La creciente ciberdependencia ha traído enormes beneficios a empresas de América Latina, pero también nuevas vulnerabilidades. Cada vez más organizaciones delegan funciones críticas en terceros: proveedores de software, servicios en la nube, outsourcers de procesos y un sinnúmero de partners tecnológicos. Sin embargo, los atacantes han encontrado en esa cadena de suministro digital un eslabón débil. En particular, los CISOs advierten que el riesgo ya no proviene solo de sus proveedores directos, sino de los proveedores de sus proveedores – las llamadas cuartas partes. En palabras de un veterano del sector: ‘Un tema clave hoy es el riesgo de las terceras partes de las terceras partes. Nosotros controlamos lo nuestro, podemos instruir a nuestros proveedores y partners, pero es difícil ver lo de ellos con sus terceros. Suele haber filtraciones que nos impactan, muchas veces fuerte. No queda otra que ser estrictos y concientizar’, afirma Pedro Adamovic, CISO de Banco Galicia, resumiendo la preocupación de muchos líderes de seguridad en la región.
Crecen los riesgos en la cadena de suministro digital
Los incidentes originados en terceros se han disparado. Ataques globales de alto perfil – desde la infiltración de SolarWinds en 2020 hasta el ransomware masivo vía Kaseya en 2021 – demostraron cómo un proveedor comprometido puede convertirse en caballo de Troya hacia cientos de empresas. De acuerdo con una encuesta presentada en la conferencia RSA, el 87% de las empresas Fortune 1000 sufrió al menos un incidente cibernético significativo relacionado con terceros durante el último año.
Otra investigación internacional halló que el 61% de las compañías experimentó en 2023 una brecha de datos causada por proveedores externos, y más de la mitad de esos casos ocurrieron porque el incidente se originó en una ‘cuarta parte’ – es decir, en un subcontratista del proveedor directo.
A medida que las empresas amplían sus ecosistemas digitales, también multiplican los puntos de posible fallo fuera de su perímetro tradicional.
Esta realidad golpea también a Latinoamérica. IBM registró que en 2023 Latinoamérica fue la cuarta región más atacada del mundo en materia cibernética. Y si bien no todas las brechas locales trascienden públicamente, expertos estiman que más de la mitad de los incidentes graves en empresas de la región involucran a un tercero en alguna etapa. ‘Las amenazas evolucionan más rápido que las defensas. Un proveedor con poca seguridad puede ser la puerta de entrada a nuestras organizaciones’, advertía recientemente Juan Manuel Campos, consultor en ciberseguridad. En resumen, el eslabón más débil puede estar fuera de casa.
Brechas en cascada: casos que sacudieron a la región
Varios incidentes reales en América Latina ilustran el peligro concreto del riesgo en cadena. En Perú, por ejemplo, en octubre de 2024 el banco Interbank sufrió una masiva filtración de datos (más de 3 millones de clientes expuestos) luego de que un atacante obtuviera acceso con credenciales internas a servidores administrados por un tercero. Este intruso no entró directamente por las redes del banco, sino que aprovechó debilidades en un proveedor tecnológico para llegar a la información sensible, evadiendo los controles tradicionales de Interbank. El incidente dejó al banco expuesto a sanciones regulatorias y dañó la confianza de sus usuarios.
Otro caso resonante ocurrió en septiembre de 2023, cuando un ciberataque golpeó al proveedor de servicios en la nube IFX Networks, con operaciones en varios países de la región. Un ransomware paralizó los centros de datos de IFX, provocando un efecto dominó: más de 50 entidades estatales colombianas y empresas privadas quedaron sin sistemas por días.
Entre los afectados estuvieron el Ministerio de Salud y tribunales en Colombia, así como la plataforma de compras gubernamentales Mercado Público en Chile, que dependían de IFX para sus servicios. El propio presidente colombiano criticó que IFX ‘no tenía las medidas de ciberseguridad’ adecuadas, evidenciando la fragilidad de confiar operaciones críticas a un tercero sin visibilidad de su seguridad. Este evento – comparado por autoridades con uno de los mayores ataques en la historia local – subrayó cómo la caída de un solo proveedor puede afectar simultáneamente a decenas de organizaciones. El incidente derivó en acciones legales contra IFX y encendió alarmas en muchas juntas directivas sobre la necesidad de auditar más estrictamente a los proveedores.
No son hechos aislados. En México, una cadena de retail como Coppel vio cómo un ataque cibernético interrumpió las operaciones de 1.800 tiendas en 2024, afectando sistemas internos y datos de clientes, con pérdidas económicas millonarias. Si bien en ese caso la intrusión inicial no se atribuyó públicamente a un proveedor, expertos locales apuntaron que la compleja red de socios tecnológicos y logísticos de la empresa pudo facilitar la propagación del ataque una vez dentro. Asimismo, la petrolera mexicana Pemex sufrió en 2019 y nuevamente en 2024 ataques de ransomware que golpearon su cadena de distribución de combustibles, evidenciando que incluso sectores industriales tradicionales son vulnerables a brechas en sistemas de terceros integrados en sus operaciones. Un proveedor de software obsoleto o una conexión externa insegura puede detener la producción o distribución tanto como un sabotaje directo.
Estos incidentes reales dejan lecciones claras: un problema de seguridad en un aliado puede escalar hasta convertirse en el problema de seguridad de toda la empresa cliente. Además de las pérdidas financieras inmediatas, las brechas vía terceros conllevan costos reputacionales (los clientes difícilmente distinguen si la culpa fue de la compañía o de ‘un proveedor desconocido’) y pueden implicar violaciones normativas si hay datos personales comprometidos.
CISOs en guardia: del control estricto a la concientización extendida
Frente a esta escalada, los CISOs de la región están ajustando su estrategia. La mentalidad ha pasado de ‘proteger la empresa’ a ‘proteger el ecosistema completo’ de la empresa. Esto supone, en primer lugar, mapear exhaustivamente la cadena de suministro digital: no solo saber quiénes son los proveedores críticos, sino también quiénes proveen a esos proveedores. Sin esa visibilidad, es imposible gestionar el riesgo. Sin embargo, lograrlo es un desafío: un estudio de RiskRecon/Ponemon reveló que solo 3 de cada 10 organizaciones tienen claridad sobre cuáles cuartas partes acceden a sus datos sensibles. La mayoría depende de cláusulas contractuales y de la buena fe de sus proveedores para enterarse si estos subcontratan a alguien más – una postura claramente insuficiente.
Por ello, los CISOs están adoptando enfoques más proactivos y ‘audaces’. Según un informe de la consultora KPMG, seis de cada diez organizaciones en Latinoamérica planean incrementar la inversión en seguridad de la cadena de suministro en 2024, impulsadas tanto por los incidentes recientes como por nuevas exigencias regulatorias. Las medidas van desde lo tecnológico hasta lo contractual. ‘Estamos incluyendo requisitos de seguridad muy estrictos en todos nuestros contratos nuevos, incluso con proveedores pequeños’, comentaba el director de seguridad de una empresa minorista regional. Muchas compañías ahora exigen evaluaciones de seguridad antes de contratar: pruebas de penetración, certificaciones (como ISO 27001) o al menos un cuestionario técnico detallado. Sin embargo, los métodos tradicionales (checklists, autoevaluaciones) tienen limitaciones – ‘no ofrecen una visión precisa del riesgo asociado a terceros ni logran reducirlo’, señala un reporte de RSA Conference.
Por ello, algunas empresas están complementándolos con herramientas de monitoreo continuo, como plataformas que puntúan la ciberhigiene de los proveedores (ejemplo: seguimiento de filtraciones, puertos expuestos, etc. en tiempo real), o incluso con simulaciones de ataques enfocadas en la cadena de suministro.
La concientización también juega un rol central. Los CISO están elevando el tema a niveles ejecutivos y de directorio, para obtener apoyo y presupuesto. ‘La seguridad ya no es solo asunto del área de TI; debe ser parte de la estrategia de negocio’, enfatiza Mónica Gómez, vicepresidenta de Asobancaria en Colombia, remarcando que la alta dirección debe involucrarse en exigir buenas prácticas a terceros. Varias organizaciones realizan hoy campañas de sensibilización dirigidas a proveedores: charlas, capacitaciones conjuntas y comunicaciones claras sobre políticas de seguridad. La meta es que los aliados entiendan que son parte del mismo equipo de defensa. Un CISO bancario argentino lo resume así: ‘No sirve de nada tener muros altos si le dejamos la puerta abierta al socio que entra y sale’. En paralelo, se está reforzando la planificación de respuesta a incidentes: ya no alcanza con tener un plan interno, ahora las empresas simulan escenarios donde el incidente ocurre en un tercero (por ejemplo, caída del proveedor de cloud, fuga de datos en la empresa de RRHH) para probar cómo reaccionarían coordinadamente.
Grandes empresas refuerzan a sus proveedores clave
Las compañías líderes en Latinoamérica han tomado nota y están actuando. Varios casos destacados muestran distintas aristas de la defensa en cadena:
- BBVA – El banco multinacional (con fuerte presencia en México, Colombia, Perú y Argentina) cuenta con uno de los programas más robustos de gestión de riesgos de terceros. BBVA clasifica a sus miles de proveedores por nivel de criticidad y exige controles proporcionales: a los proveedores estratégicos les impone estándares equiparables a los de la entidad misma. ‘Nuestros aliados deben tener el mismo apetito de riesgo cero que tenemos internamente’, señalaron desde el equipo de seguridad. BBVA realiza auditorías periódicas in situ a servicios tercerizados críticos (centros de datos, call centers, desarrolladores) y monitorea continuamente la postura de ciberseguridad de sus partners. Además, participa en iniciativas colaborativas del sector financiero (como la plataforma española Pinakes, que evalúa la seguridad de proveedores) para compartir información y elevar el listón de toda la industria.
- Mercado Libre – La firma de comercio electrónico más grande de la región maneja un ecosistema complejo de vendedores, empresas de logística, pasarelas de pago y desarrolladores externos. Consciente de que su marca podría verse afectada por brechas ajenas, Mercado Libre implementó un programa integral de Security Trust con sus partners. Esto incluye exigir pruebas de seguridad en las integraciones API de terceros, un riguroso proceso de homologación de proveedores de software y un bug bounty (programa de recompensas por reporte de vulnerabilidades) extendido a aplicaciones de terceros que se conectan a su plataforma. La empresa también brinda herramientas de seguridad a sus proveedores más pequeños – por ejemplo, capacitación gratuita en buenas prácticas y escaneos básicos de vulnerabilidades – reconociendo que la cadena es tan fuerte como su eslabón más débil.
- Itaú Unibanco – El gigante bancario brasileño, operando en varios países latinoamericanos, ha alineado su estrategia con las nuevas regulaciones de Brasil. Desde la entrada en vigor de la Lei Geral de Proteção de Dados, Itaú fortaleció las cláusulas de privacidad y seguridad en todos sus contratos de tercerización. El banco creó un Comité de Riesgo de Proveedores que revisa cada servicio externalizado: no solo evalúa la solvencia del proveedor, sino también sus controles de ciberseguridad, planes de continuidad y la seguridad de sus subcontratistas. Itaú también fue pionero en realizar simulacros de ciberataque en la cadena de suministro: en 2022 llevó a cabo un ejercicio conjunto con uno de sus mayores proveedores de cloud para probar protocolos de comunicación y recuperación ante un ataque hipotético. Esta preparación conjunta demostró ser valiosa – durante el incidente de IFX Networks, Itaú pudo conmutar rápidamente servicios a respaldos alternativos, minimizando el impacto en sus operaciones locales.
- Petrobras – La petrolera brasileña maneja una enorme red de contratistas de ingeniería, compañías de TI industrial, y proveedores logísticos. Tradicionalmente enfocada en seguridad física, Petrobras en los últimos años incorporó la ciberseguridad como requisito obligatorio en sus procesos de contratación. La empresa ahora demanda que cualquier proveedor que se conecte a sus redes o equipos cumpla estándares como ISA/IEC 62443 (seguridad en sistemas de automatización industrial) y entregue evidencias de pruebas de penetración. Tras conocidos ataques en el sector energético mundial (como el caso Colonial Pipeline en EE.UU.), Petrobras inició en 2021 un programa de ‘ciber-resiliencia de proveedores’: audita los sistemas de control industrial de contratistas clave, revisa configuraciones de VPN de acceso remoto y hasta simula escenarios de ransomware en plantas operadas por terceros. La compañía también trabaja estrechamente con el Centro de Ciberseguridad del gobierno brasileño para compartir threat intelligence sobre posibles amenazas que pudieran llegar a través de proveedores de la cadena de suministro del petróleo.
- Alpina – No solo las empresas de tecnología o finanzas toman medidas; el fabricante colombiano de alimentos Alpina es un ejemplo de cómo la manufactura también refuerza su ciberseguridad en la cadena. Alpina, conocida por sus productos lácteos, ha invertido en la protección de su entorno industrial IoT y de sus proveedores de tecnología operacional. En un caso de estudio presentado por la compañía, Alpina detectó que algunos dispositivos de Internet de las Cosas en sus plantas – suministrados por terceros – presentaban vulnerabilidades de firmware que podían ser explotadas remotamente. En respuesta, la empresa implementó un proceso continuo de evaluación de seguridad para todo equipo o software provisto por contratistas, antes de su puesta en producción. Además, Alpina integró a sus principales proveedores en simulacros de incidentes: por ejemplo, practicaron juntos la respuesta ante un hipotético ataque que alterara parámetros de calidad en la cadena de frío a través de sensores comprometidos. Este enfoque colaborativo les permitió corregir falencias y asegurar que todos los eslabones (desde el sensor hasta la nube donde se reportan datos) cumplan estándares estrictos.
- Grupo Sura – El conglomerado financiero colombiano (seguros, pensiones, inversiones) también ha fortalecido la seguridad de su amplia red de aliados. Grupo Sura estableció un Programa de Gestión de Riesgos de Proveedores a nivel corporativo que abarca sus filiales en distintos países. Cada proveedor crítico de Sura (por ejemplo, empresas que procesan datos de clientes o desarrollan aplicativos para la aseguradora) es sometido a una evaluación anual de riesgos que incluye ciberseguridad, con métricas concretas. Los resultados se comparten con el proveedor, acordando planes de mejora si hay debilidades. Así mismo, Grupo Sura actualizó todas sus políticas de contratación: hoy exige que sus terceros también gestionen a sus propios terceros. Es decir, pide evidencia de cómo sus proveedores más importantes evalúan y supervisan a sus proveedores esenciales. Esta cascada de responsabilidad busca generar una cultura de seguridad extendida. Directivos de Sura comentan que incluso organizan foros con sus socios estratégicos para difundir nuevas amenazas y lecciones aprendidas de incidentes globales, consciente de que la lucha contra los ciberdelincuentes requiere un frente común.
En todos estos ejemplos, un hilo conductor es claro: la seguridad ya no termina en los muros de la empresa, sino que se expande por la cadena de valor. Las empresas grandes están poniendo recursos y presión para que sus proveedores (y los proveedores de estos) eleven sus prácticas. En algunos casos ofrecen ayuda y en otros simplemente demandan cumplimiento bajo riesgo de terminar contratos. Pero el objetivo final es compartido: reducir la superficie de ataque en conjunto.
Regulaciones y cumplimiento: el impulso desde la ley
A medida que los riesgos aumentan, los reguladores de la región también han reaccionado, imponiendo obligaciones específicas para gestionar la seguridad de terceros. En Brasil, la entrada en vigor de la Ley General de Protección de Datos (LGPD) en 2020 marcó un hito. Esta ley, similar al GDPR europeo, establece que la empresa responsable de los datos (controlador) debe garantizar la protección de la información personal, incluso cuando es tratada por un proveedor. En la práctica, LGPD obliga a firmar contratos con encargados (terceros que procesan datos) estableciendo medidas de seguridad, y hace corresponsables a las empresas en caso de incidentes. El incumplimiento puede derivar en multas de hasta 2% de los ingresos. Esto ha llevado a muchas compañías en Brasil – bancos, minoristas, telecomunicaciones – a robustecer sus programas de due dilligence de proveedores y a monitorear más de cerca cualquier fuga de datos en sus socios, pues la Autoridad Nacional de Protección de Datos brasileña ya ha iniciado sanciones donde hubo negligencia en controlar a terceros.
En México, aunque la preocupación por ciberseguridad de terceros ha crecido más recientemente, desde hace más de una década existe un marco legal que empuja en esa dirección. La Ley Federal de Protección de Datos Personales (2010) exige que las empresas que transfieren datos personales a proveedores (denominados ‘encargados’) verifiquen que estos guarden la confidencialidad y las medidas de seguridad adecuadas. Si un proveedor sufre una filtración por descuido, la empresa que le confió los datos podría ser considerada responsable solidaria. Este marco legal ha motivado a que sectores como el financiero mexicano incluyan estrictos anexos de seguridad en sus contratos de outsourcing, y que se notifique a los clientes cuando ocurre una brecha, sin excusas de que ‘fue el proveedor’. Más recientemente, regulaciones sectoriales – por ejemplo, la Ley Fintech mexicana – incorporan obligaciones explícitas de gestionar riesgos tecnológicos y de terceros, supervisadas por entes como la CNBV.
Colombia es otro caso notable. La Superintendencia Financiera de Colombia (SFC) ha emitido lineamientos específicos para que las entidades vigiladas administren adecuadamente el riesgo de ciberseguridad, incluyendo a terceros. En 2021, la SFC publicó la Circular Externa 007 sobre requisitos mínimos de seguridad, que obliga a bancos y aseguradoras a tener políticas y procedimientos formales para la gestión de riesgos de ciberseguridad en todos los frentes.
Esto abarca la necesidad de evaluar a los proveedores críticos. Adicionalmente, Colombia introdujo taxonomías de reporte de incidentes que demandan informar a la autoridad financiera cuando un incidente proviene de un fallo en un tercero. El caso IFX mostró que la supervisión no se queda en el papel: el gobierno colombiano inició acciones contra el proveedor por incumplir sus ‘contratos de seguridad’, y la SFC ahora evalúa nuevas guías para empoderar a las entidades a exigir estándares más altos a sus proveedores tecnológicos.
Chile, por su parte, ha avanzado en normativa pionera sobre proveedores en el sector financiero. La ex-Superintendencia de Bancos (SBIF, hoy parte de la CMF) emitió normas sobre externalización de servicios en la nube en 2018, que contienen disposiciones específicas sobre seguridad. Entre ellas se destaca que las entidades financieras deben definir responsabilidades y obligaciones de las empresas subcontratadas por sus proveedores, y verificar la continuidad del negocio no solo de los proveedores críticos, sino también de los proveedores que estos subcontraten.
En otras palabras, la regulación chilena explicitó la gestión de las ‘cuartas partes’ hace varios años. Esta norma obliga, por ejemplo, a que un banco chileno se asegure de que si contrata un servicio en la nube, dicho proveedor tenga planes de contingencia también para cualquier servicio que tercerice dentro de su oferta. Asimismo, la CMF chilena ha propuesto que las instituciones informen su exposición a terceros en sus matrices de riesgo. Chile también está discutiendo una nueva Ley de Protección de Datos que alinearía responsabilidades con estándares internacionales, previsiblemente aumentando la presión sobre el control de datos en poder de proveedores.
Otros países latinoamericanos siguen camino similar. Argentina cuenta desde 2000 con una Ley de Datos Personales que, si bien antigua, establece la responsabilidad del dueño de los datos por lo que hagan sus encargados; se espera una modernización legal pronto que refuerce obligaciones de seguridad. Perú y Uruguay también tienen leyes de protección de datos que exigen acuerdos con terceros sobre medidas de seguridad. En el terreno financiero, reguladores como el Banco Central de Brasil, la Superintendencia de Bancos de Panamá, y la Superintendencia de Bancos de Guatemala, entre otros, han emitido circulares sobre tercerización tecnológica donde condicionan ciertas operaciones (por ejemplo, uso de cloud o procesadores de pago externos) al cumplimiento de requisitos mínimos de seguridad, auditorías y notificaciones de incidentes.
Estas regulaciones tienen un doble efecto: por un lado obligan a las empresas a tomarse en serio el riesgo de terceros, ya que el costo de no hacerlo queda claro en sanciones potenciales. Y por otro lado, incentivan una estandarización de buenas prácticas. Cuando la ley exige algo explícito – por ejemplo, ‘evaluar la seguridad del subcontratista de tu proveedor’ – las empresas lo incorporan en sus procesos formales, no queda a discreción. En países con regulación más madura, ya se ven áreas dedicadas a Third Party Risk Management dentro de las organizaciones, trabajando mano a mano con las oficinas de compras y con jurídico para dar cumplimiento normativo además de proteger la empresa.
Mirando hacia adelante: seguridad compartida y transparencia
El panorama actual empuja a un cambio cultural: la seguridad es un deporte de equipo. Así como las empresas han aprendido a compartir información sobre amenazas entre sí (a través de organizaciones sectoriales, grupos de respuesta, etc.), el siguiente paso es compartir información de riesgos a lo largo de la cadena productiva. Se anticipa que más compañías en Latinoamérica comenzarán a exigir evidencia continua de la postura de seguridad de sus proveedores: reportes de terceros independientes, resultados de scans de vulnerabilidades, e incluso accesos monitorizados a los sistemas de los proveedores críticos para detectar anomalías en tiempo real. Ya existen startups y servicios en la región ofreciendo ‘calificaciones de ciber-riesgo’ de empresas, lo que facilita a un CISO vigilar de forma no intrusiva si un proveedor muestra signos de debilidad (por ejemplo, si aparece información de credenciales expuestas de ese proveedor en foros de la darknet). Esta tendencia podría volverse la norma en pocos años.
Al mismo tiempo, los proveedores están comenzando a ver la seguridad como un diferenciador competitivo. Empresas terceras que invierten en certificar su seguridad (ISO, SOC 2, PCI, etc.) o que se someten a evaluaciones rigurosas, lo utilizan como argumento de venta: garantizan confiabilidad. En sectores como BPO (Business Process Outsourcing) o servicios en la nube, ya se observa que para ganar contratos regionales los proveedores muestran proactivamente sus controles de ciberseguridad y algunos incluso ofrecen cláusulas de responsabilidad más claras en caso de brechas, algo impensado años atrás. La transparencia será clave: así como hoy es común divulgar el nivel de servicio (SLA), pronto podría ser común divulgar el nivel de seguridad (‘SLA de seguridad’) a cumplir por el proveedor y sus subs.
La colaboración público-privada también jugará su parte. Organismos internacionales como el Banco Interamericano de Desarrollo (BID) han lanzado iniciativas para fortalecer la ciberseguridad en cadenas de suministro en Latinoamérica. Por ejemplo, el BID adaptó guías de la Dirección de Ciberseguridad de Israel.
para la región, promoviendo metodologías de mapeo de riesgos de proveedores y la inclusión de cláusulas de seguridad de datos en todos los contratos. Estas buenas prácticas están disponibles para todo tipo de organizaciones, buscando elevar el nivel general. Asimismo, se espera que los gobiernos latinoamericanos continúen actualizando marcos normativos para cubrir vacíos – como los servicios tercerizados transfronterizos, que desafían la jurisdicción local, o las cuentas en la nube gubernamentales, que muchas veces dependen de proveedores globales cuya falla impacta servicios públicos (como se vio en el caso de Colombia y Chile con IFX).
En perspectiva, el riesgo de terceras (y cuartas) partes llegó para quedarse en la agenda prioritaria de los CISOs. La superficie de ataque de una organización moderna se extiende a cualquier socio conectado o con privilegios en sus sistemas. No sirve ignorarlo ni confiar ciegamente: cada empresa debe integrar a sus proveedores en su estrategia de seguridad, con controles, monitoreo y cultura compartida. Los cibercriminales ya entendieron que el camino indirecto muchas veces es el más fácil; les hemos visto sacar provecho de pequeñas puertas traseras para generar desastres mayores. Ante esto, la respuesta debe ser un frente unido.
Al final del día, la tarea de un CISO en Latinoamérica – y en cualquier lugar – se puede resumir en gestionar la incertidumbre. Y hoy esa incertidumbre incluye si alguien más, quizá a kilómetros de distancia y fuera del organigrama, está protegiendo con el mismo celo una parte de nuestro negocio. La única respuesta posible es la que indicaba el CISO citado al inicio: ser estrictos y concientizar. Estrictos en exigir seguridad a todo aliado, y concientizar a todos los niveles de la organización (interna y extendida) sobre los riesgos. La cadena digital que une a empresas y proveedores debe fortalecerse eslabón por eslabón. Solo así América Latina podrá aprovechar las ventajas de la colaboración tecnológica sin caer víctima de sus peligros.
Según un informe de la consultora KPMG, ‘hoy más que nunca las organizaciones y sus CISOs deben ver la seguridad a través de una lente amplia y pragmática, abarcando a sus terceros’ – un llamado a la acción que los líderes regionales están atendiendo con seriedad. El camino por recorrer aún es largo, pero los pasos ya están en marcha: visibilidad, vigilancia y verdadera gestión integral del riesgo de terceros serán los pilares que sostengan la confianza digital en la región durante los próximos años.