B2B (Business to Business)

B2B, business to business, describe las relaciones y transacciones comerciales que se establecen entre empresas, y no entre una empresa y un consumidor particular.

En la práctica significa que una organización presta servicios a otra, intercambia información con ella o le compra y le vende bienes, sobre sistemas que conectan a las dos.

Aquí la seguridad importa por una razón concreta, y no es la evidente. No es que los datos B2B sean más sensibles que los de consumo, aunque a menudo lo sean. Es que una relación B2B amplía la frontera: la confidencialidad, la integridad y la disponibilidad de tus datos pasan a depender en parte de controles que ni operas tú ni puedes ver.

Qué implica

Proteger los datos compartidos. Los intercambios B2B llevan con frecuencia información financiera, estrategia comercial y propiedad intelectual. Protegerla pasa por saber qué se está compartiendo, con quién y bajo qué condiciones, y eso empieza por la clasificación de la información antes que por la tecnología.

Autenticación y control de acceso. Como los recursos se comparten, la autenticación fuerte y el acceso basado en roles importan más, no menos. La autenticación multifactor en las cuentas de los socios es el control que por sí solo elimina la mayor clase de incidentes, porque la credencial de un socio es justo lo que se roba por phishing y luego se reutiliza.

Comunicación segura. El correo, la mensajería y las conexiones directas entre sistemas transportan todos el intercambio, y todos son objetivo. El cifrado en tránsito es la base; reconocer una instrucción fraudulenta bien escrita es la parte difícil.

Identidad y privacidad. Los datos personales que se mueven entre dos empresas siguen teniendo un titular y una base legal, y el acuerdo entre las dos es donde quedan escritas las responsabilidades.

Un ejemplo

Dos empresas colaboran en la fabricación y la distribución de productos electrónicos.

La empresa A, que fabrica, necesita compartir diseños y especificaciones con la empresa B, que distribuye y vende.

Intercambian el material a través de un portal compartido. El acceso está protegido con autenticación multifactor, y la política de control de acceso limita qué empleados ven qué documentos en lugar de darle todo a todo el mundo.

El tráfico va cifrado, las dos organizaciones tienen controles contra el malware y las dos acuerdan cómo se van a tratar los datos personales.

Lo que ese montaje no elimina es la dependencia. Si comprometen a la empresa B, los diseños están comprometidos, por bien llevada que esté la empresa A.

Por qué la frontera es la parte interesante

La pregunta de seguridad que plantea de verdad una relación B2B no es cómo proteger el portal. Es qué pasa cuando comprometen a la otra parte.

El acceso de socios y proveedores ha sido la vía de entrada de una larga lista de incidentes importantes, porque es un acceso que se concedió legítimamente, suele ser amplio y casi nunca se revisa cuando termina el proyecto que lo justificaba. El patrón se repite: una cuenta creada para una integración, con más permisos de los que necesitaba, que nunca se revocó.

Hay tres preguntas que merece la pena hacerle a cada conexión B2B, y se responden sin ninguna herramienta. Hasta dónde llega exactamente el acceso de este socio. Quién lo revisa, y cuándo lo revisó por última vez. Y si mañana este socio nos dice que lo han comprometido, qué hacemos en la primera hora.

La misma lógica se aplica al software en lugar de a las personas, donde se convierte en un ataque a la cadena de suministro, y a los servicios, donde el modelo de responsabilidad compartida es la versión escrita de la misma pregunta.

Dónde leer más

CISA, Cybersecurity best practices: orientación general que cubre el acceso de terceros y los controles que se le aplican.