Una política de proveedores para el sector de instalación es un registro de las partes con las que trabaja — subcontratistas, autónomos, proveedores de software para su planificación o sistemas de gestión de edificios — con una estimación del riesgo que cada una presenta. Para las empresas instaladoras, el énfasis a menudo no está solo en el acceso digital, sino también en el acceso físico: quién recibe una llave, un pase de acceso o un inicio de sesión en el sistema de gestión de su cliente.
Esto hace que el sector de instalación sea un caso especial. Mientras que una empresa de software busca principalmente quién puede acceder al código fuente, una empresa instaladora busca quién está en el edificio del cliente, qué cableado se está trabajando y qué datos sobre ese edificio — planos, códigos de alarma, registros de acceso — se envían a un subcontratista. Una política de proveedores reúne estos dos mundos, físico y digital, en un solo registro.
Por qué esto también es relevante sin obligación propia
Las empresas instaladoras generalmente no caen bajo la obligación de cuidado de la Ley de Ciberseguridad. Pero el cliente que sí está sujeto a la obligación — un hospital, una empresa de energía, un municipio — debe evaluar su propia cadena de suministro, lo que significa que también examina a quién usted contrata. Un subcontratista con un portátil desatendido que inicia sesión en el sistema de gestión de edificios de un hospital es un riesgo para ese cliente, incluso si el contrato se formalizó con usted. Una política de proveedores demuestra que conoce y gestiona esa cadena de transferencia, en lugar de no poder responder cuando llegue la pregunta. Encontrará más información sobre lo que ese cliente exactamente puede preguntar en la descripción general de temas por sector.
Qué debe incluir concretamente en la política
Una política de proveedores funcional comienza con un registro: quién trabaja para usted, con qué acceso, y qué tan establecida está esa relación. Para empresas instaladoras suelen ser tres categorías. Subcontratistas y autónomos que trabajan en sitio y obtienen acceso físico a edificios, armarios de llaves o salas de servidores. Proveedores de software de planificación, facturación o sistemas de gestión de edificios que supervisan o colaboran de forma remota. Y proveedores de materiales o equipos que a veces requieren su propio inicio de sesión, por ejemplo para registro de garantía remota.
Para cada parte, la pregunta es qué control es razonable: una declaración de que las contraseñas no se comparten entre empleados, un acuerdo sobre qué ocurre con los códigos de acceso una vez finalizado un trabajo, u simplemente un contacto a quien pueda recurrir si algo sale mal. No todo proveedor requiere el mismo nivel de detalle — un proveedor de tornillos es diferente a un subcontratista que inicia sesión en el sistema de gestión de edificios de un hospital con su cuenta.
Subcontratistas y acceso: el punto donde frecuentemente falla
En el sector de instalación se trabaja frecuentemente con subcontratistas variables, a veces para un único trabajo, a veces de forma estructurada. Esto hace que la gestión de acceso sea más complicada que en una empresa con un equipo fijo. Un punto práctico de partida es una pregunta simple para cada subcontratista: ¿recibe esta persona su propio pase de acceso o llave, o se trabaja con un código compartido? ¿Se revoca ese acceso una vez finalizado el trabajo, o permanece activo hasta que alguien recuerde bloquearlo? ¿Y quién dentro de su empresa es responsable de esa revocación?
Estas preguntas parecen organizativas, no técnicas, pero son exactamente de qué trata una política de proveedores: no de firewalls, sino de quién entra dónde y por qué. Para las medidas más amplias en torno a la gestión de acceso dentro de su propia empresa existe un análisis aparte; este artículo se enfoca específicamente en las partes fuera de su empresa que usted contrata.
Cómo comenzar sin convertirlo en un proyecto de un año
Una política de proveedores no tiene que estar completa de una vez. Un orden practicable es: comenzar con las partes que tienen acceso a los entornos más sensibles — sistemas de gestión de edificios en clientes de sectores vitales, o software que realiza supervisión remota. Establezca por cada parte qué sabe, qué aún debe consultar y quién se encargará de ello. Posteriormente, amplíe ese panorama al resto de la cadena.
El grado en que esto es relevante para su empresa depende de los sectores en los que operan sus clientes y de la naturaleza de sus propios servicios. Una verificación rápida muestra dónde se sitúa su empresa en la cadena, y la base de conocimientos en secria.eu muestra por cada tema qué fuente en el texto oficial corresponde. Cómo mantenemos esas fuentes se explica en la página sobre nuestra metodología.
Lo que este artículo no reemplaza
Una política de proveedores es un documento organizativo, no asesoramiento jurídico sobre sus contratos específicos o responsabilidad frente a subcontratistas. Para preguntas al respecto, un abogado o la organización sectorial es el punto de contacto indicado. Las preguntas frecuentes sobre el alcance de la ley y el papel de los proveedores se encuentran recopiladas en la página de preguntas frecuentes.
¿Desea saber dónde se sitúa su propia empresa y qué proveedores en su cadena merecen atención en primer lugar? El escaneo rápido es gratuito y le proporciona en unos minutos una primera indicación, sin que para ello necesite una cuenta.