Cuando proteger a la empresa ya no es suficiente

Por León Weinstok

Entradilla: La ciberseguridad empresarial ya no depende solo de los controles internos. León Weinstok analiza los riesgos de los proveedores externos y las medidas para proteger a las empresas.

Durante años, las empresas han concentrado sus esfuerzos de ciberseguridad principalmente en proteger su propia infraestructura: sistemas de defensa, control de accesos, capacitación del personal y protocolos de respuesta ante incidentes. Todo ello sigue siendo indispensable, pero ya no es suficiente.

La operación empresarial depende cada vez más de proveedores tecnológicos, plataformas en la nube, procesadores de pagos y otras compañías que almacenan o procesan información en nombre de sus clientes. Según una recopilación de estadísticas publicada por Exploding Topics, el 92 % de las empresas que integran el Global 2000 utiliza servicios de externalización tecnológica.

El riesgo no desaparece al contratar a un tercero

Externalizar una función no significa externalizar la responsabilidad.

Cuando un proveedor administra información, aloja una plataforma o se conecta a los sistemas de una empresa, sus vulnerabilidades pueden convertirse en las de su cliente. El riesgo aumenta si el proveedor subcontrata parte del servicio, pues la empresa puede depender de una cadena de terceros que no conoce ni supervisa.

El Instituto Nacional de Estándares y Tecnología de Estados Unidos, conocido como NIST, señala que la gestión del riesgo en las cadenas de suministro debe comenzar con un proceso de debida diligencia: investigar al proveedor antes de contratarlo y durante la relación comercial, valorando su resiliencia, sus prácticas fundamentales de ciberseguridad y los distintos niveles de su cadena de suministro.

Por tanto, no basta con una cláusula general de confidencialidad ni con confiar en el prestigio del proveedor. La ciberseguridad debe ser un criterio real de selección, contratación y seguimiento.

De las declaraciones a la evidencia

Un programa efectivo de gestión de terceros debe ser proporcional al riesgo. Una empresa de mensajería no representa el mismo riesgo que un proveedor que almacena datos personales, gestiona credenciales, procesa pagos o administra infraestructura crítica.

El primer paso es clasificar a los terceros según la información a la que acceden, su conexión con los sistemas, su capacidad de interrumpir operaciones esenciales y las consecuencias económicas o regulatorias de una brecha. A partir de ahí, las empresas deberían considerar, entre otras, las siguientes medidas:

1. Evaluar antes de contratar.

La revisión debe examinar la estructura de seguridad del proveedor, su historial de incidentes, sus planes de continuidad y la forma en que controla a sus subcontratistas. Un cuestionario es útil, pero no debería convertirse en un simple trámite.

2. Solicitar evidencia verificable.

Según el servicio, pueden pedirse auditorías independientes, pruebas de penetración, certificaciones como ISO/IEC 27001, informes de controles como SOC 2 o evidencia de cumplimiento. La certificación no elimina el riesgo, pero supera la mera declaración de que el proveedor “cumple con buenas prácticas”.

3. Incorporar obligaciones claras en los contratos.

El contrato debe establecer los controles mínimos de seguridad, las reglas de acceso y uso de la información, el cifrado, las condiciones para subcontratar, los plazos para notificar incidentes y la devolución o destrucción segura de la información al terminar la relación.

También es importante definir las consecuencias del incumplimiento, los derechos de auditoría y las responsabilidades económicas. Una obligación sin mecanismos de verificación ni consecuencias concretas ofrece una protección más aparente que real.

4. Exigir la notificación oportuna de incidentes.

El contrato puede exigir que se comuniquen también los incidentes sospechosos, y debe especificar el contenido del reporte, la forma de las actualizaciones y los puntos de contacto.

5. Mantener un monitoreo continuo.

La revisión inicial es solo una fotografía del proveedor en un momento determinado. Los proveedores críticos deben revisarse periódicamente y también cuando cambie el servicio, ocurra un incidente o se amplíe el acceso a información.

6. Revisar la cadena de subcontratación.

La empresa debe saber si el proveedor utiliza servicios en la nube, centros de datos u otros terceros y, cuando el riesgo lo justifique, trasladarles las mismas obligaciones de seguridad.

7. Prepararse para la terminación de la relación.

La salida de un proveedor genera riesgos si permanecen activas sus credenciales, copias de información o integraciones. Debe preverse la eliminación de accesos, la devolución o destrucción certificada de los datos y la continuidad del servicio.

Y cuando todo falla

Incluso el programa más riguroso no puede eliminar por completo el riesgo. Las certificaciones pueden perder vigencia, los controles pueden fallar y una vulnerabilidad desconocida puede afectar a numerosos clientes de un proveedor a la vez. Por ello, la prevención debe complementarse con planes de continuidad, protocolos de manejo de incidentes y ejercicios que incluyan escenarios originados por terceros.

También es importante valorar una póliza de ciberriesgo, que puede cubrir, según sus términos, costos de investigación, recuperación de información, interrupción del negocio, respuesta legal, notificación y responsabilidad frente a terceros.

Sin embargo, el seguro no sustituye los controles. Antes de contratarlo, conviene revisar sus exclusiones, límites, deducibles, requisitos de notificación y condiciones relacionadas con proveedores, y analizar si la cobertura se activa cuando el incidente ocurre en la infraestructura de un tercero o bien por el uso de inteligencia artificial.