Qué cubre la expresión
La cadena de suministro digital es el conjunto de código y servicios de terceros que la organización incrusta en sus propios activos: script de analítica, biblioteca servida por CDN, widget de atención, píxel de marketing, API que la página llama para funcionar.
La diferencia con el riesgo de proveedor común está en dónde se ejecuta la cosa. Un proveedor de nube opera en su propia infraestructura. Un script de terceros opera dentro de su página, en el navegador de su cliente, con su marca en la barra de direcciones.
Por qué es difícil de ver
Nadie aprueba esta cadena de una vez.
Marketing añade un píxel para medir una campaña. Producto añade una biblioteca para resolver el formato de fechas. Un equipo integra un chat porque soporte lo pidió. Cada decisión pasó por el proceso que existía para ella, y ninguna pasó por un inventario del conjunto.
El agravante es la profundidad. El script que usted aprobó carga otro script, que carga un tercero. El árbol crece hacia abajo y la organización ve solo el primer nivel, que es lo que alguien escribió en la etiqueta.
Qué pasa cuando un eslabón se compromete
El compromiso no necesita tocar su infraestructura.
Quien controla el dominio que sirve ese archivo controla lo que se ejecuta en su página. El visitante recibe el código malicioso desde su sitio, con su certificado, y ningún registro de su servidor muestra nada anormal, porque el servidor entregó exactamente lo que siempre entrega.
El caso Polyfill.io es el ejemplar del patrón: una biblioteca ampliamente adoptada cambia de dueño, el nuevo dueño altera lo que el archivo entrega, y millones de sitios pasan a servirlo sin ningún cambio de su lado. El caso está descrito en detalle.
Cómo se inventaria
Desde fuera, mirando lo que la propia página carga cuando se abre.
Esa es la única forma de atrapar el árbol entero, porque se arma en tiempo de ejecución y no aparece en ningún repositorio de código. Lo que el navegador busca es el inventario real, y cambia cuando un tercero decide cambiarlo.
El primer levantamiento suele sorprender por su tamaño. Es común encontrar decenas de dominios de terceros contactados por una página que la empresa consideraba simple.
Qué hacer con la lista
Quitar lo que ya no sirve es el movimiento de mayor retorno, y siempre hay bastante. Un píxel de campaña cerrada, una biblioteca de una funcionalidad que salió de línea, una etiqueta de una herramienta que la empresa dejó de usar.
Para lo que queda, dos controles reducen el daño sin exigir confianza en el tercero: fijar la versión en lugar de apuntar a la más reciente, y verificar la integridad del archivo al cargar.
Esto es distinto de la gestión de riesgo de terceros, que trata la postura de la organización proveedora. Aquí el objeto es el artefacto que se ejecuta dentro de su activo, y entra en escena sin contrato firmado.