Riesgos de proveedores de TI: cómo verificar en quién confía sus datos

Los riesgos de proveedores se han convertido en un tema central porque los proveedores externos suelen tener derechos más amplios que los propios empleados. La directiva NIS2 aborda esto explícitamente, y las auditorías verifican cada vez más esta área específica.

TL;DR — Puntos clave

• Registre todos los proveedores con acceso a sistemas o datos.
• Clasifíquelos por criticidad y adapte los requisitos en consecuencia.
• Los accesos deben ser temporales, nominativos y con MFA.
• El contrato debe incluir la obligación de notificar incidentes.

Qué significa la gestión de riesgos de proveedores

Se trata de una revisión sistemática de qué socios externos pueden acceder a sus datos o sistemas, qué sucedería en caso de una interrupción o intrusión y cómo limitar ese riesgo. El resultado es un registro de proveedores con una evaluación y las medidas requeridas.

Para proveedores críticos (soporte de TI, proveedores de ERP, hosting), tienen sentido requisitos adicionales: prueba de prácticas de seguridad, plan de continuidad del negocio, punto de contacto para incidentes y revisión periódica de accesos.

Por qué es cada vez más importante

Los atacantes entran cada vez más a través de un socio, no directamente.

• Un solo proveedor comprometido permite el acceso a decenas de sus clientes simultáneamente.
• Los accesos de proveedores externos a menudo permanecen activos después de finalizar el proyecto.
• NIS2 exige la gestión de la seguridad en la cadena de suministro.
• En caso de un incidente en el proveedor, la responsabilidad ante sus clientes sigue siendo suya.

Cómo empezar — procedimiento recomendado

1. Elabore un registro de proveedores con una descripción del acceso y los datos procesados.
2. Asigne a cada uno un nivel de criticidad y las medidas requeridas.
3. Implemente accesos nominativos con MFA y límite de tiempo en lugar de cuentas compartidas.
4. Incluya cláusulas de seguridad y plazos de notificación de incidentes en los contratos.
5. Revise los accesos activos una vez al año y elimine los innecesarios.
6. Defina una solución alternativa en caso de interrupción para los proveedores críticos.

Requisitos según la criticidad del proveedor

Errores más comunes

El error más común son las cuentas compartidas permanentes para proveedores externos. En caso de incidente, es imposible determinar quién accedió, y el acceso a menudo permanece abierto durante años.

El segundo error es confiar en un cuestionario sin verificación. Al menos con los proveedores críticos, exija pruebas, no solo declaraciones.

Cómo ayudamos en VitalIT

En VitalIT ayudamos a establecer el registro de proveedores, organizar los accesos y preparar las cláusulas contractuales. Consulte IT svetovanje y kibernetsko varnost.

Relacionado: NIS2 direktiva y Cómo elegir un socio de TI.

Preguntas frecuentes (FAQ)

¿Con qué frecuencia se deben revisar los accesos?

Para proveedores críticos trimestralmente, de lo contrario, una vez al año.

¿Necesitamos un contrato de procesamiento con todos?

Con todos aquellos que procesen datos personales en nuestro nombre, incluso si el acceso es solo técnico.

¿Qué pasa si un proveedor rechaza los requisitos de seguridad?

Eso es en sí mismo una información de riesgo; en servicios críticos, es motivo para buscar una alternativa.

¿Cómo verificar a un proveedor pequeño?

Con un breve cuestionario sobre copias de seguridad, MFA, accesos y procedimiento ante incidentes, además de referencias.

¿Es suficiente el certificado ISO 27001 del proveedor?

Es una buena señal, pero verifique el alcance del certificado; a menudo solo cubre una parte de la organización.