Gestión de terceros: tu seguridad es tan fuerte como tu proveedor más débil

Puedes tener tu infraestructura blindada, tu equipo capacitado y tus políticas al día — y aun así terminar en las noticias por una brecha. ¿Por dónde? Por la puerta de un proveedor. La brecha de tu proveedor es tu brecha. Tus clientes no distinguen: si sus datos se filtraron a través de una herramienta que tú contrataste, el responsable ante ellos eres tú.

Por eso la gestión de terceros es uno de los controles que SOC 2 e ISO 27001 exigen — y de los más ignorados hasta que es tarde.

Qué cubre

Evaluar el riesgo de cada proveedor que toca tus datos o tu operación: tu nube, tu pasarela de pagos, tu distribuidor, tu herramienta de soporte. No a todos por igual — se prioriza por cuánto acceso tienen y qué tan crítico es lo que manejan. Para los que importan: due diligence (¿tienen ellos SOC 2 o ISO?), contratos con cláusulas de seguridad, y revisión periódica, no de una sola vez.

El principio incómodo

Tu postura de seguridad no termina en tu perímetro — termina en el perímetro de tu proveedor más débil. De nada sirve cifrar todo en casa si mandas los mismos datos a una herramienta que los guarda en claro. La cadena se rompe por el eslabón que no revisaste.

¿Cómo se clasifica a los proveedores por riesgo?

El primer paso es un inventario de todos los proveedores que tocan datos o sistemas, y después clasificarlos. Una escala de tres o cuatro niveles basta:

1. Crítico: maneja datos sensibles o sostiene un proceso sin el cual no operas. Tu nube, tu ERP en la nube, tu pasarela de pagos, tu proveedor de TI administrado.
2. Alto: accede a datos internos o a la red, pero su falla no detiene la operación de inmediato.
3. Medio y bajo: acceso limitado o nulo a información, fácilmente reemplazables.

El nivel decide la profundidad de la revisión. A un proveedor crítico se le pide evidencia y se le revisa cada año; a uno de nivel bajo basta con un contrato adecuado.

¿Qué revisar de un proveedor crítico?

1. Su reporte SOC 2 Tipo II o su certificado ISO 27001, verificando que el alcance cubra el servicio que tú contratas.
2. Las excepciones del reporte. Un SOC 2 puede traer controles que el auditor encontró fallando. Hay que leerlas.
3. Los controles que te corresponden a ti. Los reportes SOC 2 incluyen los CUEC (controles complementarios de la entidad usuaria): lo que el cliente debe hacer para que los controles del proveedor funcionen, como activar la autenticación multifactor o revisar los accesos. Si no los cumples, el reporte del proveedor no te protege.
4. Sus propios proveedores (subprocesadores) y dónde quedan físicamente tus datos.

¿Qué cláusulas de seguridad debe traer el contrato?

1. Plazo de notificación de incidentes, en horas, no "a la brevedad".
2. Derecho a revisar su evidencia de seguridad o a recibir sus reportes de auditoría cada año.
3. Confidencialidad y uso limitado de los datos al propósito del servicio.
4. Aviso previo sobre subprocesadores nuevos.
5. Devolución y destrucción de datos al terminar, con constancia.
6. Plan de salida: cómo recuperas tu información y en qué formato si cambias de proveedor.

En los marcos, este control vive en la serie CC9.2 de SOC 2 y en los controles 5.19 a 5.23 de la ISO 27001:2022, que cubren desde la relación con proveedores hasta los servicios en la nube.

¿Y si tu proveedor crítico no tiene SOC 2 ni ISO 27001?

Pasa seguido, sobre todo con proveedores locales o especializados, y no siempre se puede cambiar de proveedor. En ese caso el riesgo se administra desde tu lado:

1. Un cuestionario proporcional al nivel de riesgo, con evidencia de lo más importante: autenticación multifactor, respaldos, gestión de accesos y respuesta a incidentes.
2. Compartir solo los datos indispensables. Lo que el proveedor no recibe, no se le puede filtrar.
3. Cifrar antes de enviar cuando el servicio lo permite, para que el proveedor procese sin ver la información en claro.
4. Accesos mínimos y vigilados: cuentas nominales, multifactor, permisos acotados y registro de lo que hace dentro de tus sistemas.
5. Un contrato más estricto que compense la falta de auditoría externa.
6. Un plan de salida probado, por si hay que reemplazarlo.

Y la revisión no termina al firmar. Un cambio de dueño, una brecha publicada o un nuevo subprocesador son motivos para reevaluar antes de la fecha programada.

El lado bueno

Este control funciona en ambos sentidos: mientras tú evalúas a tus proveedores, tus clientes te evalúan a ti. Ser el proveedor que ya tiene su casa en orden —con su propio SOC 2 o ISO— te convierte en el eslabón fuerte de su cadena, y eso acorta su due diligence sobre ti. Es la misma lógica del andamiaje: lo que te protege es lo que te hace elegible.