Tu proveedor tiene acceso permanente a tu red. ¿Quién lo controla?

El proveedor del sistema de gestión tiene un acceso remoto permanente. El de las cámaras también. El técnico del equipo de producción dejó un túnel abierto "por si hace falta". El contador entra a la carpeta de administración.

Todos esos accesos son legítimos. Y todos son parte de tu superficie de ataque, con la particularidad de que no los controlás vos.

Si comprometen a tu proveedor, el atacante entra a tu red con credenciales válidas y por un camino autorizado. Es una de las formas más eficientes de ataque que existe, porque una sola intrusión sirve para muchas víctimas.

Qué se puede hacer, sin volverse impracticable:

• Listar todos los accesos de terceros que existen hoy. Casi siempre aparecen más de los que dirección imaginaba.
• Acceso bajo demanda en vez de permanente: se habilita cuando hace falta y se cierra al terminar.
• Cuentas nominales, una por persona del proveedor. Nada de un usuario compartido "soporte".
• Segundo factor obligatorio, también para ellos.
• Permisos acotados a lo que necesitan tocar, no al dominio completo.
• Registro de sesiones y revisión periódica.
• Cláusulas contractuales: obligación de notificar incidentes que puedan afectarte, en un plazo definido.

Tu seguridad es tan buena como la del proveedor con más acceso.