Por En términos simples
¿Qué riesgos de ciberseguridad estás asumiendo a través de tus proveedores, y cuáles les estás traspasando a tus clientes?
La gestión de riesgos de terceros consiste en identificar y controlar la exposición que llega a través de proveedores, socios y contratistas. Su importancia creció por una razón simple: la superficie de una empresa ya no termina en su propia infraestructura.
El punto incómodo es que los controles internos no protegen de esto. Una empresa puede tener sus accesos ordenados, sus equipos parchados y sus respaldos probados, y quedar igualmente expuesta porque un proveedor con acceso a sus sistemas no tiene nada de eso.
Quiénes cuentan como terceros
La lista casi siempre es más larga de lo que se estima al empezar. Incluye al proveedor de nube donde viven los sistemas, a la empresa de soporte TI que tiene acceso remoto, al software SaaS que procesa información de clientes, a las empresas de outsourcing, al proveedor de telecomunicaciones y a cualquier tercero que trate datos por cuenta de la organización.
Un criterio práctico para armar el inventario: si un tercero tiene acceso a tus sistemas, custodia información tuya o de tus clientes, o su caída detiene tu operación, es un tercero relevante y debería estar en la lista.
La exigencia baja por la cadena
Este es el mecanismo que hoy está poniendo el tema sobre la mesa de muchas medianas empresas chilenas. La Ley 21.663 califica Operadores de Importancia Vital, y esos operadores trasladan sus obligaciones a quienes los proveen. La exigencia no se detiene ahí: cada eslabón se la pide al siguiente.
El resultado es que una empresa puede nunca aparecer en una nómina oficial y aun así recibir requisitos de seguridad por vía contractual, simplemente por ser proveedora de alguien que sí está regulado. Y al mismo tiempo, esa empresa hereda el riesgo de sus propios proveedores hacia arriba.
Qué se hace en la práctica
El proceso parte por el inventario de terceros y su clasificación por criticidad, porque no todos merecen el mismo nivel de escrutinio: el proveedor con acceso administrativo a tus servidores y el que imprime la papelería no se evalúan igual.
Sobre los críticos se aplica una evaluación antes de contratar, cláusulas contractuales que fijen obligaciones de seguridad y notificación de incidentes, y una revisión periódica que confirme que lo declarado sigue vigente. La parte que más se olvida es la salida: cuando la relación termina, hay que revocar accesos y recuperar o exigir la eliminación de la información entregada.
Los dos lados de la misma pregunta
Una empresa recibe un cuestionario de seguridad de su cliente más importante, que es proveedor de un operador regulado. Le preguntan por sus controles, por sus subcontratistas y por su plan de respuesta a incidentes.
Responderlo la obliga a mirar hacia adentro, pero también hacia sus propios proveedores: no puede comprometerse a notificar un incidente en veinticuatro horas si el proveedor de nube donde ocurriría el incidente no está obligado a avisarle en ningún plazo.
Ese es el trabajo real de la gestión de terceros: alinear lo que prometes hacia arriba con lo que efectivamente exiges hacia abajo.
Qué debe decidir la gerencia
El riesgo de terceros se gestiona con decisiones contractuales, no técnicas. Estas cuatro definen hasta dónde llega tu exposición.
- 1
¿Qué proveedores son realmente críticos?
El criterio práctico: si tiene acceso a tus sistemas, custodia información tuya o de tus clientes, o su caída detiene tu operación. Esa lista suele ser más larga de lo estimado.
- 2
¿Qué se va a exigir por contrato y desde cuándo?
Obligaciones de seguridad y plazos de notificación de incidentes. Si prometes avisar en 24 horas hacia arriba, tu proveedor tiene que estar obligado a avisarte antes.
- 3
¿Quién aprueba seguir con un proveedor que no cumple?
A veces el proveedor crítico simplemente no responde el cuestionario. Esa es una decisión de aceptación de riesgo, con nombre y firma, no un tema que resuelva el área técnica.
- 4
¿Qué pasa cuando la relación termina?
Revocar accesos y recuperar o exigir la eliminación de la información entregada es la parte que más se olvida, y la que deja puertas abiertas durante años.
Preguntas frecuentes
- ¿Me afecta la Ley 21.663 si no soy Operador de Importancia Vital?
- Por vía contractual, sí. La ANCI usa la dependencia de la cadena de suministro como criterio, y los operadores calificados trasladan requisitos a sus proveedores. Si tu cliente principal es un banco, una eléctrica, una minera o una institución del Estado, la exigencia te alcanza aunque tu empresa nunca figure en la nómina oficial.
- ¿Basta con pedirle un certificado al proveedor?
- Es un punto de partida, no una respuesta completa. Un certificado acredita un alcance específico en un momento específico, y no siempre cubre el servicio que tú contrataste. Conviene revisar qué alcance declara, cuándo vence y si el servicio que te presta está efectivamente dentro de ese alcance.
- ¿Qué hago si un proveedor crítico se niega a responder?
- Es información en sí misma y debe quedar registrada como riesgo aceptado, con la firma de quien lo acepta. A partir de ahí las opciones son negociarlo en la próxima renovación contractual, compensarlo con controles propios que reduzcan tu exposición, o evaluar un reemplazo si la criticidad lo justifica.
Cómo trabaja Brumaz este concepto
El riesgo de terceros entra dentro de la gestión de riesgos y del cumplimiento: inventario, clasificación por criticidad, requisitos contractuales y seguimiento. Cuando el origen es una exigencia concreta de un cliente, el trabajo suele partir por traducir ese cuestionario en un plan acotado en vez de responderlo a ciegas.
Ver el servicio completoEste contenido es informativo y no constituye asesoría legal ni técnica personalizada.
Sobre el autor
Fundador, Brumaz
Ingeniero Civil en Telecomunicaciones (Universidad de Concepción)
Diplomado en Data Science (Universidad Adolfo Ibáñez)
Certificaciones en ciberseguridad y en soluciones Fortinet y WatchGuard
11 años de experiencia en telecomunicaciones, TI y ciberseguridad. Su trabajo combina esa base de infraestructura y redes con la dirección de riesgo: certificaciones de marca en seguridad perimetral y trabajo sobre los marcos ISO 27001 y NIST CSF, aplicados a la normativa chilena.