,5 puntos porcentuales sobre el año anterior. La propia publicación observa que la cifra tiende a ser conservadora, dada la subnotificación y la clasificación incorrecta de incidentes cuyo origen externo no siempre se reconstruye.
El costo acompaña a la frecuencia. El informe de costo de violación de datos de IBM identificó que un compromiso de cadena de suministro cuesta, en promedio, US$ 4,91 millones y tarda 267 días en ser identificado y contenido, el ciclo de vida más largo entre todos los vectores monitoreados. La duración importa tanto como el valor: cuanto más tiempo permanece sin detectar un compromiso originado en un proveedor, mayor es la ventana de movimiento lateral y de exfiltración.
Existe además el efecto de propagación. El análisis de SecurityScorecard registró que, por cada proveedor comprometido, un promedio de 5,28 organizaciones aguas abajo fueron públicamente afectadas, el nivel más alto jamás observado. Un único punto de falla en un proveedor compartido se convierte, con frecuencia, en un incidente simultáneo para decenas de clientes.
El ransomware se conecta directamente con este vector. El mismo análisis indica que el 41,4% de los ataques de ransomware pasaron a iniciarse a través de terceros. El acceso al proveedor se convirtió en el camino de menor resistencia para el atacante que busca escala.
Por qué creció la superficie de terceros
La expansión no es accidental. Refleja la arquitectura tecnológica que las organizaciones adoptaron en la última década.
La operación moderna está compuesta por servicios integrados. La autenticación delegada a proveedores de identidad, el procesamiento en nube, las herramientas de colaboración, las pasarelas de pago, las plataformas de datos y el software de transferencia de archivos forman una malla de dependencias. Cada integración exige credenciales, tokens de API o canales de red que permanecen activos y expuestos. El informe de Verizon identifica que las credenciales comprometidas siguen siendo el vector de acceso inicial más común, presente en el 22% de las violaciones, y buena parte de esas credenciales pertenecen a contextos de integración entre organizaciones.
Los vectores más explotados se concentran en categorías específicas de proveedores. Los análisis de 2025 señalan los servicios de TI, las plataformas de nube y las soluciones de software como los objetivos más recurrentes, con vulnerabilidades en software de transferencia de archivos figurando entre los puntos de entrada más utilizados. Sectores como el comercio minorista, la tecnología y la energía registraron las mayores tasas de violación por terceros.
El punto estructural es que la exposición de un proveedor se convirtió, en la práctica, en la exposición de la organización contratante. Un servidor de transferencia de archivos desactualizado, una interfaz administrativa accesible por internet o un certificado vencido en el entorno de un socio crean un riesgo que se materializa en el negocio del cliente, aunque ningún activo propio haya sido tocado.
Por qué falló el cuestionario puntual
El instrumento predominante de gestión de riesgo de proveedores sigue siendo el cuestionario de evaluación aplicado en el momento de la contratación y, cuando hay disciplina, renovado anualmente. Este modelo carga con tres limitaciones que los datos recientes exponen con claridad.
La primera es temporal. El cuestionario captura una declaración de postura en una fecha específica. La superficie de ataque de un proveedor, sin embargo, cambia continuamente: nuevos servicios entran en producción, se publican activos, se divulgan vulnerabilidades y vencen certificados. Una evaluación válida en enero describe una realidad que ya no corresponde al entorno en junio. Entre un ciclo de revisión y el siguiente, la organización opera con base en una fotografía vencida.
La segunda es de naturaleza de la evidencia. El cuestionario recopila autodeclaraciones. Registra lo que el proveedor afirma sobre sus controles, no lo que está efectivamente expuesto a internet en su perímetro. Existe una distancia consistente entre la política documentada y la configuración real de los activos, y es en esa distancia donde se origina el incidente.
La tercera es de cobertura. El programa formal de evaluación alcanza a los proveedores contractualmente reconocidos como críticos. La malla de integraciones reales es más amplia: incluye subproveedores, servicios SaaS adoptados por áreas de negocio sin pasar por la evaluación central y conexiones de socios que se acumularon a lo largo del tiempo. La concentración de dependencia en proveedores compartidos, que la regulación europea ya trata explícitamente, rara vez aparece en un cuestionario individual.
El propio sector reconoce el desfase. La recomendación central de los informes de 2025 es la transición de la revisión periódica de proveedores hacia la observación en tiempo real, de modo de contener la exposición antes de que se propague por la cadena.
La convergencia regulatoria
La supervisión de terceros dejó de ser una recomendación de buena práctica y pasó a ser una exigencia normativa. En la Unión Europea, el Reglamento de Resiliencia Operativa Digital (DORA), aplicable a las entidades financieras desde enero de 2025, impone el conjunto más prescriptivo de obligaciones sobre riesgo de terceros de TIC jamás formulado en el sector. Exige un registro mantenido de todos los proveedores, con clasificación de criticidad, evaluación de riesgo precontractual y análisis de riesgo de concentración. La Directiva NIS2, en vigor en el bloque desde octubre de 2024, extiende obligaciones de seguridad de la cadena de suministro a entidades esenciales e importantes en dieciocho sectores.
La lectura conjunta de estos instrumentos apunta a un mismo requisito: visibilidad continua sobre la postura de seguridad de los proveedores y sobre la exposición que ellos generan. Las sanciones son materiales, con penalidades que alcanzan porcentajes de la facturación global anual. Para las organizaciones brasileñas con operación o clientes en Europa, la exigencia es inmediata; para las demás, el estándar que se consolida en la regulación internacional tiende a convertirse en referencia de auditoría y contratación.
Del inventario estático a la visión continua de la exposición
La conclusión que se impone a los comités de riesgo es operativa, no conceptual. El programa de gestión de riesgo de proveedores necesita incorporar una dimensión que el cuestionario no proporciona: la observación continua y externa de la superficie de ataque de cada tercero relevante.
Esa observación parte de una pregunta objetiva y verificable. Qué activos de cada proveedor están expuestos a internet, en qué estado se encuentran y cómo evoluciona esa exposición a lo largo del tiempo. A diferencia de la autodeclaración, esta es una medición de la realidad observable del perímetro, obtenida desde la misma perspectiva que tendría un atacante. Complementa el cuestionario sin sustituir la diligencia contractual, y transforma la evaluación de un evento anual en un seguimiento permanente.
La ganancia para la supervisión es de oportunidad temporal. La degradación de la postura de un proveedor crítico, la publicación de un nuevo activo vulnerable o la exposición de un servicio sensible pasan a ser detectables cuando ocurren, y no en el ciclo de revisión siguiente. Considerando que el compromiso de cadena tarda, en promedio, 267 días en ser contenido, anticipar la identificación de la exposición altera directamente la extensión del daño.
El posicionamiento de CSURFACE
CSURFACE mapea y monitorea continuamente la superficie de ataque externa de las organizaciones y de su cadena digital de proveedores y socios. La plataforma identifica los activos expuestos a internet asociados a cada tercero relevante, acompaña la evolución de esa exposición a lo largo del tiempo y proporciona a los comités de riesgo y auditoría una visión verificable de la postura externa de su cadena, sustentada en la observación y no en la autodeclaración.
Para quien responde por el riesgo a nivel del consejo, el resultado es la sustitución de la fotografía anual por una lectura continua y defendible del riesgo que la cadena de proveedores introduce en la operación. En un escenario en el que una de cada tres violaciones se origina en un tercero, esa continuidad dejó de ser un diferencial y pasó a ser una condición de supervisión adecuada.
Fuentes
- Verizon 2025 Data Breach Investigations Report — comunicado oficial
- Verizon 2025 Data Breach Investigations Report (PDF)
- SecurityScorecard 2025 Global Third-Party Breach Report (PDF)
- SecurityScorecard — comunicado del informe 2025
- IBM Cost of a Data Breach Report 2025 — datos de cadena de suministro
- Centraleyes — DORA's Third-Party Risk Standards in 2025
- Brandefense — NIS2 and DORA Compliance for Third-Party Risk Management