práctica
etapa: identify
2 min de lectura
Riesgo de terceros y de la cadena de suministro
Una parte creciente de los incidentes entra por un proveedor, un socio o una dependencia: un atacante vulnera a una empresa más pequeña para llegar a su gran cliente. Sepa de quién depende y cuánto confía en ellos.
vendor risk questionnaires (SIG, CAIQ)security ratings servicesSOC 2 and ISO 27001 reportsSBOMscontract security clausesvendor inventory
Por qué importa
Cada proveedor con acceso a sus datos, sistemas o código amplía su , y usted no puede aplicar parches a sus servidores. El riesgo abarca a los proveedores de software y sus dependencias, los proveedores de nube y SaaS, los servicios tercerizados con acceso a la red y los socios que se integran con sus sistemas. Los reguladores y los clientes lo responsabilizan cada vez más por los datos que entrega a un proveedor.
El ciclo de vida
- Inventario: una lista viva de cada tercero, qué hace, qué datos y accesos tiene y quién es responsable de la relación.
- Clasificar por criticidad: la profundidad de la revisión debe corresponder al impacto si el proveedor falla o es vulnerado (datos sensibles, acceso a producción, dependencia del negocio).
- Debida diligencia antes de firmar: cuestionarios, certificaciones e informes de auditoría, security ratings y, para proveedores críticos, una revisión más profunda o una prueba técnica.
- Contrato: requisitos de seguridad, plazo de notificación de brechas, derecho de auditoría, manejo y eliminación de datos, reglas para subcontratistas, condiciones de salida.
- Incorporación con : el acceso mínimo, con límite de tiempo, cuentas nominales y monitoreo.
- Monitoreo continuo: reevaluar periódicamente según el nivel, vigilar incidentes y cambios de rating, revisar accesos.
- Baja del proveedor: revocar el acceso y confirmar la devolución o eliminación de los datos.
Una regla de clasificación por niveles
tiers:
critical: # una brecha o caída aquí afecta directamente al negocio
criteria: [processes personal or payment data, has production or network access, no easy substitute]
review: [full questionnaire, SOC 2 Type II or ISO 27001 report, architecture review, annual reassessment]
important:
criteria: [handles internal confidential data, integrates through APIs]
review: [standard questionnaire, certification check, reassess every two years]
standard:
criteria: [no sensitive data, no integration]
review: [lightweight check at onboarding]
vendors:
- { name: ExamplePay, tier: critical, owner: finance-eng, data: [payment tokens] }
- { name: ExampleSurvey, tier: standard, owner: marketing, data: [] }Cadena de suministro de software
- Mantenga un de lo que entrega y solicite el de los proveedores críticos.
- Escanee las dependencias de forma continua y fije versiones; verifique las firmas de lo que instala.
- Revise las prácticas de seguridad del propio proveedor, como la forma de firmar releases y de responder a vulnerabilidades.
- Planifique para la falla: (todo en un solo proveedor), planes de salida y respaldos fuera del proveedor.
conexiones en el mapa
- Riesgo de terceros y de la cadena de suministroalimentaGestión de riesgos de seguridad
actualizado el 14/10/2026 · fuentes para profundizar · reportar un error
en otros dominios
- A03 Software Supply Chain Failuresowaspel riesgo de proveedores, visto como código de terceros
- SBOMappsecel inventario que vuelve concreta la evaluación de proveedores
Estudia antes
pon a prueba lo que entendiste
Cargando preguntas…