Cómo se evalúa el riesgo de un proveedor de TI

La ISO 27001 dedica un bloque de controles a la seguridad en las relaciones con proveedores, y es de los que más peso han ganado. La razón es simple: buena parte de la información de una organización ya no vive dentro de ella. Está en el proveedor que hospeda los servidores, en el que administra la red, en el despacho contable que procesa la nómina y en el que entra por acceso remoto a dar soporte. Cada uno de ellos amplía la superficie de riesgo, y la norma exige gestionarla.

Pedir el certificado no es evaluar

La práctica más común es solicitar el certificado ISO 27001 del proveedor y archivarlo. Es información útil, pero insuficiente por dos motivos. Primero, el certificado tiene un alcance declarado: puede cubrir un centro de datos y no el servicio que te presta. Segundo, no dice nada sobre cómo se maneja tu información en concreto. Evaluar es determinar qué información toca ese proveedor, qué pasaría si la pierde o la expone, y qué controles tiene sobre esa información específica.

Qué determina que un proveedor sea crítico

• —La clasificación de la información a la que accede: datos personales, información financiera, propiedad intelectual o secretos comerciales elevan el nivel de inmediato.
• —El tipo de acceso: hospedar o procesar información es más crítico que recibir un archivo puntual; el acceso remoto administrativo a sistemas es el escalón más alto.
• —La dependencia operativa: cuánto tiempo puede operar la organización sin ese servicio antes de detenerse.
• —La concentración: si un mismo proveedor sostiene varios servicios, su falla deja de ser un incidente aislado.
• —La cadena detrás: si subcontrata parte del servicio, el riesgo se hereda hacia proveedores que nunca fueron evaluados.
• —El marco regulatorio: dónde se almacenan los datos y qué obligaciones legales arrastra esa ubicación.

Qué debe quedar por escrito en el acuerdo

Los controles de seguridad tienen que estar en el contrato o en un anexo, no en una conversación. Lo mínimo: confidencialidad, propiedad de la información y qué pasa con ella al terminar la relación, obligación de notificar incidentes en un plazo definido, requisitos de control de acceso para el personal del proveedor, condiciones para subcontratar y derecho de auditoría o de recibir evidencia periódica. La notificación de incidentes es la cláusula que más se olvida y la que más duele: sin un plazo pactado, la organización se entera del incidente de su proveedor cuando ya no puede reaccionar.

La evaluación no termina al firmar

Los controles hay que revisarlos con la periodicidad que corresponda a la criticidad del proveedor, y volver a evaluar cuando algo cambia: un servicio nuevo, un cambio de alcance, un incidente reportado o una subcontratación. Los proveedores críticos suelen requerir revisión anual con evidencia concreta; los de bajo riesgo, una verificación más ligera. Lo que no funciona es evaluar al alta y no volver a mirar, porque el riesgo del proveedor cambia sin que la relación comercial cambie en nada.

Un expediente por proveedor, con fechas que avisan

Todo esto —clasificación por criticidad, acuerdos firmados, evidencia de controles, reevaluaciones e incidentes reportados— es un expediente vivo por proveedor, no un archivo muerto. Con un Software de gestión y evaluación de proveedores cada proveedor queda con su criticidad, sus documentos y sus fechas de reevaluación, con aviso antes del vencimiento y el histórico de cómo se ha comportado. Cuando el auditor pregunta cómo se controla al proveedor que hospeda los sistemas, la respuesta es un expediente completo y no una búsqueda en el correo.