Lista de evaluación de riesgos de proveedores terceros

Una lista de comprobación de evaluación de riesgos de proveedores terceros es el conjunto estructurado de preguntas y solicitudes de evidencias que usas para evaluar la postura de seguridad, cumplimiento y operativa de un proveedor antes de darle acceso a tus datos o sistemas. Como mínimo debe cubrir el tratamiento de datos, los controles de acceso, las certificaciones de cumplimiento, el historial de incidentes, los subencargados y la baja. A continuación tienes una lista que puedes adaptar directamente, organizada por las fases de la relación con el proveedor en lugar de un volcado de cuestionario genérico.

Antes de incorporarlo: acotar y clasificar

No todos los proveedores necesitan la misma profundidad de revisión. Empieza clasificando al proveedor según lo que toca y ajusta tu esfuerzo al riesgo.

• Acceso a datos: ¿qué datos almacenará, procesará o transmitirá? Marca cualquier cosa que implique PII, PHI, datos de titulares de tarjetas o código fuente.
• Acceso a sistemas: ¿tendrá acceso de red, de API o de administrador a tu entorno?
• Criticidad: si este proveedor cae, ¿qué se rompe? Clasifícalo como crítico, importante o de bajo impacto.
• Alcance regulatorio: ¿la relación entra en el ámbito de GDPR, HIPAA, PCI DSS u obligaciones contractuales con tus propios clientes?

Evidencias de seguridad y cumplimiento que recopilar

Pide evidencias, no solo declaraciones. Que un proveedor diga que es «seguro» no significa nada sin documentación que puedas revisar.

• Informes de cumplimiento: SOC 2 Type II, ISO 27001, PCI AOC o certificaciones HIPAA según corresponda. Lee el informe: no te limites a confirmar que existe.
• Protección de datos: cifrado en reposo y en tránsito, gestión de claves, residencia de datos y políticas de conservación.
• Controles de acceso: MFA obligatoria, modelo de mínimo privilegio y cómo gestionan sus propias cuentas privilegiadas.
• Gestión de vulnerabilidades: cadencia de parches, resúmenes de pruebas de penetración y cómo gestionan las vulnerabilidades divulgadas.
• Respuesta a incidentes: plazos de notificación de brechas, su plan de respuesta a incidentes y cualquier historial de incidentes de seguridad.
• Subencargados: una lista actualizada de sus cuartas partes y cómo las evalúan. Su cadena de suministro ahora es la tuya.

Controles contractuales y legales

La revisión técnica es solo la mitad del trabajo. El contrato es donde haces que la seguridad sea exigible.

• Cláusula de notificación de brechas con un plazo máximo definido.
• Derecho de auditoría o de recibir informes de cumplimiento actualizados cada año.
• Acuerdo de tratamiento de datos que cubra la propiedad, los límites de uso y el borrado al finalizar.
• Mínimos de responsabilidad y de ciberseguro adecuados a los datos en juego.
• Requisitos de finalización y de devolución o destrucción de datos por escrito.

Monitorización continua y baja

Una evaluación puntual se queda obsoleta rápido. Los proveedores cambian de propietario, añaden subencargados y dejan de cumplir. Incorpora comprobaciones continuas.

• Frecuencia de reevaluación: anual para los proveedores críticos, con menos frecuencia para los de bajo impacto.
• Señales continuas: sigue las noticias de brechas, las certificaciones caducadas y los cambios en su lista de subencargados.
• Revisiones de acceso: confirma periódicamente que el proveedor sigue necesitando el acceso que tiene.
• Lista de comprobación de baja: revoca credenciales, confirma el borrado de datos, recupera o destruye los activos compartidos y documenta el cierre.

Si estás clasificando una lista grande de proveedores y necesitas una forma rápida de decidir quién recibe primero la evaluación completa, la herramienta gratuita Vendor Risk Ranking de PlayCISO te ayuda a priorizar proveedores por riesgo para que tu equipo dedique su tiempo a lo que más importa.

Preguntas frecuentes

¿Cómo se acota y clasifica a un proveedor antes de incorporarlo?

No todos los proveedores necesitan la misma profundidad de revisión. Empieza clasificando al proveedor según lo que toca y ajusta tu esfuerzo al riesgo. Acceso a datos: ¿qué datos almacenará, procesará o transmitirá? Marca cualquier cosa que implique PII, PHI, datos de titulares de tarjetas o código fuente.

¿Qué evidencias de seguridad y cumplimiento debes recopilar de un proveedor?

Pide evidencias, no solo declaraciones. Que un proveedor diga que es «seguro» no significa nada sin documentación que puedas revisar. Informes de cumplimiento: SOC 2 Type II, ISO 27001, PCI AOC o certificaciones HIPAA según corresponda. Lee el informe: no te limites a confirmar que existe.

¿Qué controles contractuales y legales deben figurar en una lista de comprobación de proveedores?

La revisión técnica es solo la mitad del trabajo. El contrato es donde haces que la seguridad sea exigible. Cláusula de notificación de brechas con un plazo máximo definido. Derecho de auditoría o de recibir informes de cumplimiento actualizados cada año. Acuerdo de tratamiento de datos que cubra la propiedad, los límites de uso y el borrado al finalizar.

¿Qué implican la monitorización continua y la baja del proveedor?

Una evaluación puntual se queda obsoleta rápido. Los proveedores cambian de propietario, añaden subencargados y dejan de cumplir. Incorpora comprobaciones continuas. Frecuencia de reevaluación: anual para los proveedores críticos, con menos frecuencia para los de bajo impacto.