Evaluación de seguridad SaaS: marco de 5 pasos

Una evaluación de seguridad SaaS es una revisión estructurada de los controles de seguridad, el tratamiento de datos y la postura de cumplimiento de un proveedor de aplicaciones en la nube antes de comprar, y de forma periódica después. Como mínimo cubre cinco áreas: gestión de identidades y accesos, protección de datos (cifrado en tránsito y en reposo), gestión de vulnerabilidades y parches, registro y respuesta a incidentes, y certificaciones de cumplimiento de terceros como SOC 2 Type II o ISO 27001. El objetivo es sencillo: decidir si el riesgo de un proveedor es aceptable para los datos que piensas darle.

Qué significa realmente la seguridad SaaS

La seguridad SaaS es la responsabilidad compartida de proteger los datos almacenados y procesados en una aplicación en la nube de un tercero. El proveedor protege la infraestructura, la plataforma y el código de la aplicación; tú proteges tu configuración, el acceso de los usuarios y los datos que subes. La mayoría de las brechas SaaS reales ocurren en el lado del cliente de esa línea: permisos de compartición mal configurados, cuentas de administrador huérfanas y tokens OAuth con alcance excesivo. Una evaluación bien hecha examina ambos lados: la seguridad inherente del proveedor y la superficie de configuración de la que tú serás responsable.

Por eso una evaluación SaaS no es lo mismo que una prueba de penetración. Un pentest encuentra fallos explotables en un momento concreto; una evaluación valora si la organización tiene procesos duraderos para prevenir, detectar y responder a los fallos a lo largo del tiempo.

Los 5 pasos de una evaluación de riesgos de seguridad

Toda evaluación de seguridad SaaS sigue la misma columna vertebral de evaluación de riesgos. Aplica estos cinco pasos en orden:

• 1. Alcance y clasificación de datos. Identifica exactamente qué datos tocará la herramienta SaaS: PII, PHI, datos de pago, código fuente o solo contactos de marketing. Una herramienta que maneja datos regulados merece un escrutinio mucho más profundo que una que maneja contenido público.
• 2. Identificar amenazas y controles. Relaciona las amenazas probables (robo de credenciales, exfiltración de datos, compromiso de la cadena de suministro) con los controles declarados por el proveedor. Pide su informe SOC 2 Type II y lee la sección de excepciones, no solo la portada.
• 3. Analizar y puntuar el riesgo. Valora cada carencia por probabilidad e impacto. Para vulnerabilidades conocidas, usa las puntuaciones CVSS, que van de 0 a 10, y en las que todo lo que sea 9,0 o más se clasifica como Crítico: un proveedor con una CVE Crítica sin parchear es una señal de alarma clara.
• 4. Priorizar y remediar. Decide qué bloquea el acuerdo, qué requiere compromisos contractuales y qué aceptas. Vincula la remediación a cláusulas del contrato (plazos de notificación de brechas, derecho de auditoría, borrado de datos al finalizar).
• 5. Monitorizar de forma continua. Vuelve a evaluar cada año y ante eventos desencadenantes: la divulgación de una brecha, una adquisición o un nuevo tipo de datos importante añadido a la integración.

Las 5 C y qué incluir en la evaluación

Las «5 C de la seguridad» (change, compliance, cost, continuity y coverage: cambio, cumplimiento, coste, continuidad y cobertura) son una lente útil para lo que debe incluir una evaluación SaaS. En la práctica se traducen en estas solicitudes concretas de evidencias:

• Cumplimiento: SOC 2 Type II, certificado ISO 27001, anexo de tratamiento de datos GDPR/CCPA y las certificaciones sectoriales pertinentes (HIPAA BAA, PCI DSS AOC).
• Cobertura: estándares de cifrado (AES-256 en reposo, TLS 1.2+ en tránsito), compatibilidad con SSO/SAML y SCIM, MFA obligatoria y control de acceso basado en roles granular.
• Cambio: prácticas de SDLC seguro, cómo rastrean y parchean las vulnerabilidades, y sus SLA de remediación basados en CVSS para hallazgos Críticos y Altos.
• Continuidad: compromisos de RTO/RPO, frecuencia de copias de seguridad y un plan de recuperación ante desastres probado.
• Coste del fallo: plan de respuesta a incidentes, plazo de notificación de brechas (exige 72 horas o menos) y cobertura de ciberseguro.

Preguntas de evaluación prácticas que de verdad revelan el riesgo

La queja recurrente de la comunidad de seguridad de Reddit sobre las evaluaciones SaaS es que las hojas de cálculo genéricas de 200 preguntas hacen perder el tiempo a todos y producen respuestas copiadas y pegadas. Sustituye el volumen por preguntas afiladas y respaldadas por evidencias:

• «¿Puedes compartir tu informe SOC 2 Type II más reciente, incluidas las excepciones señaladas por el auditor?»: pone a prueba la transparencia.
• «¿Cuál es tu SLA para parchear una vulnerabilidad con una puntuación CVSS de 9,0 o superior?»: una buena respuesta se mide en días, no en trimestres.
• «¿Admitís SCIM para la baja automatizada de usuarios?»: la baja manual es de donde salen las cuentas huérfanas.
• «¿Dónde se almacenan y procesan nuestros datos, y qué subencargados tienen acceso?»: saca a la luz el riesgo de cuartas partes.
• «¿Cómo segregáis los datos de los clientes en una arquitectura multiinquilino?»: comprueba fallos de aislamiento lógico.

Ejemplo práctico: un proveedor de analítica de gama media supera la mayoría de las preguntas, pero admite que su SLA de remediación para CVE Críticas es «la próxima versión programada». Esa sola respuesta reclasifica al proveedor de aceptable a alto riesgo, porque un fallo CVSS 9,8 podría quedar expuesto durante semanas.

Preguntas frecuentes

¿Qué es una evaluación de seguridad SaaS?

Una evaluación de seguridad SaaS es una revisión estructurada de los controles de seguridad, el tratamiento de datos y la postura de cumplimiento de un proveedor de aplicaciones en la nube antes de comprar, y de forma periódica después. Como mínimo cubre cinco áreas: gestión de identidades y accesos, protección de datos (cifrado en tránsito y en reposo), gestión de vulnerabilidades y parches, registro y respuesta a incidentes, y certificaciones de cumplimiento de terceros como SOC 2 Type II o ISO 27001.

¿Qué significa realmente la seguridad SaaS?

La seguridad SaaS es la responsabilidad compartida de proteger los datos almacenados y procesados en una aplicación en la nube de un tercero. El proveedor protege la infraestructura, la plataforma y el código de la aplicación; tú proteges tu configuración, el acceso de los usuarios y los datos que subes.

¿Cuáles son los 5 pasos de una evaluación de riesgos de seguridad?

Toda evaluación de seguridad SaaS sigue la misma columna vertebral de evaluación de riesgos. Aplica estos cinco pasos en orden: 1. Alcance y clasificación de datos. Identifica exactamente qué datos tocará la herramienta SaaS: PII, PHI, datos de pago, código fuente o solo contactos de marketing.

¿Cuáles son las 5 C en una evaluación de seguridad SaaS?

Las «5 C de la seguridad» (change, compliance, cost, continuity y coverage: cambio, cumplimiento, coste, continuidad y cobertura) son una lente útil para lo que debe incluir una evaluación SaaS. En la práctica se traducen en estas solicitudes concretas de evidencias: Cumplimiento: SOC 2 Type II, certificado ISO 27001, anexo de tratamiento de datos GDPR/CCPA y las certificaciones sectoriales pertinentes (HIPAA BAA, PCI DSS AOC).