El cuestionario vuelve completo. Hay un «sí» junto a la autenticación multifactor, otro junto al cifrado y otro junto a las copias de seguridad. Parece que podemos contratar. Conviene hacer una pregunta más: ¿de qué servicio estamos hablando exactamente?
Una respuesta puede ser cierta y, aun así, no resolver el riesgo que tenemos delante. El proveedor puede ofrecer un control que nuestra licencia no incluye. Puede proteger sus cuentas internas de una forma y permitir que nuestros usuarios accedan de otra. O puede disponer de una política impecable cuya aplicación no hemos comprobado.
En la evaluación de terceros, el cuestionario sirve para abrir una conversación. El trabajo consiste en conectar lo que se declara con el uso previsto, las evidencias disponibles y la decisión que alguien tendrá que tomar.
01 / Contexto
Primero, el servicio. Después, las preguntas.
No necesita la misma revisión una herramienta para reservar una sala que una plataforma donde se guardan documentos reservados o desde la que un tercero administra nuestros sistemas. Importan los datos, los permisos y lo que ocurriría si el servicio dejara de estar disponible.
Antes de enviar una plantilla, conviene describir el encargo en unas pocas líneas: qué hace la herramienta, quién la utilizará, qué información recibirá y con qué otros sistemas se conectará. También qué alternativa existe si falla. Una suscripción barata puede sostener un proceso difícil de sustituir.
El NIST propone priorizar a los proveedores según su importancia para el negocio, la sensibilidad de los datos y el acceso a los sistemas. Es una base razonable para ajustar la profundidad de la revisión. Pedir los mismos documentos a todos consume tiempo y puede dejar sin atención lo verdaderamente crítico.
Referencia: NIST SP 1305, categoría GV.SC y actividad 2.
02 / Evidencias
Una pregunta concreta mejora mucho un «sí».
Imaginemos una pyme que quiere contratar un gestor documental. El proveedor declara que dispone de autenticación multifactor —MFA, una comprobación adicional a la contraseña—. Quedan varias posibilidades: que sea obligatoria, que cada usuario pueda activarla o que solo esté disponible en otro plan.
Las tres admiten un «sí» comercial. Para la persona que debe evaluar el riesgo, significan cosas distintas. Una demostración de la configuración aplicable al servicio y la confirmación del plan contratado pueden ser más útiles que otras veinte preguntas genéricas.
| Respuesta | Qué conviene aclarar | Evidencia posible |
|---|---|---|
| «Tenemos MFA» | ¿Es obligatoria para los accesos previstos, incluidos los de administración? ¿Hay excepciones? | Demostración de la configuración, alcance por perfiles y procedimiento de excepción. |
| «Hacemos copias» | ¿Qué datos se recuperan y cuándo se probó la restauración? ¿Qué pérdida y demora puede soportar el negocio? | Resumen de una prueba reciente, con alcance, resultado y limitaciones. |
| «Los datos están cifrados» | ¿Durante la transmisión y el almacenamiento? ¿Quién puede acceder a ellos en claro? | Descripción del servicio y reparto de responsabilidades sobre claves y accesos. |
Son ejemplos de comprobación, no un catálogo suficiente para cualquier contratación. La evidencia debe guardar relación con el riesgo y protegerse también: para evaluar un control no hace falta recibir contraseñas, claves, datos de otros clientes ni detalles que faciliten un ataque. Puede bastar un extracto anonimizado, una sesión supervisada o un informe independiente con el alcance adecuado.
03 / Certificación
Un certificado merece leerse.
Una certificación ISO/IEC 27001 aporta información relevante sobre el sistema de gestión de la seguridad de una organización. Conviene comprobar a qué entidad, actividades y servicios alcanza, además de su vigencia. El logotipo de la presentación comercial no contiene esas respuestas.
Si el certificado cubre un servicio distinto del que vamos a contratar, su utilidad para esa decisión es limitada. Y aunque el servicio esté incluido, todavía debemos revisar la configuración y las obligaciones que nos corresponden como clientes.
La conclusión práctica es mantener ambas cosas sobre la mesa: el valor de una evaluación independiente y los límites de lo que acredita. Una certificación de gestión no equivale a garantizar que nunca habrá incidentes.
Referencia: ISO, explicación oficial de ISO/IEC 27001:2022 y de su certificación. La aplicación al servicio concreto es criterio de evaluación de esta edición.
04 / Incertidumbre
«Pendiente» no significa «cumple».
Si falta una evidencia, sabemos menos. Eso no prueba por sí solo que el control sea inexistente, pero tampoco permite darlo por verificado. Separar «declarado», «comprobado» y «pendiente» evita que la incertidumbre desaparezca al calcular una nota.
También conviene distinguir una medida implantada de una promesa. Si el proveedor prevé incorporar una función dentro de tres meses, la evaluación de hoy debe reflejar las condiciones de hoy. La mejora comprometida tendrá su responsable, su plazo y una comprobación posterior.
Una media favorable puede convivir con una carencia que impida contratar.
Por ejemplo, muchos controles documentales bien resueltos no compensan necesariamente un acceso de administración que incumpla un requisito imprescindible. Las condiciones mínimas deben definirse antes de puntuar; de lo contrario, el porcentaje acaba decidiendo por nosotros.
05 / Decisión
La evaluación tiene que terminar en algo utilizable.
El informe debería permitir entender qué puede ocurrir, qué medidas están funcionando y qué riesgo queda después de aplicarlas. Ese riesgo restante es el riesgo residual. Su aceptación corresponde a quien tenga la responsabilidad y la autoridad para asumirlo, conforme al gobierno de la organización.
La recomendación puede ser contratar, contratar con condiciones, limitar un uso o buscar otra solución. Importa que se pueda reconstruir el motivo. «Aprobado con observaciones» resulta poco útil si nadie sabe qué observaciones deben resolverse antes de empezar.
Ejemplo ficticio. La organización considera imprescindible el MFA obligatorio para administrar su gestor documental, pero el plan seleccionado no permite imponerlo. La recomendación es posponer ese uso hasta contratar y verificar una modalidad compatible, o elegir otra solución. Si se autoriza una prueba previa, se delimita con datos sintéticos, sin integración con producción y con fecha de cierre. Esa prueba no equivale a aprobar el servicio para documentos reales.
Una decisión breve puede recoger el uso autorizado, la condición pendiente, quién la resuelve, cuándo se revisa y qué evidencia permitirá cerrarla. Si se admite una excepción, hace falta documentar sus límites y el riesgo asumido. La firma de una excepción no convierte un control ausente en uno implantado.
El seguimiento también merece un acuerdo: cambios relevantes del servicio, incidentes, nuevas dependencias y revisión de los compromisos. ENISA incluye la gestión de la relación con el proveedor y su supervisión entre las buenas prácticas de seguridad de la cadena de suministro.
Referencia: ENISA, Good Practices for Supply Chain Cybersecurity, apartados 3.2 y 3.3.
06 / Continuidad
Hay una última pregunta antes de entrar.
¿Cómo salimos? Antes de contratar interesa saber en qué formato se recuperan los datos, cuánto tarda la entrega, qué accesos deben revocarse y cómo se tratarán las copias que permanezcan durante los plazos de conservación aplicables. La respuesta importa tanto si cambiamos voluntariamente de proveedor como si la relación se interrumpe.
Para un servicio relevante, merece la pena probar una exportación y comprobar que otra persona puede utilizar lo recuperado. Un archivo descargado no siempre basta para continuar el trabajo.
En la próxima revisión, escogería una de las respuestas afirmativas del cuestionario y seguiría su recorrido hasta el servicio contratado. Qué cubre, cómo se comprueba y quién actúa si deja de cumplirse. Si no podemos responderlo, la evaluación sigue abierta.
Este enfoque forma parte de la gestión de riesgos tecnológicos y de terceros de Lex Hall.
Fuentes y alcance
Referencias para profundizar.
- NIST SP 1305 · Cybersecurity Supply Chain Risk Management, octubre de 2024. Priorización de proveedores, responsabilidades, requisitos y evidencias.
- ENISA · Good Practices for Supply Chain Cybersecurity, junio de 2023, apartados 3.2 y 3.3. Relación con proveedores, evaluación y seguimiento.
- ISO/IEC 27001:2022 · Información oficial de ISO. Naturaleza del sistema de gestión y de su certificación.
Las guías citadas son anteriores a la fecha editorial de esta edición. Los ejemplos y las preguntas son elaboración propia y ficticia; no describen proyectos, empresas ni clientes reales. Las recomendaciones expresan criterio profesional, no requisitos legales universales ni una auditoría de un proveedor. Las obligaciones aplicables deben determinarse según el sector, el servicio y el contrato.