¿Por qué importa la seguridad de tus proveedores?
Muchos incidentes empiezan en un proveedor: un acceso remoto mal protegido, un correo robado que envía facturas falsas o una fuga de datos que eran tuyos. La NIS2 lo llama seguridad de la cadena de suministro, y el RGPD te pide elegir encargados que ofrezcan garantías.
Clasifica a tus proveedores
| Nivel | Qué tienen | Ejemplos | Qué hacer |
|---|---|---|---|
| Crítico | Acceso a tus sistemas o a datos sensibles | Gestoría, software de gestión, informático, nube | Cinco preguntas cada año y cláusula en contrato |
| Medio | Algunos datos personales | Transporte, mensajería, marketing | Cláusula en contrato |
| Bajo | Sin datos ni accesos | Limpieza, material de oficina | Nada especial |
¿Qué cinco preguntas hay que hacer a un proveedor?
- 1
¿Usáis doble factor en los accesos a nuestros datos?
Si la respuesta es no, es lo primero que hay que cambiar.
- 2
¿Tenéis copias probadas de lo que guardáis nuestro?
Y cuándo fue la última prueba.
- 3
¿Quién de vuestro equipo accede y cómo se retira el acceso?
Especialmente en accesos remotos.
- 4
¿Qué hacéis si tenéis un incidente que nos afecte?
Y en cuánto tiempo nos avisáis.
- 5
¿Podéis enseñar alguna prueba?
Un certificado, un informe o una política firmada.
¿Qué cláusulas de seguridad hay que poner en un contrato?
Cláusulas mínimas
- Medidas de seguridad que aplicarán.
- Aviso en un plazo corto si hay un incidente que te afecte.
- Devolución o borrado de tus datos al terminar.
- Contrato de encargado del tratamiento si tratan datos personales.
Preguntas frecuentes
¿Y si un proveedor no quiere responder?
Es una respuesta en sí misma. Valora si puedes limitar lo que ve o cambiar de proveedor.
¿Tengo que auditarlos?
No. Para una pyme, preguntar, pedir alguna prueba y tenerlo en el contrato es proporcionado.
¿Cada cuánto lo reviso?
Los críticos, una vez al año y cuando cambie algo importante.
