La mayoría de las empresas no solo dependen de sistemas internos. Funcionan con plataformas en la nube, proveedores de nómina, herramientas de marketing, socios de TI y decenas de cuentas de SaaS que mantienen el trabajo diario en marcha. Cada proveedor resuelve un problema y cada uno también crea una nueva relación de confianza.
La gestión de riesgos de proveedores (VRM) es el proceso de evaluar, aprobar, monitorear y revisar los riesgos de seguridad que surgen al trabajar con terceros. Ayuda a las empresas a entender qué proveedores pueden acceder a sistemas o datos sensibles, qué controles tienen implementados esos proveedores, si sus prácticas de seguridad son lo suficientemente sólidas para justificar ese acceso y con qué rapidez se puede cambiar el acceso si finaliza un contrato o ocurre un incidente.
Explicaremos cómo abordar la gestión de riesgos de proveedores dentro de su propia empresa: cómo evaluar a los proveedores con los que ya trabaja, cómo clasificar el riesgo de proveedores terceros, qué incluir en una lista de verificación de seguridad de proveedores y cómo controlar las credenciales de los proveedores antes de que se conviertan en una exposición a largo plazo.
Qué cubre la gestión de riesgos de proveedores
Su guía para la gestión de riesgos de proveedores
Su lista de verificación de seguridad de proveedores
Cómo Proton Pass for Business admite el control de acceso de proveedores
Qué cubre la gestión de riesgos de proveedores
La gestión de riesgos de proveedores se basa en un principio simple: cada parte externa que toca sus datos, sistemas o procesos de negocio cambia su perfil de riesgo.
La mayor parte del riesgo de proveedores se crea en el trabajo diario. Por ejemplo, puede que se incorpore a una agencia de terceros a la red de la empresa porque un equipo necesita velocidad, experiencia o software que la empresa no tiene internamente. Se concede acceso, se comparten datos y la relación se establece como parte del trabajo diario.
El riesgo se crea cuando no está claro a qué puede acceder ese proveedor, qué controles se interponen entre ese acceso y una vulneración —autenticación de múltiples factores (MFA), cuentas nominativas, encriptación— o con qué rapidez se podría detectar y cortar ese acceso. Revocarlo suele ocurrir dentro del propio sistema o mediante el aprovisionamiento SCIM; la parte difícil para la mayoría de las empresas es saber dónde buscar realmente.
El proveedor puede ser un gran proveedor de nube, una plataforma SaaS de nicho, un desarrollador independiente o una firma de contabilidad. El tamaño y el sector del proveedor no son el problema principal. Su acceso sí lo es.
El riesgo de proveedores se manifiesta de varias maneras diferentes:
- Riesgo de datos: el proveedor puede ver, almacenar, procesar, transferir o eliminar datos empresariales o personales.
- Riesgo de acceso: el proveedor puede iniciar sesión en sistemas, gestionar ajustes, usar integraciones o llegar a paneles de administrador.
- Riesgo operativo: la empresa depende del proveedor para un flujo de trabajo, servicio o proceso crítico de cara al cliente.
- Riesgo de cumplimiento: el rol del proveedor afecta sus obligaciones según las leyes de protección de datos (como los requisitos de cumplimiento del GDPR), contractuales o específicos del sector.
- Riesgo de credenciales: el acceso del proveedor se comparte, se reutiliza, no está documentado o es difícil de revocar.
El riesgo de proveedores es difícil de detectar porque a menudo se acumula a través de pequeñas decisiones de acceso que tienen sentido en el momento: un miembro del equipo comparte un inicio de sesión que no debería, o una cuenta de proveedor conserva permisos por comodidad, o un permiso de contratista que nadie revisa después de que termina el proyecto. Con el tiempo, esas excepciones se vuelven parte del entorno empresarial, incluso cuando nadie las gestiona activamente.
Cómo crear un proceso de gestión de riesgos de proveedores (VRM)
Si se hace de manera efectiva, la gestión de riesgos de proveedores no hace que cada decisión sea más complicada. Crea un marco confiable sobre cómo su empresa otorga acceso con límites más claros. Exploraremos los pasos clave que su empresa puede seguir para evaluar su propio riesgo de proveedores y crear una estrategia de gestión de riesgos.
1. Cree un inventario de sus proveedores
En lugar de dejar que la gestión de riesgos de proveedores se convierta en una tarea reactiva cuando le piden evidencia de seguridad o renovar un contrato, conviértala en una tarea proactiva. Comience por entender a los proveedores que ya forman parte de sus operaciones.
Hacer un inventario de proveedores no tiene que ser complejo. Debe ser lo suficientemente claro para mostrar:
- quién es el responsable de la relación
- qué servicio proporciona el proveedor
- a qué sistemas o datos pueden acceder
- si hay datos personales involucrados
- si se utilizan subprocesadores
- cuándo vence el próximo contrato o revisión de seguridad
El acceso es un componente crucial que se debe registrar porque los proveedores tienen distintos privilegios y necesidades de acceso. Algunos proveedores usan cuentas nominativas. Otros dependen de credenciales compartidas, acceso de administrador, claves de API, bandejas de entrada compartidas o inicios de sesión temporales que permanecen activos mucho después de que la necesidad original haya pasado. Estas diferencias importan porque determinan con qué rapidez se puede cambiar el acceso durante la baja de un proveedor o un incidente.
El inventario también debe incluir proveedores más pequeños que pueden quedar fuera de la contratación formal. Un complemento, consultor, desarrollador independiente, agencia o servicio SaaS especializado puede crear una exposición significativa si toca datos sensibles o flujos de trabajo críticos.
El valor principal de un inventario es crear mejores controles de acceso. Cuando finaliza la relación con un proveedor, su empresa sabe qué cuentas desactivar, qué credenciales rotar, qué integraciones borrar y qué debe suceder con los datos almacenados.
2. Clasifique a los proveedores por riesgo, no por comodidad
Después de mapear a sus proveedores, agrúpelos según el riesgo que generan. Esto mantiene el proceso proporcional y evita tratar a cada proveedor como inofensivo o crítico.
Proveedores de alto riesgo normalmente procesan datos sensibles, soportan operaciones esenciales o tienen acceso privilegiado. Esto puede incluir infraestructura en la nube, plataformas de identidad, nómina, finanzas, sistemas de recursos humanos, TI gestionada, servicios de seguridad o plataformas SaaS principales.
Proveedores de riesgo moderado soportan trabajo importante, pero tienen un acceso más limitado. Pueden incluir plataformas de colaboración, herramientas de análisis, sistemas de gestión de proyectos, software de mesa de ayuda o agencias con permisos limitados.
Proveedores de bajo riesgo tienen poco o ningún acceso a datos sensibles o sistemas críticos para la empresa. Aun así, deben registrarse, pero no necesitan la misma profundidad de revisión a menos que su rol cambie.
El nivel debe seguir el acceso real, no la reputación, el tamaño o el precio del proveedor. Una plataforma conocida puede convertirse en alto riesgo si almacena datos sensibles. Un contratista pequeño puede ser de alto riesgo si tiene privilegios de administrador.
Use el nivel de riesgo para decidir con qué profundidad evaluar al proveedor, con qué frecuencia revisar la relación y qué controles mínimos se aplican.
3. Establezca requisitos de seguridad antes de otorgar acceso
Las evaluaciones de proveedores funcionan mejor cuando la empresa conoce sus requisitos mínimos antes de aprobar el acceso.
Para los proveedores de alto riesgo, esos requisitos deben cubrir los controles que protegen los datos y mantienen la responsabilidad sobre el acceso: MFA, encriptación en tránsito y en reposo, control de acceso basado en roles, registros de auditoría, procedimientos de respuesta a incidentes, gestión de vulnerabilidades, controles de subprocesadores, compromisos de eliminación de datos y planificación de continuidad del negocio.
La evidencia de seguridad puede respaldar esa revisión. ISO 27001, SOC 2, esquemas nacionales como Cyber Essentials en el Reino Unido, resúmenes de pruebas de penetración o documentos técnicos de seguridad pueden ayudar, según el rol del proveedor y la sensibilidad de la relación.
Las certificaciones y los informes de auditoría describen cómo opera un proveedor. Dicen mucho menos sobre quién es realmente el proveedor. Una investigación reciente sobre la seguridad de Passwork demuestra que esta distinción importa: un registro europeo, un sitio web impecable y un mensaje de «diseñado para la confianza» fueron suficientes para superar el estándar en organizaciones que nunca rastrearon la propiedad, la jurisdicción ni el origen del código que instalaban.
Para cualquier proveedor que tenga acceso a datos sensibles, hay dos preguntas que deben acompañar la lista de verificación de controles: quién posee y controla la empresa, y bajo las leyes de qué país opera; y si expertos independientes pueden inspeccionar el código, o si la empresa confía en un sistema cerrado solo por la palabra del proveedor.
Proveedores de riesgo moderado pueden necesitar una revisión más ligera, pero aún deben poder explicar cómo protegen las cuentas, restringen el acceso de los empleados, manejan los datos, notifican a los clientes sobre incidentes y eliminan el acceso cuando termina la relación.
Para los proveedores de bajo riesgo, la verificación principal puede ser si realmente no tienen acceso a sistemas sensibles o datos personales. Si eso cambia, se debe reevaluar al proveedor.
Un buen proceso es estricto donde el riesgo es alto y ligero donde el riesgo es realmente bajo. No debería convertir cada revisión de proveedor en una auditoría empresarial, pero debería evitar que se apruebe acceso a datos sensibles solo por confianza.
4. Monitoree a los proveedores después de la incorporación
Los proveedores cambian sus sistemas, subprocesadores, políticas, personal y controles de seguridad. Su empresa también puede darles más acceso con el tiempo. Sin monitoreo, su evaluación original queda obsoleta.
Un proceso de monitoreo práctico puede incluir revisiones anuales para proveedores de alto y moderado riesgo, verificaciones antes de renovar el contrato, una nueva evaluación cuando se amplía el acceso y una revisión después de cualquier incidente reportado. Los proveedores críticos pueden necesitar verificaciones de acceso más frecuentes.
El monitoreo debe incluir la capa de credenciales. Verifique si las cuentas de los proveedores aún pertenecen a contactos activos, si los permisos coinciden con el alcance actual, si aún existen credenciales compartidas y si las integraciones o claves de API todavía son necesarias.
Aquí es donde muchas empresas encuentran exposición evitable: cuentas antiguas de agencias, inicios de sesión de contratistas sin usar, contraseñas compartidas que nadie controla, integraciones creadas para un proyecto pasado y permisos de administrador otorgados por comodidad.
El riesgo de proveedores también forma parte de la planificación de la continuidad. Si un proveedor crítico deja de estar disponible, reporta una vulneración o fuerza cambios de acceso de emergencia, la empresa necesita una forma de mantener el trabajo esencial en marcha. La guía de Proton sobre estrategias de continuidad del negocio explica por qué la resiliencia depende de más que las copias de seguridad, especialmente cuando hay acceso y credenciales involucrados.
5. Controle las credenciales de terceros
Muchos programas de riesgo de proveedores parecen sólidos sobre el papel y luego fallan a nivel de credenciales. Un proveedor puede parecer conforme sobre el papel y aun así generar exposición por la forma en que se gestiona el acceso día a día.
El riesgo existe en la brecha entre el proceso formal y el realista: credenciales almacenadas fuera de los sistemas aprobados, cuentas compartidas sin un propietario claro o claves de API que siguen activas después de que cambia la relación con el proveedor.
Si esas rutas de acceso no se revisan y se revocan, la empresa puede seguir cargando con el riesgo de proveedores mucho después de que haya terminado el trabajo original.
El acceso de terceros debe seguir la misma disciplina y usar las mismas políticas de contraseñas que el acceso interno:
- Dé a los proveedores solo el acceso que necesitan
- Use cuentas con nombre cuando sea posible
- Evite las credenciales compartidas a menos que no haya alternativa
- Almacene las credenciales compartidas en un sistema controlado de gestión de credenciales
- Comparta archivos con proveedores mediante almacenamiento en la nube para empresas cifrado con enlaces que expiran, no archivos adjuntos de correo electrónico
- Revise el acceso con regularidad
- Revoque el acceso cuando finalice el trabajo
- Rote las credenciales después de cambios de personal del proveedor o incidentes
- Exija MFA siempre que el servicio lo admita
Un gestor de contraseñas para empresas facilita la implementación de estas reglas. Brinda a los equipos un lugar seguro para almacenar credenciales de proveedores, compartir acceso sin enviar contraseñas por chat o correo electrónico, rotar contraseñas y eliminar el acceso cuando termina la relación con un proveedor.
Lista de verificación de seguridad de proveedores
Una lista de verificación de seguridad de proveedores debería ayudar a su empresa a incorporar nuevos proveedores de forma segura.
Úsela para entender claramente la relación:
- ¿A qué datos accederá, procesará o almacenará el proveedor?
- ¿Procesará el proveedor datos personales en nuestro nombre?
- ¿Firmará el proveedor un acuerdo de procesamiento de datos (DPA) y eliminará nuestros datos cuando finalice el contrato?
- ¿Dónde se almacenarán y procesarán los datos?
- ¿El proveedor utiliza subprocesadores?
- ¿El proveedor exige MFA?
- ¿Cómo controla el proveedor el acceso de los empleados a los datos de los clientes?
- ¿Puede nuestra empresa asignar permisos basados en roles?
- ¿Se puede revocar el acceso de inmediato?
- ¿El proveedor proporciona registros de auditoría o informes de actividad de administrador?
- ¿Cómo cifra el proveedor los datos?
- ¿Con qué rapidez nos notificará el proveedor un incidente de seguridad?
- ¿El proveedor cuenta con procedimientos de continuidad del negocio o recuperación ante desastres?
- ¿Puede el proveedor proporcionar documentación de seguridad, certificaciones o resúmenes de auditoría?
- ¿Ha sufrido el proveedor un incidente de seguridad reportado públicamente y cómo lo gestionó?
- ¿Quién posee y controla la empresa, y bajo qué jurisdicción opera?
- ¿El producto es de código abierto o está auditado de forma independiente, de modo que se puedan verificar sus afirmaciones de seguridad?
La lista de verificación debe mostrar cualquier riesgo que su empresa esté aceptando. Un proveedor que carece de certificación formal aún puede ser adecuado para trabajos de bajo riesgo. Un proveedor con acceso de administrador, autenticación débil, plazos de incidentes vagos o sin un proceso de eliminación claro es una decisión completamente diferente.
Para los proveedores que ya están en uso, retome la lista de verificación durante las renovaciones y las revisiones programadas. La aprobación original puede que ya no refleje la forma en que se utiliza la herramienta hoy. Un proveedor incorporado para un proyecto pequeño puede convertirse silenciosamente en parte de las operaciones con clientes, los flujos de trabajo financieros o las integraciones críticas.
Cómo Proton Pass for Business admite el control de acceso de proveedores
La gestión del riesgo de proveedores se vuelve mucho más difícil cuando el acceso de terceros se gestiona fuera de un sistema controlado. Un proveedor puede estar aprobado, documentado y cubierto por contrato, pero la exposición real a menudo depende de las rutas de acceso cotidianas: credenciales compartidas, permisos, claves de acceso, códigos de recuperación, claves de API y cuentas que deben revisarse o eliminarse a medida que cambia la relación.
Un gestor de contraseñas para empresas como Proton Pass for Business ayuda a las empresas a incorporar ese acceso en un proceso más seguro y auditable. Los equipos pueden almacenar credenciales de proveedores en bóvedas cifradas de extremo a extremo, generar contraseñas seguras y únicas, usar el completado automático para reducir la gestión manual, gestionar claves de acceso y compartir acceso sin enviar contraseñas por correo electrónico, chat o documentos de proyecto.
Para el acceso de proveedores específicamente, las bóvedas compartidas pueden ayudar a separar las credenciales por proveedor, proyecto, equipo o nivel de sensibilidad. Esto facilita mantener el acceso organizado, revisar quién tiene acceso a qué y eliminar el acceso cuando finaliza un contrato, cambia un contacto del proveedor o un incidente requiere una contención rápida.
Un gestor de contraseñas para equipos de TI añade la capa administrativa necesaria a medida que el proceso se formaliza más. Las políticas, los informes, los registros, el control de acceso basado en roles, el aprovisionamiento SCIM y la integración de inicio de sesión único ayudan a las empresas a gestionar el acceso de forma consistente en todos los equipos, en lugar de depender de hábitos individuales.
Proton Pass for Business ayuda a su empresa a controlar las credenciales y las rutas de acceso que los proveedores utilizan para trabajar con usted. También es de código abierto y está auditado de forma independiente, por lo que supera la misma lista de verificación que recomendamos aplicar a sus propios proveedores. Cuando el acceso de los proveedores se almacena, comparte, revisa y revoca desde un entorno controlado, el riesgo de proveedores se vuelve más fácil de gestionar más allá de la evaluación inicial.
Controle el acceso a las credenciales de terceros de forma segura con un gestor de contraseñas para empresas.
