Una política de proveedores para los servicios de TIC es un inventario de cada tercero que tiene acceso, en su nombre o junto a usted, a sistemas, datos o infraestructura de sus clientes, con especificación por tercero de qué se le permite, qué se ha acordado y cuándo se verificó por última vez. La establece porque la obligación de diligencia que se impone a los clientes les obliga también a evaluar su seguridad — y porque usted, a su vez, depende de subcontratistas, software de gestión remota y proveedores de nube que merecen esa misma evaluación.
El núcleo es sencillo: quién puede acceder a su cliente debe estar en su inventario. Eso incluye al tercero que aloja su sistema de tickets, al autónomo que implementa parches por la noche, y a la herramienta con la que supervisa remotamente una estación de trabajo. Una política de proveedores no es una formalidad; es la respuesta a la pregunta que su cliente le hará alguna vez: quién más puede acceder a mis datos y cómo se asegura de que lo hacen correctamente.
Quién debe estar en el inventario
Comience de forma amplia y luego depure. En el inventario deben figurar subcontratistas que ejecutan trabajo en su nombre, proveedores de software cuyas herramientas acceden a entornos de clientes, proveedores de nube donde aloja datos de clientes, y especialistas independientes que colaboran ocasionalmente. La pregunta que se hace por cada tercero no es si son importantes para su operación empresarial, sino si — directa o indirectamente — pueden acceder a sistemas o datos de sus clientes. Un proveedor de suministros de oficina no debe estar; un tercero que aloja su software de monitoreo sí.
Es tentador incluir solo los proveedores grandes y visibles y omitir subcontratistas menores porque la relación es informal. Esto es exactamente donde falla a menudo: un acuerdo informal con un autónomo que trabaja con sus credenciales en un cliente es para ese cliente tan riesgoso como un contrato con una gran empresa. Quien dude de si su propia organización está sujeta a la obligación de diligencia y, por tanto, obligada a mantener este inventario, puede verificarlo en unos pocos pasos.
Qué registra por proveedor
Por proveedor, un conjunto limitado de datos suele ser suficiente: qué tipo de acceso tiene el tercero (lectura, escritura, permisos administrativos), a qué sistemas o datos, existe un contrato con disposiciones sobre seguridad, quién es su contacto en la organización, y cuándo verificó por última vez si algo ha cambiado. Este último punto se olvida a menudo: un proveedor evaluado hace dos años y no vuelto a revisar se cuenta en la práctica como no evaluado. Un momento fijo cada año para revisar la lista lo previene.
Los conceptos que aparecen en este tipo de inventarios — obligación de diligencia, cadena, materialidad — se entienden mejor si primero los consulta independientemente de su situación; el banco de conocimiento por tema proporciona por cada concepto una respuesta breve y trazable.
Subcontratistas: un punto de atención especial
Los subcontratistas merecen atención especial porque el cliente a menudo no sabe que existen. Si externaliza trabajo a un tercero que accede a sistemas de clientes, es habitual informar al cliente y documentar qué puede hacer ese tercero. Algunos contratos con clientes prohíben la subcontratación sin consentimiento previo; verificar eso forma parte de establecer la política, no de la próxima conversación con el cliente.
Gestión remota como categoría independiente
Software para la gestión remota — administración remota, supervisión, gestión de incidencias con función de observación — merece un lugar aparte en el inventario, aunque no sea un «proveedor» en el sentido habitual. Estas herramientas suelen tener acceso amplio a muchos entornos de clientes simultáneamente, lo que las hace atractivas como vector de ataque. Documentar quién puede acceder a estas herramientas, con qué derechos y con qué verificación, es, por tanto, una de las primeras cosas que un cliente solicita en cuanto la conversación se centra en su propia seguridad.
Del inventario a la respuesta
Una política de proveedores que solo existe sobre el papel no ayuda si un cliente mañana envía un cuestionario. El inventario es utilizable solo si está vinculado a una prueba por proveedor y a un propietario que lo mantenga actualizado. Cómo se ve en la práctica un registro vivo de este tipo y de dónde proceden las respuestas asociadas a los cuestionarios se explica en la página que muestra cómo funciona la plataforma.
¿Desea comprobar primero si su organización está sujeta a la obligación de diligencia debida de la NIS2 o si solo es afectada a través de la cadena de suministro? Realice la comprobación gratuita u hojeé los temas — ambos se pueden consultar sin cuenta y proporcionan inmediatamente un paso siguiente que se ajusta a su situación.