La mayoría de las empresas no dependen solo de sistemas internos. Funcionan con plataformas en la nube, proveedores de nóminas, herramientas de marketing, socios de TI y decenas de cuentas de SaaS que mantienen el trabajo diario en marcha. Cada proveedor resuelve un problema y cada uno también crea una nueva relación de confianza.
La gestión de riesgos de proveedores (VRM) es el proceso de evaluar, aprobar, monitorizar y revisar los riesgos de seguridad que conlleva trabajar con terceros. Ayuda a las empresas a entender qué proveedores pueden acceder a sistemas o datos sensibles, qué controles tienen implementados esos proveedores, si sus prácticas de seguridad son lo bastante sólidas para justificar ese acceso y con qué rapidez puede cambiarse el acceso si finaliza un contrato o se produce un incidente.
Explicaremos cómo abordar la gestión de riesgos de proveedores en tu propia empresa: cómo evaluar los proveedores con los que ya trabajas, cómo clasificar el riesgo de proveedores terceros, qué incluir en una lista de comprobación de seguridad de proveedores y cómo controlar las credenciales de proveedores antes de que se conviertan en una exposición a largo plazo.
Qué abarca la gestión de riesgos de proveedores
Tu guía para la gestión de riesgos de proveedores
Tu lista de comprobación de seguridad de proveedores
Cómo Proton Pass for Business admite el control de acceso de proveedores
Qué abarca la gestión de riesgos de proveedores
La gestión de riesgos de proveedores se basa en un principio simple: cada parte externa que toca tus datos, sistemas o procesos de negocio cambia tu perfil de riesgo.
La mayor parte del riesgo de proveedores surge del trabajo diario. Por ejemplo, puede que se incorpore a una agencia externa a la red de una empresa porque un equipo necesita rapidez, experiencia o software que la empresa no tiene internamente. Se concede acceso, se comparten datos y la relación se establece como parte del trabajo diario.
El riesgo se crea cuando no está claro a qué puede acceder ese proveedor, qué controles se interponen entre ese acceso y una vulneración, como la autenticación multifactor (MFA), las cuentas nominales o el cifrado, o con qué rapidez se podría localizar y cortar ese acceso. Revocarlo suele ocurrir dentro del propio sistema o mediante el aprovisionamiento SCIM; la parte difícil para la mayoría de las empresas es saber dónde buscar realmente.
El proveedor puede ser un gran proveedor de servicios en la nube, una plataforma SaaS de nicho, un desarrollador autónomo o una empresa de contabilidad. El tamaño y el sector del proveedor no son el problema principal. Su acceso sí.
El riesgo de proveedores se manifiesta de varias formas distintas:
- Riesgo de datos: El proveedor puede ver, almacenar, procesar, transferir o eliminar datos empresariales o personales.
- Riesgo de acceso: El proveedor puede iniciar sesión en sistemas, administrar ajustes, usar integraciones o llegar a paneles de administración.
- Riesgo operativo: La empresa depende del proveedor para un flujo de trabajo, servicio o proceso crítico de cara al cliente.
- Riesgo de cumplimiento: El rol del proveedor afecta a tus obligaciones en virtud de las leyes de protección de datos (como los requisitos de cumplimiento del GDPR), contractuales o específicas del sector.
- Riesgo de credenciales: El acceso del proveedor se comparte, se reutiliza, no está documentado o es difícil de revocar.
El riesgo de proveedores es difícil de detectar porque a menudo se acumula a través de pequeñas decisiones de acceso que tienen sentido en el momento: un miembro del equipo comparte un inicio de sesión que no debería, o una cuenta de proveedor conserva permisos por comodidad, o un permiso de contratista que nadie revisa cuando termina el proyecto. Con el tiempo, esas excepciones se convierten en parte del entorno empresarial, incluso cuando nadie las administra activamente.
Cómo crear un proceso de gestión de riesgos de proveedores (VRM)
Si se hace de forma eficaz, la gestión de riesgos de proveedores no complica cada decisión. Crea un marco fiable para que tu empresa conceda acceso con límites más claros. Exploraremos los pasos clave que puede dar tu empresa para evaluar su propio riesgo de proveedores y crear una estrategia de gestión de riesgos.
1. Crea un inventario de tus proveedores
En lugar de dejar que la gestión de riesgos de proveedores se convierta en una tarea reactiva cuando te piden pruebas de seguridad o renovar un contrato, conviértela en una tarea proactiva. Empieza por entender los proveedores que ya forman parte de tus operaciones.
Hacer un inventario de proveedores no tiene por qué ser complejo. Debe ser lo bastante claro para mostrar:
- Quién es responsable de la relación
- Qué servicio presta el proveedor
- A qué sistemas o datos pueden acceder
- Si hay datos personales implicados
- Si se utilizan subencargados
- Cuándo vence el próximo contrato o revisión de seguridad
El acceso es un componente crucial que debe registrarse porque los proveedores tienen distintos privilegios y necesidades de acceso. Algunos proveedores usan cuentas nominales. Otros dependen de credenciales compartidas, acceso de administrador, claves de API, buzones compartidos o inicios de sesión temporales que siguen activos mucho después de que la necesidad original haya desaparecido. Estas diferencias importan porque determinan con qué rapidez puede cambiarse el acceso durante la baja de un empleado o un incidente.
El inventario también debe incluir proveedores más pequeños que pueden quedar fuera de los procesos formales de compra. Un complemento, un consultor, un desarrollador autónomo, una agencia o un servicio SaaS especializado pueden generar una exposición significativa si tocan datos sensibles o flujos de trabajo críticos.
El principal valor de un inventario es crear mejores controles de acceso. Cuando finaliza la relación con un proveedor, tu empresa sabe qué cuentas desactivar, qué credenciales rotar, qué integraciones eliminar y qué debe ocurrir con los datos almacenados.
2. Clasifica los proveedores por riesgo, no por comodidad
Después de mapear tus proveedores, agrúpalos por el riesgo que generan. Así el proceso se mantiene proporcionado y se evita tratar a cada proveedor como inofensivo o crítico.
Proveedores de alto riesgo suelen tratar datos sensibles, dar soporte a operaciones esenciales o tener acceso privilegiado. Esto puede incluir infraestructura en la nube, plataformas de identidad, nóminas, finanzas, sistemas de recursos humanos, TI gestionada, servicios de seguridad o plataformas SaaS principales.
Proveedores de riesgo moderado dan soporte a trabajo importante, pero tienen un acceso más limitado. Pueden incluir plataformas de colaboración, herramientas de analítica, sistemas de gestión de proyectos, software de mesa de ayuda o agencias con permisos limitados.
Proveedores de bajo riesgo tienen poco o ningún acceso a datos sensibles o sistemas críticos para la empresa. Aun así, deben registrarse, pero no necesitan la misma profundidad de revisión a menos que cambie su rol.
El nivel debe seguir el acceso real, no la reputación, el tamaño o el precio del proveedor. Una plataforma conocida puede convertirse en alto riesgo si almacena datos sensibles. Un contratista pequeño puede ser de alto riesgo si tiene privilegios de administrador.
Usa el nivel de riesgo para decidir con qué profundidad evaluar al proveedor, con qué frecuencia revisar la relación y qué controles mínimos se aplican.
3. Establece los requisitos de seguridad antes de conceder acceso
Las evaluaciones de proveedores funcionan mejor cuando la empresa conoce sus requisitos mínimos antes de aprobar el acceso.
Para los proveedores de alto riesgo, esos requisitos deben cubrir los controles que protegen los datos y mantienen la responsabilidad sobre el acceso: MFA, cifrado en tránsito y en reposo, control de acceso basado en roles, registros de auditoría, procedimientos de respuesta a incidentes, gestión de vulnerabilidades, controles de subencargados, compromisos de eliminación de datos y planificación de la continuidad del negocio.
La evidencia de seguridad puede respaldar esa revisión. ISO 27001, SOC 2, esquemas nacionales como Cyber Essentials en el Reino Unido, resúmenes de pruebas de penetración o libros blancos de seguridad pueden ayudar, en función del rol del proveedor y la sensibilidad de la relación.
Las certificaciones y los informes de auditoría describen cómo opera un proveedor. Dicen mucho menos sobre quién es realmente el proveedor. Una investigación reciente sobre la seguridad de Passwork demuestra que esta distinción importa: un registro europeo, un sitio web cuidado y un mensaje de «creado para generar confianza» bastaron para superar el listón en organizaciones que nunca rastrearon la propiedad, la jurisdicción ni el origen del código que instalaban.
Para cualquier proveedor que tenga acceso sensible, hay dos preguntas que deben acompañar a la lista de comprobación de controles: quién posee y controla la empresa y bajo las leyes de qué país opera; y si expertos independientes pueden inspeccionar el código, o si la empresa confía en un sistema cerrado solo por la palabra del proveedor.
Proveedores de riesgo moderado pueden necesitar una revisión más ligera, pero aún deberían poder explicar cómo protegen las cuentas, restringen el acceso de los empleados, gestionan los datos, notifican incidentes a los clientes y eliminan el acceso cuando finaliza la relación.
Para los proveedores de bajo riesgo, la comprobación principal puede ser si realmente no tienen acceso a sistemas sensibles ni a datos personales. Si eso cambia, el proveedor debe volver a evaluarse.
Un buen proceso es estricto donde el riesgo es alto y ligero donde el riesgo es realmente bajo. No debería convertir cada revisión de proveedor en una auditoría empresarial, pero debería evitar que se apruebe un acceso sensible solo por confianza.
4. Monitoriza los proveedores después de la incorporación
Los proveedores cambian sus sistemas, subencargados, políticas, personal y controles de seguridad. Además, tu empresa puede darles más acceso con el tiempo. Sin monitorización, la evaluación original queda obsoleta.
Un proceso de monitorización práctico puede incluir revisiones anuales para proveedores de alto y moderado riesgo, comprobaciones antes de renovar el contrato, reevaluación cuando se amplía el acceso y revisión después de cualquier incidente notificado. Los proveedores críticos pueden necesitar comprobaciones de acceso más frecuentes.
La monitorización debe incluir la capa de credenciales. Comprueba si las cuentas de los proveedores siguen perteneciendo a contactos activos, si los permisos coinciden con el alcance actual, si aún existen credenciales compartidas y si las integraciones o las claves de API siguen siendo necesarias.
Aquí es donde muchas empresas encuentran una exposición evitable: cuentas antiguas de agencias, inicios de sesión de contratistas sin usar, contraseñas compartidas que nadie asume, integraciones creadas para un proyecto pasado y permisos de administrador concedidos por comodidad.
El riesgo de los proveedores también forma parte de la planificación de la continuidad. Si un proveedor crítico deja de estar disponible, notifica una vulneración o fuerza cambios de acceso de emergencia, la empresa necesita una forma de mantener el trabajo esencial en marcha. La guía de Proton sobre estrategias de continuidad empresarial explica por qué la resiliencia depende de algo más que las copias de seguridad, especialmente cuando hay acceso y credenciales de por medio.
5. Controla las credenciales de terceras partes
Muchos programas de riesgo de proveedores parecen sólidos sobre el papel y luego fallan en el nivel de las credenciales. Un proveedor puede parecer conforme sobre el papel y aun así generar exposición por la forma en que se gestiona el acceso día a día.
El riesgo existe en la brecha entre el proceso formal y el real: credenciales almacenadas fuera de los sistemas aprobados, cuentas compartidas sin un responsable claro o claves de API que siguen activas después de que cambie la relación con el proveedor.
Si no se revisan y revocan esas rutas de acceso, la empresa puede seguir cargando con el riesgo de proveedores mucho después de que haya terminado el trabajo original.
El acceso de terceras partes debe seguir la misma disciplina y usar las mismas políticas de contraseñas que el acceso interno:
- Da a los proveedores solo el acceso que necesitan
- Usa cuentas con nombre siempre que sea posible
- Evita las credenciales compartidas a menos que no haya alternativa
- Guarda las credenciales compartidas en un sistema controlado de gestión de credenciales
- Comparte archivos con proveedores mediante almacenamiento en la nube para empresas cifrado con enlaces que expiran, no como archivos adjuntos de correo electrónico
- Revisa el acceso con regularidad
- Revoca el acceso cuando termine el trabajo
- Rota las credenciales después de cambios de personal del proveedor o incidentes
- Exige MFA siempre que el servicio lo admita
Un gestor de contraseñas para empresas facilita la implementación de estas reglas. Ofrece a los equipos un lugar seguro para guardar las credenciales de los proveedores, compartir acceso sin enviar contraseñas por chat o correo electrónico, rotar contraseñas y eliminar el acceso cuando termina la relación con un proveedor.
Tu lista de comprobación de seguridad de proveedores
Una lista de comprobación de seguridad de proveedores debería ayudar a tu empresa a incorporar nuevos proveedores de forma segura.
Úsala para entender claramente la relación:
- ¿A qué datos accederá, procesará o almacenará el proveedor?
- ¿Tratará el proveedor datos personales por cuenta nuestra?
- ¿Firmará el proveedor un acuerdo de tratamiento de datos (DPA) y eliminará nuestros datos cuando finalice el contrato?
- ¿Dónde se almacenarán y tratarán los datos?
- ¿Utiliza el proveedor subencargados?
- ¿Exige el proveedor MFA?
- ¿Cómo controla el proveedor el acceso de los empleados a los datos de los clientes?
- ¿Puede nuestra empresa asignar permisos basados en roles?
- ¿Se puede eliminar el acceso de inmediato?
- ¿Proporciona el proveedor registros de auditoría o informes de actividad de administrador?
- ¿Cómo cifra el proveedor los datos?
- ¿Con qué rapidez nos notificará el proveedor un incidente de seguridad?
- ¿Cuenta el proveedor con procedimientos de continuidad empresarial o recuperación ante desastres?
- ¿Puede el proveedor proporcionar documentación de seguridad, certificaciones o resúmenes de auditoría?
- ¿Ha sufrido el proveedor un incidente de seguridad notificado públicamente, y cómo lo gestionó?
- ¿Quién es propietario y controla la empresa, y bajo qué jurisdicción opera?
- ¿Es el producto de código abierto o está auditado de forma independiente, para que se puedan verificar sus afirmaciones de seguridad?
La lista de comprobación debe mostrar cualquier riesgo que tu empresa esté aceptando. Un proveedor que carece de certificación formal aún puede ser adecuado para trabajos de bajo riesgo. Un proveedor con acceso de administrador, autenticación débil, plazos de incidentes vagos o ningún proceso de eliminación claro es una decisión completamente distinta.
Para los proveedores que ya están en uso, vuelve a usar la lista de comprobación durante las renovaciones y las revisiones programadas. La aprobación original puede que ya no refleje la forma en que se usa la herramienta hoy. Un proveedor incorporado para un proyecto pequeño puede convertirse sin que se note en parte de las operaciones con clientes, los flujos de trabajo financieros o las integraciones críticas.
Cómo Proton Pass for Business ayuda a controlar el acceso de los proveedores
La gestión del riesgo de proveedores se vuelve mucho más difícil cuando el acceso de terceras partes se administra fuera de un sistema controlado. Puede que un proveedor esté aprobado, documentado y cubierto por contrato, pero la exposición real a menudo depende de las rutas de acceso cotidianas: credenciales compartidas, permisos, llaves de acceso, códigos de recuperación, claves de API y cuentas que deben revisarse o eliminarse a medida que cambia la relación.
Un gestor de contraseñas para empresas como Proton Pass for Business ayuda a las empresas a integrar ese acceso en un proceso más seguro y auditable. Los equipos pueden guardar las credenciales de los proveedores en cajas fuertes cifradas de extremo a extremo, generar contraseñas seguras y únicas, usar el relleno automático para reducir la gestión manual, administrar llaves de acceso y compartir acceso sin enviar contraseñas por correo electrónico, chat o documentos de proyectos.
En concreto, para el acceso de proveedores, las cajas fuertes compartidas pueden ayudar a separar las credenciales por proveedor, proyecto, equipo o nivel de sensibilidad. Esto facilita mantener el acceso organizado, revisar quién tiene acceso a qué y eliminar el acceso cuando finaliza un contrato, cambia el contacto de un proveedor o un incidente requiere una contención rápida.
Un gestor de contraseñas para equipos de TI añade la capa administrativa necesaria a medida que el proceso se formaliza. Las políticas, los informes, los registros, el control de acceso basado en roles, el aprovisionamiento SCIM y la integración con el inicio de sesión único ayudan a las empresas a administrar el acceso de forma coherente en todos los equipos en lugar de depender de hábitos individuales.
Proton Pass for Business ayuda a tu empresa a controlar las credenciales y las rutas de acceso que usan los proveedores para trabajar con tu empresa. También es de código abierto y está auditado de forma independiente, por lo que supera la misma lista de comprobación que recomendamos aplicar a tus propios proveedores. Cuando el acceso de los proveedores se almacena, comparte, revisa y revoca desde un entorno controlado, el riesgo de proveedores es más fácil de gestionar más allá de la evaluación inicial.
Controla de forma segura el acceso a las credenciales de terceras partes con un gestor de contraseñas para empresas.
