Comprensión de los riesgos de ciberseguridad a los que se enfrentan las organizaciones de bienes de consumo empaquetados (CPG)
¿Cuándo fue la última vez que compró un producto que estaba en un contenedor? Si eres un consumidor típico, probablemente lo hayas hecho en los últimos días. Hay toda una industria que se enfoca en estos contenedores. Los Bienes de Consumo Empaquetados (CPG) es un Término de la industria para mercancías que se usan y reemplazan con frecuencia. CPG incluye casi todo, desde artículos pequeños como alimentos, bebidas, cosméticos y productos de limpieza hasta bienes duraderos más grandes como electrodomésticos, muebles y automóviles.
Por supuesto, la fabricación y distribución de bienes de consumo envasados se basa en la tecnología. Como la mayoría de las organizaciones, las organizaciones de CPG están en riesgo de ciberdelincuencia. Si bien los ataques típicos como el ransomware son una preocupación constante para todas las organizaciones, las organizaciones de CPG están expuestas a riesgos únicos.
¿Por qué crece la necesidad de ciberseguridad para las organizaciones de CPG?
Ha habido muchos cambios en el mercado que han obligado a las organizaciones de CPG a una mayor digitalización. Esto ha sido particularmente cierto para las organizaciones en la mayoría de los sectores luego de la pandemia de COVID-19 y el surgimiento de nuevos modelos de trabajo.
Lo que hace que la historia de las organizaciones de CPG sea única es que están bajo presiones de precios increíbles, especialmente si esos productos están totalmente automatizados y se fabrican en el país. Para hacer frente a esta presión de los precios, deben ser más eficientes, y para este crecimiento y eficiencia, la mayoría de las empresas recurren a tecnologías de optimización como aprendizaje automático de gemelos digitales. Además de esto, si los productos que salen de la línea de producción están relacionados con la seguridad, como es el caso de los alimentos o los juguetes para niños, existen regulaciones adicionales que las organizaciones deben seguir.
¿A qué riesgos de ciberseguridad se enfrentan?
Los atacantes digitales tienen como objetivo las capacidades de producción de las organizaciones de CPG. Si tiene éxito, un intruso podría comprometer una línea de producción para alterar el proceso de producción, haciendo que el producto final no sea seguro para el consumo.
Un incidente reciente que involucró a una organización alimentaria austriaca puede servir como ejemplo. Un atacante se infiltró en la línea de producción, giró hacia un sistema de enfriamiento y ajustó la temperatura tan baja que el sistema de enfriamiento dejó de funcionar. Simultáneamente, el actor malintencionado también manipuló los valores del sensor para que pareciera que permanecían a una temperatura dentro de los umbrales operativos normales. Esto enmascaró el apagado del sistema de enfriamiento y provocó que la temperatura real de los alimentos aumentara, pero nadie se dio cuenta de estos problemas. Finalmente, uno de los trabajadores de la línea de producción observó que la temperatura en la pantalla no coincidía con la temperatura real de los alimentos cuando se manipulaban físicamente, pero desafortunadamente, esto no sucedió antes de que se perdieran 12 días de producción.
El costo del incidente no fue muy alto en general. Claro, la organización podría haberlo reconocido antes en el incidente. De manera más fortuita, la empresa descubrió el problema antes de que los alimentos fueran enviados a las tiendas. Por el contrario, si no hubiera detectado el error antes de que el producto ingresara a la cadena de suministro, podría haber habido graves consecuencias para la salud, así como multas que potencialmente se habrían impuesto a la organización.
Los incidentes en la línea de producción tampoco son los únicos riesgos de seguridad cibernética que enfrentan las organizaciones de CPG. También hay problemas con la cadena de suministro. Imagine una empresa de refrescos que subcontrata el llenado de botellas a un tercero. Para cumplir con las demandas de producción, se requiere llenar cada segundo un cierto número de botellas de tamaños particulares. Un problema con la máquina debido a una manipulación similar a la que ocurrió en Austria podría resultar en botellas mal llenadas. No será el proveedor de la máquina el que sufrirá costos de reputación. La empresa de refrescos sufrirá los daños.
Aceptar que la ciberseguridad de la cadena de suministro es tan importante como las políticas de una organización de CPG enfatiza por qué las organizaciones de CPG requieren que sus proveedores demuestren medidas de ciberseguridad que logren un estándar mínimo de alineación con sus requisitos para subcontratarles cualquier trabajo.
Existe un entorno normativo cada vez mayor para las organizaciones de CPG. Los estándares de calidad y seguridad de los alimentos se han ampliado para incluir ahora la ciberseguridad. En este momento, esos estándares no son muy concretos, pero esto está cambiando. Uno puede anticipar razonablemente que las autoridades regulatorias requerirán en última instancia que las organizaciones de CPG cuenten con un programa de seguridad completo, que se cumpla con el programa y que la evidencia de las prácticas de seguridad de una organización esté disponible para fines de auditoría. Así como las leyes cibernéticas han aumentado en su directivas prescriptivas para otras industrias, no sería sorprendente que las organizaciones de CPG estén obligadas a implementar un proceso de calidad para garantizar que la ciberseguridad sea siempre de vanguardia. Esto también podría incluir el requisito de contar con herramientas de monitoreo, como un sistema de gestión de eventos e información de seguridad (SIEM) y una plataforma de gestión de configuración de seguridad (SCM).
La protección de la cadena de productos de consumo es de vital importancia. Las organizaciones de CPG interactúan con múltiples áreas de infraestructura crítica, y la protección de las operaciones cibernéticas de CPG es necesaria para garantizar la seguridad total en todos los productos que se lanzan al mercado.
