Soluciones a medida para empresas B2B
Quien suministra a grandes empresas es revisado con regularidad: con cuestionarios, auditorías de clientes y requisitos en el contrato. NIS2 y DORA obligan a sus clientes a evaluar su cadena de suministro. Sightadel reúne sus respuestas y evidencias en un solo lugar, para que cada revisión parta de la misma situación.
Punto de partida
Para proveedores y prestadores de servicios, la seguridad en el cliente forma parte del encargo. Tienen acceso a sistemas, datos o procesos de producción de sus clientes. Un incidente en su empresa puede causar daños allí. Por eso los grandes clientes quieren saber, antes y durante la colaboración, cómo trabaja usted.
Los requisitos llegan de muchas formas. Un cuestionario de cien preguntas, una auditoría de proveedores in situ, un anexo de seguridad al contrato marco, la petición de un certificado. Desde que rigen NIS2 y DORA, muchos clientes están obligados por ley a gestionar la seguridad de su cadena de suministro. Le trasladan esa obligación mediante contratos.
Las preguntas se parecen; los formularios, no. Quien responde cada cuestionario por separado ocupa una y otra vez a ventas, informática y dirección con los mismos temas. Con un SGSI según ISO 27001, las respuestas se revisan y acreditan una vez, y un certificado responde muchas preguntas de antemano.
Por qué ahora
La fecha está fijada y el auditor llega con una lista. Pregunta por políticas, accesos, plan de emergencia y gestión de incidentes, cada cosa con su evidencia.
Cada cliente envía su propio formulario, a menudo en Excel y con plazo. Las respuestas se reparten entre varias personas y a veces se contradicen.
Según el § 30 de la BSIG, la seguridad de la cadena de suministro forma parte de la gestión de riesgos de las entidades importantes y esenciales. Por eso sus clientes deben evaluarle y vincularle por contrato.
DORA exige a las entidades financieras registrar y evaluar a sus proveedores de servicios TIC y firmar contratos con un contenido mínimo fijo. Como proveedor lo nota en cuestionarios y anexos al contrato.
Los grandes clientes públicos y privados ponen a menudo ISO 27001 como condición. Sin certificado no entra en la selección final.
Lo que su cliente le exige, a menudo debe trasladarlo a sus propios subcontratistas. Esa cadena también necesita evidencias.
Frameworks relevantes
Resumido con nuestras propias palabras, sin constituir asesoramiento jurídico. Prevalece el texto original en su versión vigente.
La evidencia que la mayoría de los clientes conoce y reconoce. Un certificado de un organismo acreditado responde de antemano muchas preguntas de cuestionarios y auditorías. Tiene una validez de tres años, con auditorías de seguimiento anuales.
Ver el framework →Le afecta directamente si su sector figura en la BSIG y alcanza los umbrales de tamaño. Indirectamente le afecta casi siempre, en cuanto sus clientes están incluidos y deben gestionar la seguridad de la cadena de suministro según el § 30 de la BSIG.
Ver el framework →Si trata datos personales por cuenta de sus clientes, es encargado del tratamiento. Necesita entonces contratos conforme al art. 28 del RGPD, medidas descritas y una cadena de notificación para violaciones de datos.
Ver el framework →Se aplica a entidades financieras. Si presta servicios TIC a bancos o aseguradoras, recibe los requisitos mediante contratos, cuestionarios y derechos de auditoría. La evidencia suele aportarla con su SGSI.
Ver el framework →Se exige de todos modos en muchas relaciones de suministro. El control de documentos, la auditoría interna y la revisión por la dirección los gestiona junto con ISO 27001.
Ver el framework →Orden recomendado
¿Qué clientes exigen qué? Los cuestionarios, anexos contractuales e informes de auditoría de los últimos años muestran qué temas se repiten y qué evidencia tiene más efecto.
Un SGSI según ISO 27001 cubre la mayor parte. Los requisitos específicos de clientes que van más allá los refleja como framework propio y vincula las evidencias existentes.
¿Dónde están los datos, quién tiene acceso, cómo se hacen las copias, cómo se notifican los incidentes? Cada respuesta recibe una evidencia con fecha y una persona responsable.
Las auditorías de clientes y la auditoría de certificación usan la misma documentación. Los auditores reciben en Sightadel un acceso propio sin permiso para eliminar.
Certificados, políticas aprobadas, medidas y subcontratistas figuran en una página propia. Los nuevos cuestionarios los responde con un enlace y las pocas preguntas individuales.
Enfoque
Los cuestionarios de proveedores no desaparecen. Con estos pasos los responde más rápido y de forma coherente.
La mayoría de las preguntas tratan los mismos temas: accesos, cifrado, copias de seguridad, plan de emergencia, formaciones y subcontratistas. Las respuestas están en el SGSI y sirven para todos los clientes.
Los catálogos recurrentes de grandes clientes los importa desde Excel o Word. Cada requisito se convierte en un punto de control, y vincula las evidencias existentes en lugar de buscarlas de nuevo.
En el Trust Center muestra certificados, resúmenes de políticas y subcontratistas. Lo confidencial, como informes de auditoría o planos de red, solo lo comparte bajo petición.
Lo que los clientes le exigen, lo revisa en sus propios proveedores. El módulo Proveedores los gestiona con riesgo, contrato y evidencias con fecha de validez.
Cómo ayuda Sightadel
Los catálogos de requisitos de clientes y los anexos de seguridad los crea como framework propio, también importándolos desde Excel o Word. Trabaja con ellos como con cualquier otro framework.
Más información →Una página propia con certificados, documentos aprobados, medidas de seguridad y subcontratistas. Compras de sus clientes encuentra las respuestas por sí mismo.
Más información →ISO 27001 y NIS2 se trabajan control a control. Donde los requisitos coinciden con catálogos de clientes, una evidencia sirve para todos.
Más información →Las evidencias llevan fecha, versión y fecha de caducidad. Si un cliente pide una evidencia en la auditoría, la encuentra en el mismo lugar que para la auditoría de certificación.
Más información →Sus propios subcontratistas figuran en una lista con criticidad, cuestionario y evidencias. Los certificados caducados se detectan antes de que el cliente pregunte.
Más información →Sightadel comprueba la superficie de ataque visible desde fuera de sus dominios. Muchos clientes evalúan a sus proveedores justo desde esta vista.
Más información →Previo acuerdo
Algunos grandes clientes envían anexos de seguridad extensos o piden informes en una forma concreta. Los frameworks propios los crea usted mismo. Si un catálogo es muy extenso o necesita otra conexión, lo implantamos para usted previo acuerdo.
Proveedores con grandes catálogos de clientes o requisitos especiales
El alcance y los costes figuran antes en la oferta. Solo se implanta tras su aceptación.
Ver adaptaciones a medidaEsfuerzo y duración
Los rangos son valores de experiencia, no un compromiso. Lo que más influye es el número y el alcance de los requisitos de clientes y cuánto de ello ya está acreditado.
Qué licencia contrata · normalmente Professional
Un proveedor típico gestiona ISO 27001 y el RGPD en la edición Professional. Incluye diez usuarios, 25 proveedores y tres frameworks propios, suficiente para los catálogos de los clientes más importantes. Licencia para ISO 27001: desde 750 € al mes. Si ISO 27001 está incluida, el RGPD y, si hace falta, NIS2 cuestan menos de forma permanente. Con muchos catálogos de clientes o sociedades encaja Enterprise.
Licencia por framework, duración mínima de un año, pago mensual o anual. Todos los precios, descuentos y una calculadora están en la página de precios. Los honorarios de un organismo de certificación o de auditoría se suman por separado.
Preguntas y respuestas
Más respuestas en las preguntas frecuentes o directamente a través de nuestro formulario de contacto.
Rara vez por completo. Muchos clientes aceptan el certificado para gran parte de sus preguntas y quieren respuesta para el resto, por ejemplo sobre sedes, subcontratistas o detalles del contrato. Con certificado y Trust Center suelen quedar pocas preguntas individuales.
No automáticamente. Que esté incluido depende de su sector y de su tamaño. Con independencia de ello, su cliente debe evaluar su cadena de suministro y le traslada requisitos mediante el contrato. La clasificación de cada caso la aclara con su asesoría.
Los catálogos recurrentes los importa como framework propio y vincula las evidencias existentes. Para cuestionarios puntuales usa las respuestas revisadas de su SGSI y remite al Trust Center.
Los auditores reciben un acceso propio sin permiso para eliminar. Usted decide si da ese acceso a un cliente para una auditoría o si comparte documentos de forma selectiva.
Certificados, resúmenes de políticas, medidas de seguridad y la lista de subcontratistas. Los nombres internos de sistemas, los planos de red o los informes de auditoría completos no van en una página pública. Esos los comparte bajo petición.
Revise primero la lista de frameworks disponibles. Si falta el estándar, refleje los requisitos de que disponga como framework propio. Si eso basta como evidencia ante el cliente, lo aclara con él o con el organismo de evaluación competente.
14 días, acceso completo, sin datos de pago. Todo lo que cree se conserva en el plan de pago.
