Cómo evaluar proveedores críticos

Imaginemos que un incidente de ciberseguridad deja fuera de servicio al proveedor que verifica la identidad de los nuevos clientes de un banco. La aplicación sigue disponible, pero abrir una cuenta resulta imposible. En una aseguradora, un ataque a la plataforma externa de gestión documental podría impedir consultar los expedientes necesarios para tramitar un siniestro.

En ambos casos, el cliente percibe que su entidad ha dejado de responder. Quién presta el servicio afectado pasa a un segundo plano.

Estas situaciones ayudan a entender por qué la evaluación de proveedores críticos en banca y seguros debe conectar la ciberseguridad con la operativa. Para decidir dónde hace falta más control, hay que conocer qué depende de cada tercero, cómo podría fallar y qué capacidad existe para mantener el servicio.

La criticidad depende del servicio que sostiene

Un contrato de importe reducido puede dar acceso a información sensible o sostener una parte indispensable de un proceso. El gasto, por sí solo, dice poco sobre las consecuencias de una interrupción.

Por eso conviene empezar por el servicio y seguir sus dependencias. En el alta digital de clientes, por ejemplo, habría que revisar quién verifica la identidad, qué información trata y qué alternativa existe si deja de funcionar. En seguros, el mismo ejercicio puede aplicarse a la gestión de siniestros o a los servicios de asistencia externalizados.

La revisión también debe contemplar la exposición o alteración de datos. Una plataforma puede seguir operativa mientras la información de clientes o asegurados está comprometida.

También hay que comprobar cuánto tiempo llevaría sustituir al proveedor y de quién depende a su vez. Dos empresas contratadas por separado podrían utilizar una misma infraestructura subcontratada. En ese caso, la alternativa prevista podría verse afectada por el mismo incidente.

Ser crítico describe el impacto que un proveedor puede tener sobre la entidad. Para valorar su riesgo cibernético, además, hay que analizar su exposición, sus controles y la capacidad de respuesta y recuperación. Un proveedor bien protegido puede seguir siendo una dependencia difícil de sustituir.

Qué necesita demostrar una evaluación de ciberseguridad

El cuestionario permite conocer cómo organiza el proveedor su seguridad: quién tiene responsabilidades, cómo controla los accesos o cómo gestiona los incidentes. Su utilidad aumenta cuando las respuestas se contrastan con evidencias adecuadas al servicio contratado.

Si declara que dispone de copias de seguridad, interesa conocer el resultado de una prueba de restauración. Si aporta una certificación, hay que revisar su alcance y vigencia. Y si presenta un plan de continuidad, conviene comprobar qué servicio cubre y si sus tiempos de recuperación encajan con las necesidades de la entidad. Una recuperación prevista en veinticuatro horas puede resultar insuficiente para una operación que solo tolera dos horas de interrupción.

Esta revisión necesita complementarse con información que permita detectar cambios entre evaluaciones. La exposición de un sistema a internet, una vulnerabilidad conocida o una nueva amenaza pueden justificar una revisión antes de la siguiente renovación contractual.

Las señales externas deben interpretarse con cuidado: hay que confirmar que corresponden al proveedor y al servicio relevante. Una puntuación ayuda a priorizar, pero por sí sola no demuestra que se haya producido una brecha ni permite verificar todos los controles internos.

Cuando falta una evidencia o no puede verificarse un dato, esa incertidumbre debe quedar visible en la evaluación y tener un responsable que la resuelva.

La pregunta que orienta el trabajo es concreta: ¿tenemos evidencias suficientes para confiar en este proveedor para este servicio y bajo estas condiciones?

Qué hacer cuando aparece una señal de riesgo

Volvamos al proveedor de verificación de identidad. Supongamos que la monitorización externa detecta una posible vulnerabilidad en un activo asociado a su organización.

La primera tarea es validar el hallazgo con el proveedor y determinar si afecta al servicio contratado. Si se confirma, Ciberseguridad debe valorar la exposición y las medidas necesarias. El responsable del servicio debe comprobar el impacto operativo y la alternativa disponible. Compras coordinará los compromisos con el proveedor, con la participación de Riesgos y Cumplimiento que corresponda.

El resultado debería quedar en un plan de acción con responsable, plazo y evidencia de cierre. Mientras se corrige el problema, puede ser necesario reforzar controles o preparar una medida de continuidad. La respuesta dependerá de la gravedad del hallazgo y del impacto sobre la entidad.

Esta supervisión forma parte de la relación con el proveedor. El marco de ciberseguridad NIST CSF 2.0 recoge la priorización de terceros por criticidad, el seguimiento del riesgo durante la relación y la participación de proveedores relevantes en la respuesta y recuperación ante incidentes.

Para saber si el proceso funciona, conviene revisar cuántas acciones de riesgo elevado siguen vencidas, qué dependencias carecen de una alternativa probada y cuánto se tarda en validar y resolver un hallazgo. Así se puede comprobar si la supervisión está reduciendo la exposición.

Qué implica DORA para el control de terceros TIC

DORA es aplicable desde el 17 de enero de 2025 a las entidades financieras incluidas en su ámbito. En la gestión de terceros TIC, exige mantener un registro actualizado de los acuerdos contractuales, evaluar los riesgos y establecer las condiciones de control correspondientes. Para los servicios que sustentan funciones esenciales o importantes, contempla requisitos adicionales, incluidas estrategias de salida. La entidad conserva la responsabilidad sobre sus obligaciones aunque contrate servicios externos.

Conviene distinguir la criticidad que una entidad atribuye a una dependencia de la designación formal de proveedores terceros esenciales de servicios TIC que realizan las autoridades europeas. Un proveedor puede ser determinante para una entidad sin haber recibido esa designación. Son planos distintos de evaluación y supervisión. DORA, artículos 28 a 31 y 64.

El valor de trabajar con una base compartida

Cuando varias entidades utilizan un mismo proveedor, parte de las preguntas y evidencias que necesitan pueden coincidir. Reutilizar información revisada permite dedicar más atención a las particularidades de cada servicio y a las carencias detectadas.

La Comunidad Banking & Insurance de Achilles reúne a entidades financieras, aseguradoras y proveedores bajo criterios comunes de evaluación. Achilles revisa y valida la información y las evidencias aportadas según el alcance definido. Esa base facilita comparar información y seguir acciones de mejora, mientras cada entidad puede incorporar sus propios requisitos.

En ciberseguridad, Achilles Cyber Risk, desarrollado con Orpheus, añade inteligencia sobre amenazas y señales de exposición externa para ayudar a priorizar revisiones y seguir la evolución del riesgo. Su aportación está en complementar el conocimiento del proveedor con información que puede cambiar durante la relación.

El criterio sobre el servicio, la aceptación del riesgo y las decisiones de continuidad siguen correspondiendo a cada entidad. Una misma información puede conducir a decisiones distintas si cambian los datos tratados, los accesos o la dependencia operativa.

Cinco preguntas para tu próxima revisión

Para llevar este enfoque a una conversación entre Compras, Riesgos y Ciberseguridad, conviene empezar por un servicio concreto:

• ¿Qué dejaríamos de poder hacer si este proveedor sufriera un incidente?
• ¿Qué datos y accesos quedarían expuestos, incluidos los de sus subcontratistas relevantes?
• ¿Qué evidencia reciente demuestra que puede recuperar el servicio dentro del tiempo que necesitamos?
• ¿Qué cambios provocarían una revisión inmediata y quién la iniciaría?
• ¿Qué alternativa hemos probado y qué acciones de mejora siguen pendientes?

Responderlas con el responsable del servicio y el proveedor permite contrastar lo que recoge el expediente con la capacidad real de actuar. Si falta una respuesta, ya hay un punto concreto que trabajar antes de la próxima incidencia.

Conoce cómo funciona la evaluación compartida en la Comunidad Banking & Insurance.