Supongamos que tu empresa ya hizo la tarea: contraseñas robustas, verificación en dos pasos, respaldos probados y un equipo capacitado. Ahora piensa en quién más tiene acceso a tu información. El despacho contable que entra a tu banca en línea. El proveedor de TI que se conecta de forma remota a tus equipos. La plataforma donde guardas los datos de tus clientes. La agencia que administra tus redes sociales.
Cada uno de ellos es una llave más de tu empresa. Y si su seguridad es débil, la tuya también lo es, aunque hayas hecho todo bien.
Por qué los proveedores son un blanco atractivo
Para un atacante, comprometer a un proveedor es eficiente: con una sola entrada puede llegar a varios de sus clientes. Uno de los casos más citados en ciberseguridad es el de una gran cadena comercial de Estados Unidos que, en 2013, sufrió el robo de datos de millones de tarjetas después de que los atacantes entraran con credenciales de su proveedor de climatización.
En el día a día de una MiPyME, el riesgo suele verse más cotidiano. En OCD Tech México lo encontramos así:
- El soporte técnico externo con un acceso remoto permanente y la misma contraseña para todos sus clientes.
- Un correo comprometido de un proveedor real que se usa para pedir un “cambio de cuenta bancaria”.
- Una plataforma en la nube que guarda datos personales de tus clientes sin que nadie haya revisado cómo los protege.
- Un exproveedor que conserva usuarios activos meses después de terminar el contrato.
Cómo evaluar el riesgo de tus proveedores en 6 pasos
1. Haz un inventario
Lista a todos los proveedores que tocan tu información o tus sistemas. Para cada uno anota tres cosas: qué servicio presta, qué datos o sistemas maneja y qué tipo de acceso tiene. Muchas empresas se sorprenden al ver la lista completa por primera vez.
2. Clasifícalos por nivel de riesgo
- Riesgo alto: tienen acceso a sistemas críticos, a datos personales de clientes o colaboradores, o a tu dinero.
- Riesgo medio: manejan información interna, pero no crítica, o tienen accesos limitados.
- Riesgo bajo: no tienen acceso a tu información ni a tus sistemas.
No tienes que revisar a todos con la misma profundidad. Empieza por los de riesgo alto.
3. Haz las preguntas correctas
Un cuestionario corto dice mucho. Para proveedores de riesgo alto, pregunta al menos:
- ¿Usan verificación en dos pasos y cuentas individuales para acceder a nuestros sistemas?
- ¿Dónde guardan nuestra información y quién en su equipo puede verla?
- ¿Subcontratan parte del servicio? ¿A quién?
- ¿En cuánto tiempo nos avisarían si sufren un incidente que nos afecte?
- ¿Cuentan con un reporte SOC 2, certificación ISO 27001 o alguna evaluación independiente?
- ¿Qué pasa con nuestros datos cuando termina el contrato?
Una respuesta vaga o un “confía en nosotros” también es información.
4. Llévalo al contrato
Lo que no está por escrito, difícilmente se puede exigir. En los contratos con proveedores de riesgo alto conviene incluir cláusulas de confidencialidad, la obligación de avisar de incidentes en un plazo definido, el derecho a solicitar evidencia de sus controles y la devolución o eliminación de tu información al terminar.
Si el proveedor trata datos personales por cuenta tuya, la LFPDPPP lo considera un encargado, y tú sigues siendo responsable frente a tus clientes. Revisa con tu asesor legal que el contrato refleje esa relación.
5. Controla su acceso
- Una cuenta por persona, nunca usuarios compartidos.
- Solo los permisos que necesitan para su trabajo.
- Accesos remotos que se activan cuando se necesitan y se cierran al terminar.
- Baja inmediata de todos los accesos cuando termina la relación.
6. Revisa periódicamente
La evaluación no es de una sola vez. Revisa a tus proveedores de riesgo alto al menos una vez al año y cada vez que cambie algo importante: un nuevo servicio, más acceso a datos o un incidente del lado del proveedor.
Señales de alerta en un proveedor
- Te pide credenciales de administrador “para no estarte molestando”.
- Usa la misma contraseña para todos sus clientes o te la manda por WhatsApp.
- No sabe decirte dónde está tu información.
- Se resiste a firmar cláusulas de confidencialidad o de aviso de incidentes.
- No tiene un contacto claro para reportar problemas de seguridad.
Si tu proveedor sufre un incidente
Tarde o temprano, alguno de tus proveedores va a tener un problema de seguridad. Lo que marca la diferencia es qué tan rápido te enteras y qué tan preparado estás para reaccionar:
- Pide detalles concretos: qué información tuya pudo verse afectada, desde cuándo y qué están haciendo para contenerlo.
- Cambia de inmediato las contraseñas y accesos que compartes con ese proveedor y revisa los movimientos recientes.
- Alerta a tu equipo de pagos: en estos casos suelen llegar correos falsos usando el nombre del proveedor afectado.
- Evalúa si hay datos personales de tus clientes involucrados, porque eso puede generar obligaciones para tu empresa.
- Documenta todo y, al cerrar el caso, decide si la relación necesita condiciones nuevas.
Por dónde empezar esta misma semana
Si todo esto te parece mucho, empieza con un ejercicio de una hora con tu equipo de administración y de TI. Abran una hoja de cálculo y respondan tres preguntas por cada proveedor: qué hace, a qué tiene acceso y cuándo fue la última vez que revisaron ese acceso. Al terminar, marquen a los tres proveedores que más les preocupan. Ese es tu punto de partida.
Lo que ganas al hacerlo
Gestionar el riesgo de terceros no es desconfiar de tus proveedores. Es construir relaciones más sanas, donde ambos saben qué esperar. Además, cada vez más clientes corporativos y marcos como ISO 27001, SOC 2 y PCI DSS preguntan cómo controlas a tus proveedores. Tener la respuesta lista te ahorra tiempo en cada cuestionario y te da una ventaja frente a la competencia.
Tu seguridad llega hasta donde llega la de tus proveedores
Puedes tener la mejor protección en casa, pero si le diste una copia de la llave a alguien que la deja en cualquier lado, el riesgo sigue ahí. La buena noticia es que ordenar a tus proveedores no requiere grandes inversiones, sino método y constancia.
En OCD Tech México ayudamos a las empresas a evaluar y gestionar el riesgo de sus proveedores como parte de nuestros servicios de vCISO e ISO 27001: inventario, clasificación, cuestionarios, cláusulas contractuales y seguimiento.
Leave a Reply
Your email is safe with us.