Cómo evaluar el riesgo de ciberseguridad de proveedores y terceros

Las organizaciones dependen cada vez más de proveedores, socios tecnológicos y empresas externas para desarrollar su actividad. Servicios cloud, plataformas digitales, soporte técnico, integraciones o accesos remotos permiten agilizar procesos y mejorar la eficiencia, pero también pueden convertirse en nuevas vías de exposición para los sistemas y la información corporativa.

Una credencial comprometida, una vulnerabilidad en un proveedor tecnológico o un acceso externo mal gestionado pueden tener consecuencias que van mucho más allá de la empresa que sufre inicialmente el incidente. En sectores como la industria o el retail, donde múltiples actores participan en procesos conectados, una brecha de seguridad puede afectar directamente a la continuidad operativa.

En este contexto, evaluar el riesgo de ciberseguridad de proveedores se ha convertido en una necesidad para las organizaciones. Conocer qué terceros tienen acceso a sistemas y datos, qué medidas de protección aplican y cómo pueden afectar al negocio permite reducir la exposición y construir una estrategia de seguridad más completa.

La ciberseguridad ya no puede limitarse a proteger únicamente los sistemas propios. Cada proveedor que accede a una aplicación, gestiona información corporativa o participa en un proceso crítico puede ampliar la superficie de exposición de la organización.

El problema aparece cuando las empresas no tienen suficiente visibilidad sobre las medidas de seguridad que aplican estos terceros. Aunque los sistemas internos estén protegidos, una vulnerabilidad externa puede convertirse en una vía de entrada para los atacantes.

Por ello, la seguridad de la cadena de suministro debe contemplarse como parte de la estrategia global de ciberseguridad. No se trata únicamente de conocer qué proveedores trabajan con la organización, sino de comprender cómo se relacionan con sus sistemas, qué información gestionan y qué consecuencias podría tener un incidente.

Este enfoque resulta especialmente relevante en organizaciones con ecosistemas tecnológicos complejos, donde la actividad diaria depende de múltiples servicios externos.

Uno de los errores más habituales es aplicar los mismos criterios de seguridad a todos los terceros, independientemente del servicio que prestan o de su nivel de acceso.

Sin embargo, no representa el mismo riesgo un proveedor sin acceso a información corporativa que una empresa encargada de gestionar datos sensibles, mantener sistemas críticos o proporcionar soporte remoto a la infraestructura tecnológica.

La evaluación de terceros debe partir de una clasificación que permita identificar qué relaciones requieren mayor atención.

Para determinar el nivel de exposición de cada proveedor, las organizaciones deben analizar diferentes factores:

• Acceso a sistemas y datos: qué información puede consultar, modificar o gestionar el tercero.
• Importancia del servicio: hasta qué punto la actividad de la empresa depende de ese proveedor.
• Integración tecnológica: qué conexiones mantiene con aplicaciones, redes o infraestructuras corporativas.
• Controles de seguridad: qué medidas aplica para proteger los sistemas y la información.
• Impacto operativo: qué consecuencias tendría una interrupción o incidente de seguridad relacionado con el proveedor.

Esta clasificación permite concentrar los recursos en aquellas relaciones que pueden representar un mayor riesgo para la organización.

La evaluación no debe limitarse a solicitar documentación o comprobar que un proveedor dispone de determinadas políticas de seguridad. Su verdadero objetivo es comprender qué riesgos introduce en la organización y si las medidas implantadas resultan adecuadas.

Para ello, es necesario analizar tanto las características del servicio como los controles que aplica el tercero y las evidencias disponibles sobre su funcionamiento.

Una evaluación de ciberseguridad debe prestar especial atención a los siguientes elementos:

1. Gestión de identidades y accesos. Comprobar cómo se gestionan las credenciales, los permisos y los accesos a sistemas corporativos, especialmente cuando existen conexiones remotas o privilegios elevados. Deben aplicarse el mínimo privilegio, accesos temporales o bajo demanda en lugar de permanentes, MFA obligatorio para terceros y la prohibición de cuentas compartidas. También conviene mantener un inventario de cuentas de terceros y revocar los accesos cuando finaliza la relación o cambia el personal del proveedor.
2. Protección de la información. Analizar qué medidas utiliza el proveedor para proteger los datos que gestiona, incluyendo controles de acceso, cifrado y procedimientos de tratamiento de información sensible.
3. Gestión de vulnerabilidades. Revisar cómo identifica, evalúa y corrige las debilidades de seguridad que pueden afectar a los sistemas utilizados para prestar el servicio.
4. Detección y respuesta ante incidentes. Conocer qué procedimientos tiene establecidos para identificar amenazas, gestionar incidentes y comunicar situaciones que puedan afectar a la organización.
5. Continuidad del servicio. Evaluar si dispone de medidas de recuperación y continuidad que permitan reducir el impacto de una interrupción sobre los procesos del cliente.

La información recopilada debe contrastarse, cuando corresponda, con evidencias que permitan valorar el grado de madurez de los controles. Los cuestionarios por sí solos no bastan: en los proveedores críticos deben complementarse con evidencias y pruebas técnicas proporcionadas al nivel de riesgo. De esta forma, la evaluación ofrece una visión más completa.

La vertiente contractual también es esencial: los acuerdos con proveedores deben recoger requisitos de seguridad, derecho de auditoría y plazos de notificación de incidentes acordes con la criticidad del servicio.

Los incidentes de ciberseguridad relacionados con terceros pueden tener consecuencias directas sobre la actividad de una organización, incluso cuando sus propios sistemas no han sido comprometidos inicialmente.

En el sector industrial, por ejemplo, un proveedor con acceso remoto a sistemas de mantenimiento puede representar un punto de exposición si sus credenciales o equipos resultan comprometidos. Dependiendo de los accesos concedidos, una incidencia podría afectar a la disponibilidad de determinados sistemas o procesos productivos.

En retail, la dependencia de plataformas de comercio electrónico, sistemas de gestión de inventario, proveedores logísticos o servicios tecnológicos puede hacer que una interrupción externa repercuta en la actividad comercial y en la experiencia del cliente.

Estos escenarios muestran que la seguridad de la cadena de suministro no depende únicamente de las medidas de protección de cada empresa, sino también de la capacidad para gestionar las relaciones tecnológicas y operativas entre organizaciones.

Por eso, conocer las dependencias críticas y establecer medidas proporcionales al riesgo resulta fundamental para reducir la exposición y reforzar la continuidad del negocio.

La cadena de suministro también incluye entornos de seguridad híbrida. Empresas que integran o mantienen CCTV, control de accesos o sistemas OT pueden necesitar acceso remoto para prestar un servicio esencial. El objetivo no es considerar a estos mantenedores como un riesgo en sí mismo, sino gestionar adecuadamente sus accesos: definir su alcance, aplicar privilegios mínimos, limitar su duración y supervisar las conexiones según su criticidad.

La seguridad de la cadena de suministro forma parte de los requisitos de la Directiva NIS2. En particular, su artículo 21.2 d) incluye la seguridad de la cadena de suministro entre las medidas de gestión de riesgos de ciberseguridad. Este marco ayuda a orientar la evaluación y gestión de proveedores; su aplicación concreta debe analizarse conforme a la normativa nacional aplicable en la fecha de publicación.

Para las entidades financieras sujetas a DORA, los artículos 28 a 30 regulan la gestión del riesgo TIC de terceros y determinadas previsiones contractuales. Las medidas de gobierno, evaluación y seguimiento de proveedores ayudan a cumplir los requisitos aplicables, sin que por sí mismas garanticen el cumplimiento normativo.

Identificar vulnerabilidades o debilidades en los proveedores es importante, pero no todas requieren la misma urgencia ni tienen el mismo impacto.

Una organización puede trabajar con decenas o cientos de terceros, cada uno con diferentes niveles de acceso, servicios y responsabilidades. Intentar abordar todos los riesgos al mismo tiempo puede dificultar la gestión y dispersar los recursos disponibles.

Por ello, la evaluación de terceros debe traducirse en una priorización clara de las actuaciones.

Los proveedores con acceso a información sensible, sistemas críticos o procesos esenciales pueden requerir controles adicionales, revisiones más frecuentes o medidas específicas de mitigación.

Este enfoque permite transformar los resultados de la evaluación en decisiones concretas, centrando los esfuerzos en aquellas exposiciones que pueden tener mayores consecuencias para la organización.

La gestión del riesgo deja así de ser un proceso exclusivamente documental para convertirse en una herramienta que contribuye a proteger la actividad.

La gestión del riesgo de terceros necesita un marco que permita definir responsabilidades, establecer criterios comunes y mantener un seguimiento estructurado de las relaciones con proveedores.

En este contexto, los servicios de Governance, Risk & Compliance (GRC) ayudan a definir criterios, requisitos contractuales y seguimiento de proveedores dentro del gobierno de la ciberseguridad.

A esta capacidad se suma SPIP (Security Posture Improvement Plan), una solución de Prosegur Security que evalúa la postura de seguridad de la organización y analiza escenarios de compromiso a través de terceros según su nivel de acceso y privilegio. Así permite entender hasta dónde podría llegar un incidente y qué controles podrían frenarlo o detectarlo, traduciéndolo en una hoja de ruta priorizada.

Mientras GRC permite estructurar el gobierno del riesgo, SPIP aporta una visión de la postura de seguridad y de los posibles recorridos de un compromiso a través de terceros para identificar debilidades y definir prioridades de mejora.

La combinación de estas capacidades permite avanzar hacia un modelo más preventivo, donde las decisiones de seguridad se basan en el nivel de exposición y en su impacto potencial sobre el negocio.

La evaluación de proveedores permite identificar riesgos y establecer medidas preventivas, pero la protección de una organización también requiere capacidad para detectar amenazas que puedan materializarse durante la operación.

Cuando existen múltiples conexiones, accesos externos y sistemas distribuidos, la monitorización continua puede aportar visibilidad sobre eventos que requieren atención.

En este contexto, SOC by xMDR combina monitorización 24x7, automatización de la respuesta, analítica avanzada y analistas especializados para detectar, investigar y responder ante amenazas en los entornos cubiertos por el servicio.

Esta capacidad complementa la gestión del riesgo de terceros. Cuando las fuentes correspondientes están integradas en el servicio, la monitorización puede aportar visibilidad sobre accesos externos, como VPN, sesiones remotas o cuentas privilegiadas de proveedores, e identificar posibles incidentes y coordinar la respuesta cuando se detecta una amenaza.

De esta forma, prevención, gobierno y operación trabajan de manera conjunta para reforzar la postura de ciberseguridad de la organización.

Las organizaciones ya no pueden entender la seguridad como una responsabilidad limitada a sus propios sistemas. Proveedores, socios tecnológicos y empresas externas forman parte de un ecosistema conectado donde las debilidades de un tercero pueden tener consecuencias sobre el conjunto del negocio.

Por ello, evaluar el riesgo de ciberseguridad de proveedores requiere conocer las dependencias existentes, establecer controles adecuados y mantener una supervisión continua de las relaciones más críticas.

En Prosegur Security ayudamos a las organizaciones a abordar este desafío mediante capacidades de evaluación, gobierno, monitorización y consultoría especializada. Soluciones como SPIP, servicios de GRC y SOC by xMDR permiten trabajar diferentes dimensiones de la gestión del riesgo, desde la identificación de exposiciones y la definición de prioridades hasta la detección y respuesta ante amenazas.

Porque proteger una organización no consiste únicamente en reforzar sus propios sistemas, sino también en comprender cómo las relaciones con terceros pueden afectar a su seguridad y continuidad operativa.