Evaluación de riesgos de terceros y proveedores
Sus proveedores custodian sus datos, ejecutan sus procesos y sostienen su disponibilidad. Un cuestionario devuelto le dice lo que están dispuestos a afirmar. Nosotros le decimos lo que pueden evidenciar.
Descripción del servicio
La evaluación de terceros es el punto donde la mayoría de los entornos de control fallan en silencio. La organización está certificada, las políticas están al día, la auditoría interna sale limpia, y entonces un proveedor de nóminas con un servidor de transferencia de archivos sin parchear lo pierde todo.
ZULTIV evalúa a sus proveedores como un auditor le evaluaría a usted: frente a un criterio definido, sobre evidencia, con un hallazgo graduado por cada brecha. Acaba sabiendo qué proveedores sostienen realmente los controles que su contrato promete, cuáles necesitan cláusulas de subsanación en la próxima renovación y cuáles representan un riesgo que debería escalar ahora.
Qué se evalúa
- Gobernanza y responsabilidad: quién responde de la seguridad en el proveedor y si esa persona tiene autoridad real
- Certificaciones y atestaciones: declaraciones de alcance leídas como es debido, no logotipos de certificados coleccionados
- Tratamiento de datos: qué custodian, dónde residen, quién puede acceder y cuánto tiempo sobreviven
- Control de acceso: altas, cambios y bajas, accesos privilegiados y su propio personal en remoto
- Controles técnicos: cadencia de parcheo, cifrado en tránsito y en reposo, registro y monitorización
- Respuesta ante incidentes, los plazos de notificación del contrato frente a los de su propio manual
- Continuidad del negocio, sus objetivos de recuperación frente a su tolerancia a que ellos caigan
- Cuartas partes: de quién depende su proveedor, porque su riesgo de concentración pasa a ser el suyo
- Posición contractual: derechos de auditoría, anexos de seguridad, condiciones de tratamiento de datos y previsiones de salida
Alcance
El alcance se acuerda por escrito antes de empezar nada, porque «evalúen a nuestros proveedores» supone cantidades de trabajo muy distintas según la respuesta a tres preguntas: cuántos, con qué profundidad y qué evidencia tiene usted derecho a exigir.
Revisión por niveles
Toda la población de proveedores clasificada por criticidad y exposición de datos, para que el esfuerzo caiga donde está el riesgo. Suele ser el primer encargo adecuado.
Evaluación estándar
Revisión basada en evidencia de un proveedor definido frente a un criterio acordado, con registro de hallazgos graduados y una posición de subsanación.
Evaluación en profundidad
Para proveedores críticos: entrevistas, recorridos de control, muestreo y, cuando su contrato lo permita, una revisión presencial o sobre los sistemas en producción.
Enfoque
01: Clasificar
Inventariamos los proveedores dentro del alcance y los ordenamos por niveles según la sensibilidad de los datos, la criticidad para el negocio y la facilidad de sustitución. No todos los proveedores merecen el mismo escrutinio.
02: Fijar el criterio
Acordamos frente a qué se evalúa cada nivel: su propio conjunto de controles, el Anexo A de ISO/IEC 27001, NIST CSF o las expectativas de un regulador. El listón se pone por escrito primero.
03: Recoger evidencia
Cuestionario y después verificación: certificados y sus declaraciones de alcance, informes SOC 2 y sus excepciones, políticas, tickets, extractos de configuración, entrevistas.
04: Poner a prueba lo afirmado
Cuando se afirma un control, lo muestreamos. Un ANS de parcheo declarado en 30 días se comprueba contra los registros reales de parches, no se acepta porque se haya marcado una casilla.
05: Graduar e informar
Cada brecha se redacta separando el requisito, la evidencia y la carencia, y después se gradúa por el riesgo residual para usted, no por lo incómodo que resulte plantearla.
06: Subsanar y volver a comprobar
Recibe una posición de subsanación por proveedor: aceptar, subsanar para una fecha, añadir una cláusula contractual en la renovación o sustituir. Volvemos a verificar cuando usted esté listo.
Entregables clave
Registro de riesgos de proveedores
Cada proveedor evaluado con su nivel, criterio, calificación de riesgo residual y responsable: un documento vivo, no un PDF puntual.
Informe de evaluación por proveedor
Alcance, método, evidencia examinada y cada hallazgo graduado, en un formato que puede enviar al proveedor sin reescribirlo.
Acciones de subsanación y de contrato
Qué debe corregir cada proveedor y para cuándo, y qué brechas se cierran mejor a través del contrato en la próxima renovación.
Resumen para la dirección
Dos páginas para su consejo o su comité de riesgos: riesgo de concentración, los proveedores que exigen una decisión y qué ha cambiado desde la última vez.
Quién lo necesita
- Organizaciones certificadas en ISO/IEC 27001 que deben evidenciar los controles de sus proveedores conforme al Anexo A 5.19 a 5.22
- Empresas a las que sus propios clientes ya envían un cuestionario de seguridad de proveedores cada trimestre
- Sectores regulados: banca, seguros y servicios financieros, sanidad y quienes tratan datos personales bajo la DPDP Act como responsables del tratamiento
- Equipos que externalizan desarrollo, soporte o infraestructura y nunca han verificado qué hacen realmente esos socios
- Quien acaba de pasar por un incidente con un proveedor y no quiere un segundo
Normas y marcos frente a los que evaluamos
El criterio se elige según sus obligaciones, no según nuestra comodidad. Lo habitual:
- ISO/IEC 27001:2022Anexo A 5.19 a 5.23, controles de proveedores
- ISO/IEC 27036Seguridad en las relaciones con proveedores
- SOC 2Trust Services Criteria & excepciones del informe
- NIST CSF 2.0Govern & gestión del riesgo de la cadena de suministro
- HIPAAObligaciones de los business associates
- DPDP Act, 2023Deberes al contratar encargados del tratamiento
- RGPDRequisitos del artículo 28 para el encargado
Preguntas frecuentes
Es una buena señal, pero no es una respuesta. La cuestión es qué cubre la declaración de alcance del certificado: es perfectamente posible que un proveedor esté certificado para una unidad de negocio, una sede o una línea de producto que nada tiene que ver con el servicio que usted compra. Leer bien esa declaración es de lo primero que hacemos.
Eso ya es en sí un hallazgo, y lo reportamos como tal. En la práctica, la palanca es contractual: los derechos de auditoría y los anexos de seguridad acordados en la firma valen mucho más que las peticiones hechas después. Cuando esos derechos faltan, le decimos qué añadir en la renovación.
A todos no. Ordene primero la población por niveles, evalúe después el nivel crítico como es debido y atienda el resto con un cuestionario más ligero cuyas respuestas se verifiquen. Repartir el mismo esfuerzo entre doscientos proveedores no evalúa bien a ninguno.
Solo si usted lo desea, y siempre con su presentación previa. Algunos clientes prefieren que trabajemos íntegramente a través de su equipo de gestión de proveedores; otros comprueban que un evaluador independiente hace preguntas más duras y obtiene respuestas más rectas. Ambas fórmulas funcionan.
Los proveedores críticos, cada año, e inmediatamente ante un cambio relevante: una adquisición, una brecha, el paso a un nuevo subencargado o un cambio en los datos que custodian. Los niveles inferiores pueden seguir un ciclo más largo.
Solicitar una evaluación
Hablemos de su necesidad
Cuéntenos aproximadamente cuántos proveedores están en juego y qué tocan. Le responderemos con un alcance, un método y una cifra, no con un folleto.