Cómo crear la lista de proveedores
El primer paso es el más laborioso: averiguar qué proveedores existen. Buenas fuentes son la lista de acreedores de contabilidad, los contratos de compras, la lista de suscripciones de software y el registro de actividades de tratamiento. Pregunte además a los departamentos, porque muchos servicios en la nube se contratan allí directamente.
No todos los proveedores son relevantes para la seguridad de la información. El comedor y el proveedor de material de oficina rara vez entran en la evaluación. Lo decisivo es si un proveedor tiene acceso a sus datos, sistemas o instalaciones, o si una caída suya afecta a su propio servicio. Los servicios en la nube, los proveedores de servicios TI, el alojamiento, las nóminas y el software casi siempre forman parte.
En Sightadel da de alta cada proveedor relevante con nombre, categoría y país. La categoría ayuda a filtrar y a comparar proveedores similares. El país es importante si se tratan datos personales fuera de la UE. No tiene que volver a teclear las listas existentes, porque Sightadel admite la importación desde archivos de Excel.
Plantee la lista como un registro vivo. Los proveedores nuevos llegan a través de compras y los antiguos desaparecen. Determine quién comunica los nuevos proveedores antes de firmar un contrato.
Evaluar el riesgo de forma trazable
La evaluación de un proveedor empieza con la pregunta de qué hace para usted. De ahí resulta el riesgo inherente, es decir, el riesgo sin tener en cuenta las medidas de protección. Una gestoría de nóminas que trata datos salariales y de salud tiene un riesgo inherente mayor que una imprenta que imprime folletos.
Los factores de riesgo hacen trazable la evaluación. Muestran qué categorías de datos trata el proveedor, por ejemplo categorías especiales según el art. 9 del RGPD, datos financieros y de pago o datos de autenticación, y qué funciones de seguridad faltan, por ejemplo la autenticación multifactor o el cifrado de los datos almacenados y transmitidos.
Las medidas de mitigación reducen el riesgo. Puede ser una cláusula contractual, una prueba del proveedor como un certificado o una medida técnica por su parte. Cada medida se aplica y se aprueba o se rechaza. El resultado es el riesgo residual, y el historial muestra cuántos puntos ha aportado cada medida.
La aprobación es importante. Un riesgo residual que nadie ha aceptado es solo una cifra. Determine quién puede aceptar qué riesgo residual y deje constancia de las excepciones con su justificación.
En qué se fijan los auditores y la autoridad de control
En la gestión de proveedores, el auditor comprueba tres cosas. Primero, si usted sabe qué proveedores son críticos. Una lista completa con categorías y clasificación de riesgo es la prueba. Segundo, si los requisitos de seguridad están pactados por contrato, por ejemplo en el contrato de encargado del tratamiento o en un anexo de seguridad al contrato. Tercero, si revisa a los proveedores con regularidad y no solo una vez al firmar el contrato.
En la práctica, el auditor elige algunos proveedores y pregunta: ¿cómo se evaluó a este proveedor? ¿Qué pruebas hay? ¿Cuándo fue la última revisión? ¿Qué pasa si falla? El análisis de riesgos de Sightadel responde a las tres primeras preguntas con valoración, factores, medidas e historial. Los contratos, certificados e informes de auditoría del proveedor se vinculan como evidencias.
Para las entidades financieras sujetas a DORA se suma la autoridad de supervisión. Espera un registro de información completo y una diligencia especial con los proveedores que respaldan funciones críticas o importantes. También forman parte las estrategias de salida. La evaluación de cada proveedor es una base para ello, pero no sustituye las demás obligaciones de DORA.
Errores frecuentes en la gestión de proveedores
El error más frecuente es la evaluación única. Un proveedor se revisa al firmar el contrato y nunca más. Sin embargo, los servicios, los subencargados y la situación de seguridad cambian. Revise a los proveedores importantes al menos una vez al año y, además, cuando cambien el servicio, el contrato o los datos tratados. En Sightadel lo inicia con «Revisar evaluación».
Un segundo error es dedicar el mismo esfuerzo a todos. Quien revisa a cada proveedor con el mismo cuestionario extenso no obtiene respuestas, o las obtiene malas. Ajuste la profundidad de la revisión al riesgo inherente. Para los proveedores críticos merece la pena examinar certificados e informes de auditoría; para los no críticos basta una breve clasificación.
En tercer lugar, no se leen los certificados del proveedor. Un certificado ISO 27001 solo sirve si su alcance incluye el servicio que usted utiliza. Compruébelo y archive el certificado como evidencia con fecha de validez.
En cuarto lugar, falta pensar en la interrupción del servicio. Además de la confidencialidad, cuenta qué ocurre si un proveedor deja de prestar el servicio. Para los proveedores críticos, deje constancia de cómo actuaría en ese caso.
