Scorecard de riesgo de proveedores
Puntúa un proveedor en nueve dominios ponderados y obtén una puntuación de 0 a 100, un nivel de riesgo, carencias priorizadas y cláusulas contractuales, o genera un cuestionario de seguridad.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Una herramienta de gestión del riesgo de terceros (TPRM) con dos modos. En el primero puntúas un proveedor que estás evaluando con un cuestionario ponderado en nueve dominios: acceso a datos y clasificación, certificaciones (SOC 2 / ISO 27001), cifrado, MFA/SSO, subencargados, historial de brechas, respuesta a incidentes y SLA de notificación, continuidad del negocio y derecho de auditoría. Obtienes una puntuación de garantía de 0 a 100 (más alta significa menos riesgo), un nivel de riesgo crítico, alto, medio o bajo, las carencias priorizadas que conviene apretar primero y una lista de cláusulas contractuales recomendadas para negociar. En el segundo generas un conjunto de preguntas de estilo SIG-lite agrupadas por dominio, en Markdown que puedes copiar o descargar para pegar en un correo o en tu herramienta GRC. Todos los pesos se publican y son transparentes: es la rúbrica propia de PlayCISO, no una media del sector, y no se inventa ninguna cifra. La herramienta no hace ninguna llamada de red; todo se ejecuta en tu navegador. Es una herramienta Pro.
- Elige el modo: puntuar un proveedor o generar un cuestionario de seguridad.
- Para puntuar, responde las preguntas de los nueve dominios; las que quedan sin responder cuentan como 0.
- Revisa la puntuación de 0 a 100, el nivel de riesgo, las carencias priorizadas y las cláusulas contractuales recomendadas.
- Para el cuestionario, copia o descarga el Markdown de estilo SIG-lite y envíalo al proveedor.
Preguntas frecuentes
¿Qué es la gestión del riesgo de terceros (TPRM)?
Es la práctica de identificar, evaluar y controlar el riesgo que introducen en tu organización los proveedores, suministradores y prestadores de servicios. Como un tercero a menudo tiene acceso a tus datos, tus sistemas o tus clientes, sus debilidades de seguridad pasan a ser las tuyas: una brecha en un proveedor puede exponer tus datos tan directamente como una brecha en tu propia red. La TPRM cubre todo el ciclo: clasificar a los proveedores por el riesgo que suponen, evaluarlos (a menudo con un cuestionario de seguridad y evidencias como un informe SOC 2) antes y durante la relación, incluir obligaciones de seguridad y privacidad en el contrato, y monitorizarlos y reevaluarlos con el tiempo. Esta herramienta ayuda en los pasos de evaluación y contratación.
¿Cómo debo clasificar a mis proveedores?
Clasifícalos por riesgo inherente (cuánto daño podría hacer un fallo o una brecha en ese proveedor), no por cuánto gastas con ellos. Los dos grandes factores son el acceso y la sensibilidad de los datos: un proveedor con acceso privilegiado o de escritura a tus sistemas, o que guarda datos personales regulados (PII, PHI, PCI), tiene un riesgo inherente mayor que uno que solo maneja datos públicos sin acceso a sistemas. Un modelo habitual tiene tres o cuatro niveles (por ejemplo crítico, alto, medio y bajo): los críticos reciben la diligencia debida más profunda (revisión de evidencias, resúmenes de pruebas de penetración, reevaluación anual, cláusulas contractuales fuertes) y los de nivel bajo, un cuestionario ligero o ninguno. La herramienta incorpora el nivel de acceso y la clasificación de datos en la puntuación y deriva un nivel de riesgo, así que un proveedor que toca muchos datos sensibles no puede salir de bajo riesgo solo por sus controles.
¿Qué cubre un cuestionario de seguridad para proveedores?
Pide al proveedor que describa su postura de seguridad y privacidad para que puedas evaluarla antes de confiar en él. Los formatos estandarizados habituales incluyen el cuestionario SIG (Standardized Information Gathering) y el CAIQ (Consensus Assessments Initiative Questionnaire). Los dominios típicos son: empresa y alcance (qué es el servicio y qué datos toca); certificaciones y garantías independientes (SOC 2 Tipo II, ISO 27001, pruebas de penetración recientes); protección de datos (cifrado en reposo y en tránsito, gestión de claves, residencia de los datos); gestión de identidades y accesos (MFA, SSO, mínimo privilegio, bajas); subencargados y cuartas partes (quién más toca los datos y si las obligaciones se trasladan); respuesta a incidentes y notificación de brechas (un plan probado y un SLA contractual de notificación); continuidad del negocio y recuperación ante desastres (RTO/RPO, copias probadas); y gobierno, privacidad y el derecho de auditoría del cliente. El generador produce un conjunto SIG-lite en esos dominios.
¿Cómo se calcula la puntuación de 0 a 100 y qué significan los niveles de riesgo?
Cada pregunta tiene opciones de respuesta fijas con un valor publicado entre 0 (peor, más riesgo) y 1 (mejor, menos riesgo). Dentro de un dominio, cada pregunta tiene un peso relativo, y la puntuación del dominio es la media ponderada de sus preguntas respondidas. La puntuación global de garantía es la media ponderada por dominio de los nueve dominios, escalada de 0 a 100: responder todo con la mejor opción da 100 y con la peor, 0. Más puntuación significa menos riesgo. El nivel de riesgo se deriva de esa puntuación: bajo desde 80, medio desde 60, alto desde 40 y crítico por debajo de 40. Las preguntas sin responder cuentan como 0, porque lo desconocido ya es un riesgo en la evaluación de proveedores. Todos los pesos se muestran en la herramienta: son la rúbrica propia y transparente de PlayCISO para una conversación estructurada, no una medición, una certificación ni una afirmación sobre una media real.
¿Se envían mis datos a algún sitio? ¿Es asesoramiento legal o de compras?
No se envía ningún dato. La herramienta se ejecuta por completo en tu navegador y no hace ninguna llamada de red: tus respuestas, el nombre del proveedor y todo lo que escribes se quedan en tu dispositivo salvo que decidas descargar o copiar un informe. No hay estadísticas inventadas ni consultas externas. Y no, es orientación educativa general, no asesoramiento legal, de compras ni de cumplimiento. Las cláusulas contractuales recomendadas son puntos de partida para hablar con tus propios equipos legal y de compras, que deben adaptarlas a tu jurisdicción, tu apetito de riesgo y el encargo concreto antes de firmar nada.
¿Es gratis?
No, es una herramienta Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.