SolarWinds: el hackeo de la cadena de suministro

En diciembre de 2020 se hizo público uno de los ataques más comentados de la última década: el caso SolarWinds. Los atacantes no forzaron la entrada de miles de organizaciones una por una. Hicieron algo más silencioso y más grave: comprometieron una herramienta de software legítima y muy usada, e insertaron código malicioso en una actualización que las propias empresas descargaron e instalaron de buena fe. La amenaza no tocó a la puerta; llegó adentro de un producto en el que todos confiaban.

Esa es la lección que trasciende al incidente. Para una pyme mexicana, el detalle técnico importa menos que la idea de fondo: cada proveedor de software que usas es también parte de tu superficie de riesgo. El sistema de facturación, el plugin del sitio, la app que sincroniza tus ventas, la extensión que instaló alguien del equipo «para probar». Todos amplían lo que puede fallar. La buena noticia es que no necesitas un presupuesto corporativo para protegerte; necesitas orden, criterio y decisiones con información confiable.

Tu proveedor de software también es tu riesgo

Cuando contratas o instalas una herramienta, no solo adquieres una función. Heredas las prácticas de seguridad de quien la construyó, su ritmo de actualizaciones y su forma de manejar los datos que le confías. Si ese eslabón falla, tu operación se ve afectada aunque tú hayas hecho todo bien de tu lado.

Esto no significa desconfiar de todo ni frenar tu operación. Significa elegir con los ojos abiertos y saber exactamente qué tienes instalado y por qué. La mayoría de las pymes no tiene ese inventario a la mano, y ahí empieza el problema: no puedes cuidar lo que ni siquiera sabes que estás usando.

Qué puede hacer una pyme sin equipo de ciberseguridad

No hace falta un departamento entero para reducir mucho tu exposición. La clave está en hábitos simples y sostenidos:

• Haz un inventario de tu software. Anota qué herramientas, plugins y servicios usas, para qué sirven y quién es responsable de cada uno. Lo que no está en la lista no se puede cuidar.
• Menos es más. Da de baja lo que ya no usas. Cada aplicación abandonada es una puerta que sigue abierta sin que nadie la vigile.
• Limita los accesos. Que cada persona y cada sistema tenga solo los permisos que de verdad necesita. Así, si algo se compromete, el daño queda acotado.
• Actualiza con criterio, no en automático ciego. Las actualizaciones son buenas, pero conviene saber de dónde vienen y mantener respaldos antes de aplicarlas.
• Ten respaldos que puedas restaurar. Un respaldo solo sirve si lo has probado. Guarda copias fuera del sistema principal y verifica que funcionan.

La seguridad no es comprar una herramienta más; es saber qué usas, por qué lo usas y qué harías si eso fallara.

Software a la medida: control sobre lo que corre en tu negocio

Una de las ventajas de trabajar con software a la medida es la visibilidad. Cuando una solución se construye pensando en tu operación, sabes qué componentes la integran, qué datos maneja y cómo se actualiza. No es una caja negra con decenas de dependencias que nadie revisó.

Eso no elimina el riesgo, ningún sistema lo hace, pero sí te da algo valioso: control. Puedes decidir qué se instala, mantener un registro claro y responder rápido si aparece un problema. Y algo que en Normandia cuidamos siempre: al modernizar o reemplazar una herramienta, conservas tus datos, procesos e historial. La continuidad de tu negocio no debería depender de un solo proveedor sobre el que no tienes ninguna injerencia.

Cómo blindar tu cadena de software

No intentes resolverlo todo en una semana. Empieza por lo que sí puedes abarcar y medir:

• Haz la lista. Dedica una tarde a inventariar tu software y accesos. Solo con eso ya sabrás más que la mayoría.
• Depura lo evidente. Da de baja cuentas viejas, usuarios que ya no están y herramientas que nadie usa.
• Asegura tus respaldos. Confirma que existen, que están fuera del sistema principal y que sabes cómo restaurarlos.
• Revisa a tus proveedores clave. Pregunta cómo manejan la seguridad y las actualizaciones de lo que te venden. Sus respuestas te dicen mucho.
• Prioriza lo crítico. Enfócate primero en los sistemas que, si fallaran, detendrían tu operación.

El caso SolarWinds nos recordó que la confianza en el software es necesaria, pero conviene que sea una confianza informada. Con orden, criterio y las decisiones correctas, una pyme puede protegerse sin frenar su crecimiento. Si quieres revisar tu operación y saber por dónde reforzarla, en Normandia Web podemos acompañarte con soluciones hechas a tu medida.