La gestión de riesgos de terceros consiste en identificar y controlar la exposición que llega a través de proveedores, socios y contratistas. Su importancia creció por una razón simple: la superficie de una empresa ya no termina en su propia infraestructura.
El punto incómodo es que los controles internos no protegen de esto. Una empresa puede tener sus accesos ordenados, sus equipos parchados y sus respaldos probados, y quedar igualmente expuesta porque un proveedor con acceso a sus sistemas no tiene nada de eso.
Quiénes cuentan como terceros
La lista casi siempre es más larga de lo que se estima al empezar. Incluye al proveedor de nube donde viven los sistemas, a la empresa de soporte TI que tiene acceso remoto, al software SaaS que procesa información de clientes, a las empresas de outsourcing, al proveedor de telecomunicaciones y a cualquier tercero que trate datos por cuenta de la organización.
Un criterio práctico para armar el inventario: si un tercero tiene acceso a tus sistemas, custodia información tuya o de tus clientes, o su caída detiene tu operación, es un tercero relevante y debería estar en la lista.
La exigencia baja por la cadena
Este es el mecanismo que hoy está poniendo el tema sobre la mesa de muchas medianas empresas chilenas. La Ley 21.663 califica Operadores de Importancia Vital, y esos operadores trasladan sus obligaciones a quienes los proveen. La exigencia no se detiene ahí: cada eslabón se la pide al siguiente.
El resultado es que una empresa puede nunca aparecer en una nómina oficial y aun así recibir requisitos de seguridad por vía contractual, simplemente por ser proveedora de alguien que sí está regulado. Y al mismo tiempo, esa empresa hereda el riesgo de sus propios proveedores hacia arriba.
Qué se hace en la práctica
El proceso parte por el inventario de terceros y su clasificación por criticidad, porque no todos merecen el mismo nivel de escrutinio: el proveedor con acceso administrativo a tus servidores y el que imprime la papelería no se evalúan igual.
Sobre los críticos se aplica una evaluación antes de contratar, cláusulas contractuales que fijen obligaciones de seguridad y notificación de incidentes, y una revisión periódica que confirme que lo declarado sigue vigente. La parte que más se olvida es la salida: cuando la relación termina, hay que revocar accesos y recuperar o exigir la eliminación de la información entregada.
Dónde suele aparecer primero
Los dos lados de la misma pregunta
Una empresa recibe un cuestionario de seguridad de su cliente más importante, que es proveedor de un operador regulado. Le preguntan por sus controles, por sus subcontratistas y por su plan de respuesta a incidentes.
Responderlo la obliga a mirar hacia adentro, pero también hacia sus propios proveedores: no puede comprometerse a notificar un incidente en veinticuatro horas si el proveedor de nube donde ocurriría el incidente no está obligado a avisarle en ningún plazo.
Ese es el trabajo real de la gestión de terceros: alinear lo que prometes hacia arriba con lo que efectivamente exiges hacia abajo.
Lo que la gerencia tiene que decidir
El riesgo de terceros se gestiona con decisiones contractuales, no técnicas. Estas cuatro definen hasta dónde llega tu exposición.
- 01
¿Qué proveedores son realmente críticos?
El criterio práctico: si tiene acceso a tus sistemas, custodia información tuya o de tus clientes, o su caída detiene tu operación. Esa lista suele ser más larga de lo estimado.
- 02
¿Qué se va a exigir por contrato y desde cuándo?
Obligaciones de seguridad y plazos de notificación de incidentes. Si prometes avisar en 24 horas hacia arriba, tu proveedor tiene que estar obligado a avisarte antes.
- 03
¿Quién aprueba seguir con un proveedor que no cumple?
A veces el proveedor crítico simplemente no responde el cuestionario. Esa es una decisión de aceptación de riesgo, con nombre y firma, no un tema que resuelva el área técnica.
- 04
¿Qué pasa cuando la relación termina?
Revocar accesos y recuperar o exigir la eliminación de la información entregada es la parte que más se olvida, y la que deja puertas abiertas durante años.
Cómo lo abordamos en Brumaz
Cómo trabaja Brumaz este concepto
El riesgo de terceros entra dentro de la gestión de riesgos y del cumplimiento: inventario, clasificación por criticidad, requisitos contractuales y seguimiento. Cuando el origen es una exigencia concreta de un cliente, el trabajo suele partir por traducir ese cuestionario en un plan acotado en vez de responderlo a ciegas.
Ver el servicio completoRecibe esta guía en PDF
El mismo contenido, con formato para leerla en el celular, imprimirla o compartirla con tu equipo. Te llega por correo en un minuto.
Preguntas frecuentes
¿Me afecta la Ley 21.663 si no soy Operador de Importancia Vital?
¿Basta con pedirle un certificado al proveedor?
¿Qué hago si un proveedor crítico se niega a responder?
Este contenido es informativo y no constituye asesoría legal ni técnica personalizada.
Sobre el autor
Fundador, Brumaz
Once años en redes, infraestructura y seguridad. Esa base técnica es la que sostiene la dirección de riesgo: no recomienda un control que no sepa verificar, ni pide evidencia que no sepa leer.
- Ingeniero Civil en Telecomunicaciones (Universidad de Concepción)
- Diplomado en Data Science (Universidad Adolfo Ibáñez)
- Certificaciones en ciberseguridad y en soluciones Fortinet y WatchGuard
- Implementador de Sistemas de Gestión Integrados usando Inteligencia Artificial (Diplomados en Ciberseguridad)
Seguir leyendo