C-SCRM: principios, niveles y roles

NIST SP 800-161 Rev. 1, «Cybersecurity Supply Chain Risk Management Practices for Systems and Organizations» (mayo de 2022, actualizado hasta noviembre de 2024), integra la C-SCRM en la gestión de riesgos de toda la organización con un enfoque de varios niveles, el mismo que usa NIST SP 800-39. El nivel 1, empresa, fija el tono, la gobernanza y los límites: estrategia, política y plan de implementación para toda la organización. El nivel 2, misión y proceso de negocio, toma ese contexto y lo adapta a cada proceso con estrategias y planes propios. El nivel 3, operacional, produce los planes de C-SCRM de los sistemas: sirven para decidir si un sistema cumple los requisitos de negocio, funcionales y técnicos y lleva los controles a la medida.

La tabla niveles resume los tres con lo que cada uno entrega.

Un documento está en el nivel que le toca por lo que decide y a quién obliga, no por la fecha ni por quién lo firmó. Una política para toda la empresa es del nivel 1; la estrategia de un proceso, del nivel 2; el plan de un sistema concreto, del nivel 3. Cuando un plan de sistema se declara como de nivel 1, la empresa cree tener una decisión de gobierno donde solo tiene un detalle técnico, y el nivel 3 de ese sistema queda sin dueño.

Compara el nombre de cada documento de la tabla documentos con el producto típico de su nivel declarado.

Los documentos de C-SCRM envejecen porque los proveedores, los sistemas y las amenazas cambian. La regla interna de Telar Norte exige revisar cada documento al menos una vez cada 12 meses. El corte es el 30 de abril de 2027: un documento cuya última revisión sea anterior al 30 de abril de 2026 está vencido.

NIST describe una oficina de programa de C-SCRM (en inglés, C-SCRM PMO) como una función que coordina el programa y reúne información entre los niveles; puede ser una persona, un comité o un equipo según el tamaño de la organización. Lo que importa no es el nombre sino que exista alguien que responda por que los tres niveles hablen entre sí. En un programa maduro cada rol tiene una persona, y cuando un rol queda vacío la responsabilidad se diluye.

Un error habitual es pensar que la cadena de suministro son solo los proveedores con contrato. El marco habla de productos, servicios y proveedores: el riesgo puede venir de una falsificación, de una debilidad de fabricación, de funciones maliciosas o de una dependencia que el proveedor usa y tú no conoces. Por eso el nivel 3 trabaja con sistemas concretos y el inventario de componentes (que verás en las salas siguientes) es un insumo del programa.