carreras
Third-Party Risk Analyst
Juzga cuánto confiar en los proveedores de los que depende tu empresa.
Un analista de riesgo de terceros evalúa la seguridad de proveedores, socios y software de los que depende la empresa, porque sus debilidades se vuelven tuyas. El trabajo mezcla conocimiento de seguridad, contratos y proceso: clasificar proveedores, revisar evidencias y dar seguimiento hasta que el riesgo se acepta o se reduce.
ver este camino en el mapa del recorridoUn día en el cargo
- Mantener un inventario de proveedores y clasificarlos por criticidad.
- Revisar cuestionarios, informes de auditoría y evidencia técnica de los proveedores críticos.
- Negociar cláusulas de seguridad con legal y compras, como la notificación de brechas y el derecho de auditoría.
- Dar seguimiento a los hallazgos y reevaluar a los proveedores periódicamente o tras un incidente.
Etapa 1· Fundamentos
Aprender a pensar en riesgo y los estándares con los que se mide a los proveedores.
Estudia aquí
Aprende en otros lugares
- Conceptos básicos de contratos y compras
- Nociones de leyes de privacidad en tus jurisdicciones
Construye esto
Clasifica diez proveedores ficticios por criticidad y escribe la profundidad de revisión que recibiría cada uno.
Etapa 2· Práctica
Evaluar proveedores y la cadena de suministro de software.
Estudia aquí
- Riesgo de terceros y de la cadena de suministro
- Cumplimiento en la práctica: controles, evidencias y auditorías
- A03 Software Supply Chain Failures
- SCA
Aprende en otros lugares
- Leer informes SOC 2 e ISO 27001 con sentido crítico
- Cuestionarios de seguridad y cómo cuestionar respuestas vagas
Construye esto
Revisa un informe público al estilo SOC 2 y escribe un resumen de riesgo de una página con preguntas de seguimiento.
Etapa 3· Avanzado
Usar inventarios de software y métricas para monitorear proveedores de forma continua.
Estudia aquí
Aprende en otros lugares
- Servicios de ratings de seguridad y sus límites
- Manejo de incidentes cuando un proveedor es vulnerado
Construye esto
Define un panel de riesgo de proveedores con pocas métricas y la decisión que informa cada una.
Qué mostrar
- Un modelo de clasificación y una lista de verificación de revisión de proveedores, con la justificación de cada nivel.
- Un ejemplo de evaluación de proveedor con hallazgos, acciones solicitadas y una calificación de riesgo residual.
Certificaciones (ejemplos)
- CTPRP (Shared Assessments)
- ISO 27001 Lead Auditor
- CISA (ISACA)
Ejemplos, no recomendaciones ni requisitos. Consulta los detalles actuales con la entidad emisora.