Checklist de evaluación de seguridad de proveedores
Una evaluación de seguridad de proveedores existe para responder a una pregunta antes de firmar: ¿podemos confiar a este tercero los datos, el acceso o la dependencia que estamos a punto de darle? El error que cometen la mayoría de los programas es tratar a todos los proveedores igual: enterrar a los proveedores de bajo riesgo en cuestionarios mientras se pasa deprisa por los que de verdad importan. Un buen checklist combina las preguntas adecuadas con la clasificación adecuada.
El checklist: qué revisar
- Manejo de datos: a qué datos acceden, dónde se almacenan y procesan, el cifrado en tránsito y en reposo, la conservación y el borrado. Para las aplicaciones que se conectan a Microsoft Teams, consulta la revisión de seguridad que necesita una herramienta de terceros antes de acceder a los datos de Teams.
- Acceso y autenticación: MFA (idealmente resistente al phishing), mínimo privilegio y cómo se separan tus datos de los de otros clientes.
- Cumplimiento y certificaciones: SOC 2 Type II, ISO 27001 y cualquier atestación regulatoria relevante para tus datos.
- Subencargados: de quién dependen (riesgo de cuartas partes) y cómo lo gestionan.
- Respuesta a incidentes: plazos y compromisos de notificación de brechas, por escrito.
- Continuidad de negocio: copias de seguridad, recuperación ante desastres y resiliencia.
- Condiciones contractuales: obligaciones de seguridad, derechos de auditoría y responsabilidad.
Pide pruebas, no afirmaciones
Para cualquier proveedor que no sea de bajo riesgo, pide pruebas independientes: un informe SOC 2 Type II o un certificado ISO 27001 vigentes, un resumen de pruebas de penetración, su política de respuesta a incidentes y una lista de subencargados. Las respuestas autodeclaradas a un cuestionario son un punto de partida; las pruebas son en lo que de verdad puedes confiar.
Incluso a las firmas que venden aseguramiento se llega a través de sus proveedores: la brecha de datos de PwC confirmada en octubre de 2026 llegó a través de un proveedor que alojaba los registros de formación de los empleados, y la exposición de PwC en 2023 llegó a través de la herramienta de transferencia de archivos MOVEit. El Breach Index sigue ese patrón empresa por empresa.
Clasifica por exposición × importancia
Clasifica a los proveedores en dos ejes: la exposición de seguridad (cuántos datos sensibles o cuánto acceso tienen y lo sólidos que son sus controles) y la importancia para el negocio (cuánto te dañaría su fallo). Los proveedores con mucha exposición y críticos para el negocio reciben una diligencia profunda y una monitorización continua; los que puntúan bajo en ambos ejes, una revisión ligera. Así el esfuerzo se concentra donde de verdad está el riesgo.
Haz una revisión estructurada con la herramienta de riesgo de proveedores →, consulta el checklist completo en nuestro checklist de terceros y el método de clasificación en cómo clasificar el riesgo de seguridad de los proveedores.
Preguntas frecuentes
¿Qué debe cubrir? El manejo de datos, el acceso y la autenticación, el cumplimiento y las certificaciones, los subencargados, la respuesta a incidentes, la continuidad de negocio y las condiciones contractuales, con pruebas.
¿La misma evaluación para todos los proveedores? No: clasifica por riesgo; diligencia profunda para los proveedores con mucha exposición y críticos para el negocio.
¿Qué pruebas? SOC 2 Type II, ISO 27001, resumen de pruebas de penetración, políticas, lista de subencargados y compromisos de notificación de brechas.
¿Cómo clasificar? Exposición × importancia para el negocio: prioriza a los proveedores que puntúan alto en ambos.
Preguntas frecuentes
¿Qué preguntas debe hacer un CIO o un CISO a los proveedores antes de comprar una solución de ciberrecuperación?
Además de la revisión estándar de seguridad del proveedor (manejo de datos, acceso y autenticación, cumplimiento y certificaciones como SOC 2 Type II e ISO 27001, subencargados, respuesta a incidentes, continuidad de negocio y condiciones contractuales, todo respaldado por pruebas), una solución de ciberrecuperación necesita preguntas específicas de recuperación: ¿qué objetivos de tiempo y de punto de recuperación (RTO/RPO) podéis cumplir de verdad?; ¿las copias de seguridad son inmutables y están aisladas o desconectadas (air-gapped) para que el ransomware no pueda cifrarlas ni borrarlas?; ¿cómo y con qué frecuencia se prueba la restauración, y podéis mostrar los resultados?; ¿los datos de las copias están cifrados en tránsito y en reposo con claves controladas por el cliente?; ¿cómo detectáis malware o corrupción en las copias antes de restaurar?; ¿qué apoyo de respuesta a incidentes y de restauración ofrecéis durante un ataque activo?; y ¿cómo se protege el acceso al propio entorno de recuperación (MFA resistente al phishing, mínimo privilegio)? Pide pruebas (informes de pruebas, atestaciones) y no solo garantías, y ajusta la profundidad de la diligencia a lo crítica que sea la solución.
¿Qué debe cubrir una evaluación de seguridad de proveedores?
Las áreas clave: el manejo de datos (a qué datos acceden, dónde se almacenan y procesan, el cifrado, la conservación y el borrado); el acceso y la autenticación (MFA, mínimo privilegio, cómo se separan tus datos); el cumplimiento y las certificaciones (SOC 2 Type II, ISO 27001 y las atestaciones regulatorias relevantes); los subencargados y el riesgo de cuartas partes; la respuesta a incidentes y los plazos de notificación de brechas; la continuidad de negocio y la recuperación ante desastres; y las condiciones de seguridad del contrato. Pide pruebas (informes, certificaciones, políticas) y no solo respuestas de sí o no.
¿Debe recibir cada proveedor la misma evaluación?
No. Clasifica a los proveedores por el riesgo que representan: la sensibilidad de los datos que tocan, el acceso que tienen y lo críticos que son para tus operaciones. Un proveedor con acceso a datos de clientes o regulados, o uno cuya caída paralizaría tu negocio, merece una diligencia profunda y pruebas independientes. Un proveedor de bajo riesgo sin acceso a datos puede necesitar solo una revisión ligera. Aplicar el mismo cuestionario pesado a todos malgasta esfuerzo y frena al negocio.
¿Qué pruebas debo pedir a un proveedor?
Atestaciones independientes siempre que sea posible: un informe SOC 2 Type II o un certificado ISO 27001 vigentes, un resumen de pruebas de penetración, sus políticas de seguridad y de respuesta a incidentes, una lista de subencargados y compromisos de notificación de brechas por escrito. Las respuestas autodeclaradas a un cuestionario son un punto de partida, pero para los proveedores de mayor riesgo quieres pruebas que puedas verificar y no afirmaciones.
¿Cómo clasifico a los proveedores por riesgo?
Combina dos dimensiones: la exposición de seguridad (cuántos datos sensibles o cuánto acceso tiene el proveedor y lo sólidos que son sus controles) y la importancia para el negocio (cuánto te dañaría una caída o una brecha). Un proveedor con mucha exposición y crítico para el negocio es tu máxima prioridad para una evaluación profunda y una monitorización continua; los que puntúan bajo en ambos ejes pueden revisarse de forma ligera. Esta clasificación de exposición por importancia concentra el esfuerzo donde importa.