Las pequeñas y medianas empresas tendrán que prestar cada vez más atención a la ciberseguridad cuando incorporen dispositivos conectados a sus instalaciones. La entrada en escena de la Ley de Ciberresiliencia de la Unión Europea (CRA) eleva las exigencias para los productos con elementos digitales y pone el foco no solo en su seguridad en el momento de la compra, sino también en su mantenimiento durante todo el ciclo de vida.
Aunque las principales obligaciones recaen sobre los fabricantes, la normativa también tendrá consecuencias para las empresas que adquieren, instalan y gestionan dispositivos conectados, desde cámaras de videovigilancia y sistemas de control de acceso hasta otros equipos de seguridad física. Para las pymes, esto supone incorporar nuevos criterios a sus procesos de compra y comprobar qué garantías ofrece el proveedor antes de incorporar una solución a su infraestructura.
Uno de los aspectos que deberían comprobar las empresas es cuánto tiempo recibirá el producto actualizaciones de seguridad y soporte técnico. La CRA establece que los fabricantes deben proporcionar actualizaciones de seguridad y gestionar las vulnerabilidades durante al menos cinco años, lo que convierte la vida útil del producto y el compromiso del proveedor en elementos relevantes a la hora de comparar soluciones. Comprar un dispositivo barato puede dejar de ser una buena decisión si deja de recibir soporte cuando todavía forma parte de la infraestructura de la empresa.
También será importante conocer cómo se ha desarrollado el producto desde el punto de vista de la seguridad. Conceptos como «Secure by Design» y «Secure by Default» cobran especial relevancia, ya que buscan que la ciberseguridad se integre desde las primeras fases de diseño y desarrollo, en lugar de añadirse posteriormente. Las pymes pueden preguntar a sus proveedores cómo se realizan las pruebas de seguridad, cómo se protegen los datos y qué mecanismos existen para controlar identidades y accesos.
Otro criterio fundamental es la gestión de vulnerabilidades. Ningún software está completamente libre de fallos, por lo que las empresas deberían valorar cómo responde el fabricante cuando se detecta un problema. Genetec recomienda comprobar si el proveedor dispone de procesos para identificar vulnerabilidades, comunicarlas a los clientes, publicar correcciones y distribuir actualizaciones de seguridad de forma segura. La transparencia sobre estos procesos puede ser tan importante como las prestaciones del propio producto.
La compañía también aconseja que las organizaciones consideren la ciberseguridad como una relación continua con el proveedor, y no como una cuestión que termina cuando se firma la compra. Para una pyme, esto implica preguntar antes de adquirir una solución conectada qué soporte tendrá, cómo se comunicarán las vulnerabilidades, cuándo dejará de recibir actualizaciones y qué ocurrirá cuando el producto llegue al final de su vida útil. «Las organizaciones mejor preparadas para gestionar las futuras amenazas cibernéticas consideran la ciberseguridad como una colaboración continua, y no como una decisión de adquisición puntual», señala Mathieu Chevalier, Principal Security Architect de Genetec.
La aplicación de la CRA puede convertirse así en una oportunidad para que las pymes profesionalicen sus procesos de adquisición tecnológica. Más allá del precio y de las funcionalidades, criterios como la duración del soporte, las actualizaciones de seguridad, la gestión de vulnerabilidades y la transparencia del fabricante pueden ayudar a evitar costes y riesgos a medio plazo. En un contexto en el que cada vez más equipos de seguridad están conectados a las redes corporativas, elegir productos diseñados para mantenerse protegidos durante toda su vida útil se convierte en una parte esencial de la estrategia de ciberseguridad.
