Gestión de riesgos de terceros: evaluación de la postura de seguridad del proveedor

Su seguridad es tan sólida como la de su proveedor más débil. La violación de MOVEit de 2024 afectó a más de 2500 organizaciones, no porque su seguridad fuera inadecuada, sino porque el software de transferencia de archivos de un único proveedor tenía una vulnerabilidad crítica. El incidente de Snowflake expuso datos de 165 organizaciones a través de la debilidad de autenticación de un proveedor de nube. En ambos casos, las organizaciones victimizadas habían invertido mucho en su propia seguridad sólo para verse comprometidas a través de un tercero de confianza.

Las empresas modernas dependen de decenas a cientos de proveedores externos: aplicaciones SaaS, infraestructura en la nube, procesadores de pagos, plataformas de marketing, herramientas de desarrollo y proveedores de servicios gestionados. Cada proveedor con acceso a sus datos o sistemas representa un vector de ataque potencial que evita sus defensas cuidadosamente construidas.

Conclusiones clave

• El 62 % de las filtraciones de datos se originan a través de proveedores externos, lo que hace que el riesgo de los proveedores sea la superficie de ataque menos abordada para la mayoría de las organizaciones.
• Las certificaciones SOC 2 Tipo II e ISO 27001 son necesarias pero no suficientes: validan que los controles existieron durante el período de auditoría, no que existan hoy.
• El monitoreo continuo a través de plataformas de calificación de seguridad detecta la degradación de la seguridad del proveedor en tiempo real en lugar de anualmente.
• Las cláusulas de seguridad en los contratos de proveedores brindan influencia legal, pero solo si incluyen derecho a auditar, SLA de notificación de incumplimiento y términos de responsabilidad.

---

Por qué es importante el riesgo de terceros

Según un estudio de 2025 Prevalent, la empresa promedio comparte datos confidenciales con 583 terceros. Para las organizaciones que ejecutan plataformas comerciales como Odoo ERP y Shopify eCommerce, el ecosistema de proveedores incluye:

• Proveedores de infraestructura (AWS, Azure, GCP, Cloudflare)
• Aplicaciones SaaS (proveedores de identidad, correo electrónico, colaboración, CRM)
• Procesadores de pagos (Stripe, PayPal, Adyen)
• Conectores de Marketplace (integraciones de Amazon, eBay, Shopify, WooCommerce)
• Herramientas de desarrollo (GitHub, CI/CD, monitoreo, seguimiento de errores)
• Proveedores de servicios administrados (hosting, seguridad, respaldo, soporte de TI)
• Servicios profesionales (consultores, contratistas, desarrollo subcontratado)

Cada relación con el proveedor crea una o más de estas categorías de riesgo:

---

Marco de evaluación de proveedores

Un marco estructurado de evaluación de proveedores garantiza una evaluación coherente y proporcional al riesgo de todos los terceros. La profundidad de la evaluación debe escalar con el riesgo que representa el proveedor.

Nivelación de proveedores

No todos los proveedores corren el mismo riesgo. Clasifique a sus proveedores según el acceso a los datos y la criticidad operativa:

Criterios de evaluación de riesgos del proveedor

Para los proveedores de nivel 1 y 2, evalúe en estos dominios:

---

Requisitos de certificación y cumplimiento

SOC 2 Tipo II

SOC 2 Tipo II es el estándar de oro para la evaluación de la seguridad de los proveedores de SaaS. Evalúa los controles de un proveedor según cinco criterios de servicio de confianza durante un período de 6 a 12 meses:

• Seguridad --- Protección contra acceso no autorizado (obligatorio)
• Disponibilidad --- Compromisos de recuperación y tiempo de actividad del sistema
• Integridad del procesamiento --- Procesamiento de datos preciso y completo
• Confidencialidad --- Protección de información confidencial
• Privacidad --- Manejo de información personal según principios de privacidad

Lo que le dice SOC 2: Los controles se diseñaron de manera adecuada y se operaron de manera efectiva durante el período de auditoría. El auditor verificó la evidencia, probó los controles y documentó las excepciones.

Lo que SOC 2 no le dice: Los controles siguen siendo efectivos hoy (el informe tiene entre 6 y 12 meses). La auditoría cubrió todos los sistemas que tocan sus datos (el alcance puede ser limitado). No hay nuevas vulnerabilidades desde la auditoría.

ISO 27001

ISO 27001 certifica que una organización ha implementado un Sistema de Gestión de Seguridad de la Información (SGSI) conforme a la norma. Tiene reconocimiento internacional y cubre un alcance más amplio que SOC 2.

Diferencias clave con respecto a SOC 2:

• ISO 27001 es una certificación (aprobado/reprobado), no un informe con resultados detallados.
• La certificación tiene una validez de 3 años con auditorías de seguimiento anuales.
• Cubre el sistema de gestión, no controles técnicos específicos.
• El reconocimiento internacional lo hace valioso para las relaciones con proveedores globales.

PCI DSS

Para los proveedores que procesan, almacenan o transmiten datos de tarjetas de pago, el cumplimiento de PCI DSS es obligatorio. Solicite la Declaración de cumplimiento (AoC) del proveedor y aclare su nivel de SAQ. Asegúrese de que el alcance de PCI del proveedor cubra los servicios específicos que le brindan.

Comparación de certificaciones

---

Monitoreo continuo

Las evaluaciones anuales proporcionan instantáneas de un momento dado, pero el riesgo de los proveedores es continuo. Las plataformas de calificación de seguridad y el monitoreo continuo cierran la brecha entre las evaluaciones.

Plataformas de calificación de seguridad

Las plataformas de clasificación de seguridad escanean continuamente la infraestructura externa del proveedor y proporcionan una puntuación de seguridad cuantificada:

• BitSight --- Líder del mercado, más de 2100 puntos de datos, integración de seguros
• SecurityScorecard --- Alternativa competitiva, visualización sólida
• UpGuard --- Riesgo de proveedores más detección de fugas de datos
• RiskRecon (Mastercard) --- Profundo enfoque en servicios financieros
• Panorays --- Cuestionario + calificaciones automatizado y apto para PYMES

Estas plataformas evalúan:

• Seguridad de red --- Puertos abiertos, configuraciones erróneas, servicios obsoletos
• Seguridad de la aplicación --- Vulnerabilidades de la aplicación web, configuración SSL/TLS
• Estado del DNS --- Configuración DNSSEC, SPF, DKIM, DMARC
• Cadencia de parches --- Qué tan rápido el proveedor aplica las actualizaciones de seguridad
• Reputación de IP --- Asociación con actividad maliciosa, participación en botnets
• Detección de fugas de datos --- Credenciales, documentos o códigos expuestos en la web oscura o repositorios públicos
• Seguridad del correo electrónico --- Controles anti-spoofing, autenticación de correo electrónico

Programa de Monitoreo Continuo

Más allá de las calificaciones de seguridad, implemente estas actividades de monitoreo continuo:

1. Alertas de noticias de seguridad de proveedores --- Alertas de Google, canales RSS específicos de proveedores y agregación de noticias de seguridad para todos los proveedores de nivel 1.
2. Monitoreo de la web oscura --- Monitoreo de credenciales de proveedores, datos o referencias de infraestructura en foros clandestinos
3. Monitoreo de certificados --- Realice un seguimiento de la caducidad del certificado SSL/TLS del proveedor y de los cambios de configuración
4. Notificaciones de cambios de subprocesador --- Muchos proveedores de SaaS mantienen listas de subprocesadores con notificaciones de cambios (el GDPR lo requiere). Suscríbase a todas las notificaciones de proveedores de nivel 1
5. Monitoreo de acciones regulatorias --- Realice un seguimiento de las acciones de cumplimiento, demandas e investigaciones regulatorias que involucran a sus proveedores

---

Cláusulas de seguridad del contrato

Los contratos de proveedores son su mecanismo de cumplimiento legal de los requisitos de seguridad. Sin obligaciones contractuales, los proveedores no tienen obligación legal de mantener los estándares de seguridad una vez firmado el acuerdo.

Cláusulas contractuales esenciales

Derecho a auditar. El derecho a realizar evaluaciones de seguridad del proveedor, ya sea directamente o a través de un auditor externo, con un aviso razonable. Este es su mecanismo de aplicación para todo lo demás.

SLA de notificación de incumplimiento. Plazo específico para notificarle sobre un incidente de seguridad que afecte a sus datos. Mejores prácticas: 24 a 48 horas para la notificación inicial, con actualizaciones periódicas hasta la resolución. El RGPD requiere notificación dentro de las 72 horas.

Manejo y devolución de datos. Defina cómo el proveedor procesa, almacena y, en última instancia, devuelve o destruye sus datos al finalizar el contrato. Incluya el formato de los datos, los períodos de retención y las pruebas de destrucción certificadas.

Cumplimiento de estándares de seguridad. Requerir certificaciones específicas (SOC 2 Tipo II, ISO 27001) y definir las consecuencias de perder la certificación.

Controles del subprocesador. Requieren notificación y aprobación antes de que el proveedor contrate nuevos subprocesadores. Defina su derecho a oponerse a los subprocesadores que no cumplan con sus requisitos de seguridad.

Responsabilidad e indemnización. Definir responsabilidad financiera por incumplimientos causados ​​por negligencia del proveedor. Asegúrese de que se especifiquen los requisitos del seguro cibernético (montos mínimos de cobertura, usted como asegurado adicional).

SLA y disponibilidad. Defina compromisos de tiempo de actividad, RPO/RTO y sanciones financieras por incumplimientos de SLA.

Ejemplo de cláusula de notificación de incumplimiento

Una cláusula sólida de notificación de incumplimiento incluye:

• Notificación dentro de las 24 horas posteriores al descubrimiento de cualquier violación confirmada o sospechada que afecte sus datos
• Aviso por escrito a un contacto de seguridad específico (no un correo electrónico genérico)
• La notificación inicial debe incluir: naturaleza del incidente, categorías de datos afectados, número estimado de registros, acciones correctivas tomadas.
• Actualizaciones periódicas (al menos cada 24 horas) hasta que se resuelva la incidencia.
• Informe completo de análisis de causa raíz dentro de los 30 días posteriores a la resolución del incidente
• Cooperación con su proceso de respuesta a incidentes e investigación forense.

---

Puntuación de riesgo de SaaS

Para las organizaciones que administran docenas de proveedores de SaaS, un sistema de puntuación de riesgos cuantificado permite una priorización y asignación de recursos consistentes.

Marco de puntuación de riesgos

Califique a cada proveedor en una escala del 1 al 5 en estas dimensiones:

Puntuación de riesgo compuesta = promedio ponderado de todas las dimensiones (1,0 a 5,0)

---

Creación de un programa TPRM

Empezando desde cero

Para organizaciones sin un programa formal de gestión de riesgos de terceros (TPRM):

1. Haga un inventario de todos los proveedores que acceden a sus datos o se conectan a sus sistemas. La mayoría de las organizaciones subestiman significativamente sus relaciones con los proveedores.
2. Escale el inventario utilizando los criterios anteriores. Concéntrese primero en los niveles Crítico y Alto.
3. Evaluar proveedores de nivel 1 utilizando el marco de evaluación completo. Solicitar informes SOC 2, realizar evaluaciones mediante cuestionarios y establecer un seguimiento continuo.
4. Implementar estándares contractuales agregando cláusulas de seguridad a los nuevos contratos y modificando los contratos existentes en el momento de la renovación.
5. Establecer gobernanza con un comité de riesgos de proveedores que revise las evaluaciones, apruebe proveedores de alto riesgo y realice un seguimiento de las soluciones.

Escalar con automatización

A medida que crece su cartera de proveedores, las evaluaciones manuales se vuelven insostenibles. Automatizar usando:

• Plataformas de gestión de riesgos de proveedores (Prevalent, OneTrust, ProcessUnity) para gestión centralizada de cuestionarios, puntuación automatizada y flujo de trabajo
• Integración de calificaciones de seguridad para un monitoreo externo continuo sin esfuerzo manual
• Recopilación automatizada de evidencia obteniendo informes, certificados y documentación de cumplimiento de SOC 2 directamente desde los portales de proveedores
• Flujos de trabajo activados por riesgos que aumentan automáticamente cuando la calificación de seguridad de un proveedor cae o se informa una infracción

---

Preguntas frecuentes

¿Cómo evaluamos a los proveedores que se niegan a compartir informes SOC 2 o responder cuestionarios de seguridad?

Si un proveedor se niega a proporcionar pruebas de seguridad, considérelo una señal de alerta proporcional a su nivel de riesgo. Para los proveedores de Nivel 4 (de bajo riesgo), un rechazo puede ser aceptable si su calificación de seguridad es adecuada. Para los proveedores de Nivel 1-2, negarse a proporcionar pruebas de seguridad básicas es descalificante. Las alternativas incluyen solicitar informes SOC 3 (resúmenes públicos), verificar su página de seguridad publicada, usar plataformas de calificación de seguridad para una evaluación externa y realizar su propia evaluación de seguridad externa de sus sistemas públicos.

¿Con qué frecuencia debemos reevaluar a los proveedores?

Los proveedores críticos (Nivel 1) deben ser reevaluados anualmente con un monitoreo continuo de la calificación de seguridad entre evaluaciones. Proveedores altos (Nivel 2) anualmente sin monitoreo continuo. Proveedores medianos (Nivel 3) cada dos años. Proveedores de nivel bajo (Nivel 4) cada tres años. Además, reevalúe a cualquier proveedor inmediatamente después de una infracción reportada, un cambio significativo en la infraestructura, una adquisición o degradación de la calificación de seguridad.

¿Qué debemos hacer cuando un proveedor sufre un incumplimiento?

Ejecute su procedimiento de respuesta a incidentes con el proveedor: comuníquese con el equipo de seguridad del proveedor para obtener detalles, evalúe si sus datos se vieron afectados, active su propio plan de respuesta a incidentes si se confirma la exposición de los datos, notifique a las personas y a los reguladores afectados según sea necesario, documente todo para fines legales y de seguros, y realice una revisión posterior al incidente para determinar si la relación con el proveedor debe continuar.

¿Cómo gestionamos el riesgo de terceros (los proveedores de nuestros proveedores)?

Exigir a los proveedores de Nivel 1 que revelen sus subprocesadores críticos y describan su proceso de evaluación de subprocesadores. Incluir derechos de notificación y aprobación del subprocesador en los contratos. Monitorear las listas de subprocesadores para detectar cambios. Para las relaciones de mayor riesgo, realice evaluaciones independientes de los subprocesadores críticos. Esto es particularmente importante para la seguridad de la nube donde su proveedor puede estar ejecutando una infraestructura compartida.

---

¿Qué sigue?

La gestión de riesgos de terceros no es una casilla de verificación de cumplimiento: es una necesidad operativa en un ecosistema empresarial interconectado. Comience por hacer un inventario y clasificar a sus proveedores, evalúe a sus proveedores críticos frente a un marco estructurado, incorpore requisitos de seguridad en los contratos e implemente un monitoreo continuo. Cada paso reduce materialmente la probabilidad de que su próxima infracción se produzca a través de un tercero de confianza.

ECOSIRE aplica una rigurosa evaluación de seguridad de los proveedores en cada integración que implementamos. Nuestros conectores de mercado de Odoo ERP son examinados por seguridad antes de la implementación, nuestras integraciones de OpenClaw AI implementan la verificación de webhook firmado por HMAC y nuestras implementaciones de Shopify auditan el alcance de permisos de cada aplicación instalada. Comuníquese con nuestro equipo para crear un programa de gestión de riesgos de proveedores que proteja su negocio.

---

Publicado por ECOSIRE --- ayudando a las empresas a escalar con soluciones impulsadas por IA en Odoo ERP, Shopify eCommerce y OpenClaw AI.