Si su empresa opera en servicios TIC —gestión de servidores y redes, un servicio de soporte técnico con acceso remoto, o mantenimiento de software en las instalaciones de clientes—, la lista de verificación de seguridad que reciba suele ser más extensa que la de otros proveedores. No se debe a que su cliente desconfíe de usted, sino a que su servicio por definición proporciona acceso a sistemas que no le pertenecen. Una organización obligada a cuidar su cumplimiento que evalúa su cadena de suministro examina a un proveedor de servicios TIC más minuciosamente que a un proveedor de mobiliario de oficina.
Las preguntas que se repiten en este sector generalmente se agrupan en tres categorías: cómo gestiona usted el acceso remoto, cómo controla el acceso a los sistemas de los clientes, y cómo trata a los subcontratistas. A continuación, se describe por cada grupo qué se suele preguntar y por qué.
Por qué los proveedores de servicios TIC forman una categoría aparte
Conforme a la Directiva NIS2, una organización obligada a cuidar su cumplimiento debe evaluar también los riesgos que pueden provenir de sus proveedores. Un despacho de contabilidad que solo procesa facturas representa un riesgo distinto al de una empresa que puede acceder al servidor corporativo por la noche para instalar una actualización. Los organismos reguladores y la Directiva misma mencionan explícitamente esta dependencia de los servicios TIC como un punto de atención dentro de la cadena de valor. Para usted, esto significa que la lista de verificación generalmente no trata sobre su oficina, sino sobre la ruta que recorren sus empleados y sistemas hasta la red del cliente.
Preguntas sobre gestión remota
Si gestiona sistemas de clientes de forma remota, utilizando herramientas de supervisión y gestión remota (RMM) o a través de una conexión VPN, la lista de verificación generalmente pregunta por la seguridad de esa conexión en sí. Los temas típicos incluyen: si el acceso remoto solo es posible con autenticación multifactor, si las sesiones se registran y por cuánto tiempo se conservan esos registros, si existe una ventana de tiempo fija para las tareas de mantenimiento, y qué sucede si un portátil de un técnico se roba o se pierde. También es frecuente que se pregunta si el software RMM en sí se mantiene actualizado —una vulnerabilidad en ese programa de gestión afecta inmediatamente a todos los clientes gestionados con él, lo que lo convierte en un punto sensible para los clientes.
Preguntas sobre acceso a sistemas de clientes
El segundo grupo de preguntas se refiere a quién exactamente puede acceder a qué sistemas. Por ejemplo: ¿aplica el principio de que una persona solo recibe acceso a lo necesario para su función (privilegio mínimo), se revoca el acceso inmediatamente cuando un empleado se va o cambia de puesto, y se mantienen las contraseñas y claves de acceso separadas por cliente o se comparten entre trabajos? Algunas listas de verificación también piden un registro de quién ha tenido acceso durante un período determinado, algo que solo se puede responder si ya se mantiene ese registro. Quienes no disponen de este tipo de información a mano a menudo pierden contratos no porque la seguridad sea deficiente, sino simplemente porque la respuesta no se puede proporcionar con la rapidez necesaria.
Preguntas sobre subcontratistas y su propia cadena de suministro
El tercer grupo de preguntas suele olvidarse hasta que surge: ¿utiliza usted mismo subcontratistas para partes del servicio, como una tercera parte externa para el servicio de asistencia fuera del horario de oficina o para la gestión especializada de redes? Un cliente que debe mapear su propia cadena de suministro quiere saber si esa cadena termina en usted o continúa más allá. Las preguntas sobre esto generalmente se refieren a si los subcontratistas reciben los mismos requisitos de seguridad que usted mismo aplica, y si el cliente recibe información previa cuando se contrata a un nuevo subcontratista. Este es también el punto en el que el cuestionario puede desviarse hacia información que no es razonablemente necesaria para evaluar el riesgo; dónde está ese límite no es igual en todas las situaciones y merece una consideración propia.
Lo que esto significa para la respuesta que usted da
Las preguntas anteriores no son una lista de verificación aislada sino un patrón recurrente, y ese patrón cambia poco de un cliente a otro dentro de este sector. Eso hace que valga la pena saber de antemano dónde se encuentra usted mismo — cuáles de estos temas ya están asignados con un propietario y una prueba, y cuáles aún están sin resolver. en un par de preguntas ver si y cómo le afecta proporciona una primera orientación, y los temas elaborados por situación profundiza en medidas específicas como control de acceso y evaluación de proveedores. Si duda de si una pregunta formulada aún se encuentra dentro de límites razonables, es algo que debe discutir con el cliente mismo o, si la falta de claridad persiste, con un abogado; las preguntas más frecuentes sobre este tema proporciona varios puntos de partida.
Si desea ver sin compromisos dónde se encuentra su empresa en relación con este tipo de cuestionarios, realice la escaneo rápido gratuito o navegue por el banco de conocimientos en secria.eu — ambos son accesibles sin cuenta.