- Seguridad y Gobernanza Liderada por CISO/
- Análisis de Seguridad y Asesorías/
- Gestión de Riesgos de Terceros para Empresas en APAC/
Gestión de Riesgos de Terceros para Empresas en APAC
Tabla de contenidos
La organización moderna no es una sola empresa: es una red de proveedores, plataformas SaaS, proveedores cloud e integradores, y cada uno de ellos sostiene un hilo de sus datos y de su reputación. Cuando uno falla, usted hereda el fallo: el regulador le pregunta a usted por qué el proveedor no fue evaluado con diligencia, y el cliente le pregunta a usted por qué sus datos se filtraron a través de un proveedor que su organización eligió.
La gestión de riesgos de terceros (TPRM) es la disciplina de hacer esa red legible: saber quién tiene acceso a qué, cuánto depende usted de cada proveedor y si sus controles realmente resisten un examen.
La trampa del cuestionario #
La mayoría de los programas de TPRM son una hoja de cálculo con entre 200 y 500 preguntas que se envía a todos los proveedores por igual, para luego archivarse y olvidarse hasta el año siguiente. Esto genera papeleo pero muy poca reducción real de riesgo, por dos motivos:
- Trata a todos los proveedores por igual. Un proveedor de café y un procesador de pagos reciben el mismo cuestionario, a pesar de tener exposiciones radicalmente distintas.
- Confía en la autodeclaración. Un proveedor que dice «sí, ciframos los datos» no es lo mismo que uno que puede demostrarlo. Los cuestionarios miden confianza, no controles.
La solución es proporcionalidad y verificación. Clasifique a los proveedores según el acceso que realmente tienen y dedique el análisis profundo donde la exposición es real.
Niveles según la exposición real #
Un modelo práctico clasifica a los proveedores según aquello que tocan:
- Nivel 1, crítico: manejan datos de titulares de tarjetas o datos personales, están profundamente integrados en sus sistemas o constituyen un punto único de fallo. Para ellos corresponden evaluaciones técnicas, derechos de auditoría y anexos contractuales de seguridad.
- Nivel 2, significativo: procesan datos del negocio o tienen acceso privilegiado. Reciben una revisión técnica más ligera y una revalidación periódica.
- Nivel 3, transaccional: acceso limitado o nulo a los datos. Con una diligencia debida básica basta.
La cuestión no es tener más proceso, sino un proceso proporcionado. Una pasarela de pagos de nivel 1 que falla es un incidente. Un proveedor de papelería de nivel 3 que falla es una molestia. Tratarlos igual desperdicia esfuerzo en el riesgo equivocado.
Más allá del cuestionario: verificación técnica #
Para los proveedores que importan, la autodeclaración no basta. Verificación técnica significa pedir evidencia y, cuando la relación lo justifica, ponerla a prueba:
- Revisión de evidencias: informes SOC 2, certificados ISO 27001, AOCs de PCI DSS y, sobre todo, el alcance de esos informes, no solo el logotipo de la portada.
- Revisión de arquitectura: cómo trata el proveedor sus datos en su entorno real, no cómo lo describe su página de marketing.
- Dientes contractuales: anexos de seguridad exigibles, plazos de notificación de incidentes y derechos de auditoría que sobrevivan a una renegociación.
Los marcos de referencia coinciden en esto. NIST SP 800-161 sobre riesgo de cadena de suministro, y las cláusulas de seguridad de proveedores de ISO 27001 (A.15 en el mapeo de la edición 2022), empujan ambos hacia una garantía de proveedores proporcionada y basada en evidencia, lejos del cuestionario genérico. La guía de externalización de Bank of Thailand aplica la misma lógica a las instituciones financieras y sus proveedores críticos.
Continuo, no puntual #
El riesgo de un proveedor no es estático. Uno que aprobó la revisión el año pasado puede ser adquirido, sufrir una brecha o cambiar silenciosamente sus subprocesadores este año. El modelo maduro revalida en un ciclo basado en el riesgo, monitoriza señales (brechas de datos, cambios de propiedad, caducidad de certificados) y cuenta con una ruta de salida que revoca accesos de verdad, en lugar de limitarse a cancelar la factura.
Nuestro servicio de Third-Party Risk Management construye el modelo de niveles, ejecuta las revisiones en profundidad y redacta los anexos contractuales de seguridad que necesita su equipo legal. Combínelo con Regulatory Compliance para mapear las obligaciones de proveedores con los requisitos de BOT e ISO 27001.