Gestión de proveedores y terceros: el riesgo que viene de fuera de tu empresa

El 60% de las brechas de datos en 2024 tuvieron como origen un tercero: un proveedor, un contratista o un socio de negocio con acceso a tus sistemas. Tu seguridad es tan fuerte como el eslabón más débil de tu cadena.

¿Por qué los terceros son un riesgo?

• Tienen acceso a tus sistemas pero tú no controlas su seguridad.
• Manejan tus datos pero sus medidas de protección pueden ser inadecuadas.
• Un compromiso en su infraestructura puede ser la puerta de entrada a la tuya.

¿Qué debes hacer?

1. Inventaria todos los proveedores con acceso a tus datos o sistemas.
2. Clasifícalos por riesgo: no todos son iguales. Un proveedor de limpieza es diferente a uno que tiene acceso a tu base de datos de clientes.
3. Firma contratos de encargado de tratamiento (DPA) con todos los que manejan datos personales. Es obligatorio por el RGPD.
4. Evalúa su postura de seguridad: cuestionarios, certificaciones (ISO 27001, SOC 2), cláusulas contractuales.
5. Limita el acceso: principio de mínimo privilegio también para proveedores. Solo acceso a lo que necesitan.
6. Revoca accesos inmediatamente cuando termine la relación.

Preguntas clave para evaluar un proveedor

• ¿Tienen certificación ISO 27001 o SOC 2?
• ¿Cómo gestionan los incidentes de seguridad y en qué plazo nos notifican?
• ¿Dónde almacenan nuestros datos (UE o fuera)?
• ¿Permiten auditorías?