C\u00f3mo evaluar proveedores cr\u00edticos<\/p>\n\n\n\n
Imaginemos que un incidente de ciberseguridad deja fuera de servicio al proveedor que verifica la identidad de los nuevos clientes de un banco. La aplicaci\u00f3n sigue disponible, pero abrir una cuenta resulta imposible. En una aseguradora, un ataque a la plataforma externa de gesti\u00f3n documental podr\u00eda impedir consultar los expedientes necesarios para tramitar un siniestro.<\/p>\n\n\n\n
En ambos casos, el cliente percibe que su entidad ha dejado de responder. Qui\u00e9n presta el servicio afectado pasa a un segundo plano.<\/p>\n\n\n\n
Estas situaciones ayudan a entender por qu\u00e9 la evaluaci\u00f3n de proveedores cr\u00edticos en banca y seguros debe conectar la ciberseguridad con la operativa. Para decidir d\u00f3nde hace falta m\u00e1s control, hay que conocer qu\u00e9 depende de cada tercero, c\u00f3mo podr\u00eda fallar y qu\u00e9 capacidad existe para mantener el servicio.<\/p>\n\n\n\n
Un contrato de importe reducido puede dar acceso a informaci\u00f3n sensible o sostener una parte indispensable de un proceso. El gasto, por s\u00ed solo, dice poco sobre las consecuencias de una interrupci\u00f3n.<\/p>\n\n\n\n
Por eso conviene empezar por el servicio y seguir sus dependencias. En el alta digital de clientes, por ejemplo, habr\u00eda que revisar qui\u00e9n verifica la identidad, qu\u00e9 informaci\u00f3n trata y qu\u00e9 alternativa existe si deja de funcionar. En seguros, el mismo ejercicio puede aplicarse a la gesti\u00f3n de siniestros o a los servicios de asistencia externalizados.<\/p>\n\n\n\n
La revisi\u00f3n tambi\u00e9n debe contemplar la exposici\u00f3n o alteraci\u00f3n de datos. Una plataforma puede seguir operativa mientras la informaci\u00f3n de clientes o asegurados est\u00e1 comprometida.<\/p>\n\n\n\n
Tambi\u00e9n hay que comprobar cu\u00e1nto tiempo llevar\u00eda sustituir al proveedor y de qui\u00e9n depende a su vez. Dos empresas contratadas por separado podr\u00edan utilizar una misma infraestructura subcontratada. En ese caso, la alternativa prevista podr\u00eda verse afectada por el mismo incidente.<\/p>\n\n\n\n
Ser cr\u00edtico describe el impacto que un proveedor puede tener sobre la entidad.<\/strong> Para valorar su riesgo cibern\u00e9tico, adem\u00e1s, hay que analizar su exposici\u00f3n, sus controles y la capacidad de respuesta y recuperaci\u00f3n. Un proveedor bien protegido puede seguir siendo una dependencia dif\u00edcil de sustituir.<\/p>\n\n\n\n El cuestionario permite conocer c\u00f3mo organiza el proveedor su seguridad: qui\u00e9n tiene responsabilidades, c\u00f3mo controla los accesos o c\u00f3mo gestiona los incidentes. Su utilidad aumenta cuando las respuestas se contrastan con evidencias adecuadas al servicio contratado.<\/p>\n\n\n\n Si declara que dispone de copias de seguridad, interesa conocer el resultado de una prueba de restauraci\u00f3n. Si aporta una certificaci\u00f3n, hay que revisar su alcance y vigencia. Y si presenta un plan de continuidad, conviene comprobar qu\u00e9 servicio cubre y si sus tiempos de recuperaci\u00f3n encajan con las necesidades de la entidad. Una recuperaci\u00f3n prevista en veinticuatro horas puede resultar insuficiente para una operaci\u00f3n que solo tolera dos horas de interrupci\u00f3n.<\/p>\n\n\n\n Esta revisi\u00f3n necesita complementarse con informaci\u00f3n que permita detectar cambios entre evaluaciones. La exposici\u00f3n de un sistema a internet, una vulnerabilidad conocida o una nueva amenaza pueden justificar una revisi\u00f3n antes de la siguiente renovaci\u00f3n contractual.<\/p>\n\n\n\n Las se\u00f1ales externas deben interpretarse con cuidado: hay que confirmar que corresponden al proveedor y al servicio relevante. Una puntuaci\u00f3n ayuda a priorizar, pero por s\u00ed sola no demuestra que se haya producido una brecha ni permite verificar todos los controles internos.<\/p>\n\n\n\n Cuando falta una evidencia o no puede verificarse un dato, esa incertidumbre debe quedar visible en la evaluaci\u00f3n y tener un responsable que la resuelva.<\/p>\n\n\n\n La pregunta que orienta el trabajo es concreta: \u00bftenemos evidencias suficientes para confiar en este proveedor para este servicio y bajo estas condiciones?<\/strong><\/p>\n\n\n\n Volvamos al proveedor de verificaci\u00f3n de identidad. Supongamos que la monitorizaci\u00f3n externa detecta una posible vulnerabilidad en un activo asociado a su organizaci\u00f3n.<\/p>\n\n\n\n La primera tarea es validar el hallazgo con el proveedor y determinar si afecta al servicio contratado. Si se confirma, Ciberseguridad debe valorar la exposici\u00f3n y las medidas necesarias. El responsable del servicio debe comprobar el impacto operativo y la alternativa disponible. Compras coordinar\u00e1 los compromisos con el proveedor, con la participaci\u00f3n de Riesgos y Cumplimiento que corresponda.<\/p>\n\n\n\n El resultado deber\u00eda quedar en un plan de acci\u00f3n con responsable, plazo y evidencia de cierre. Mientras se corrige el problema, puede ser necesario reforzar controles o preparar una medida de continuidad. La respuesta depender\u00e1 de la gravedad del hallazgo y del impacto sobre la entidad.<\/p>\n\n\n\n Esta supervisi\u00f3n forma parte de la relaci\u00f3n con el proveedor. El marco de ciberseguridad NIST CSF 2.0<\/a> recoge la priorizaci\u00f3n de terceros por criticidad, el seguimiento del riesgo durante la relaci\u00f3n y la participaci\u00f3n de proveedores relevantes en la respuesta y recuperaci\u00f3n ante incidentes.<\/p>\n\n\n\n Para saber si el proceso funciona, conviene revisar cu\u00e1ntas acciones de riesgo elevado siguen vencidas, qu\u00e9 dependencias carecen de una alternativa probada y cu\u00e1nto se tarda en validar y resolver un hallazgo. As\u00ed se puede comprobar si la supervisi\u00f3n est\u00e1 reduciendo la exposici\u00f3n.<\/p>\n\n\n\n DORA es aplicable desde el 17 de enero de 2025 a las entidades financieras incluidas en su \u00e1mbito. En la gesti\u00f3n de terceros TIC, exige mantener un registro actualizado de los acuerdos contractuales, evaluar los riesgos y establecer las condiciones de control correspondientes. Para los servicios que sustentan funciones esenciales o importantes, contempla requisitos adicionales, incluidas estrategias de salida. La entidad conserva la responsabilidad sobre sus obligaciones aunque contrate servicios externos.<\/p>\n\n\n\n Conviene distinguir la criticidad que una entidad atribuye a una dependencia de la designaci\u00f3n formal de proveedores terceros esenciales de servicios TIC que realizan las autoridades europeas. Un proveedor puede ser determinante para una entidad sin haber recibido esa designaci\u00f3n. Son planos distintos de evaluaci\u00f3n y supervisi\u00f3n. DORA, art\u00edculos 28 a 31 y 64<\/a>.<\/p>\n\n\n\n Cuando varias entidades utilizan un mismo proveedor, parte de las preguntas y evidencias que necesitan pueden coincidir. Reutilizar informaci\u00f3n revisada permite dedicar m\u00e1s atenci\u00f3n a las particularidades de cada servicio y a las carencias detectadas.<\/p>\n\n\n\n La Comunidad Banking & Insurance de Achilles<\/a> re\u00fane a entidades financieras, aseguradoras y proveedores bajo criterios comunes de evaluaci\u00f3n. Achilles revisa y valida la informaci\u00f3n y las evidencias aportadas seg\u00fan el alcance definido. Esa base facilita comparar informaci\u00f3n y seguir acciones de mejora, mientras cada entidad puede incorporar sus propios requisitos.<\/p>\n\n\n\nQu\u00e9 necesita demostrar una evaluaci\u00f3n de ciberseguridad<\/h2>\n\n\n\n
Qu\u00e9 hacer cuando aparece una se\u00f1al de riesgo<\/h2>\n\n\n\n
Qu\u00e9 implica DORA para el control de terceros TIC<\/h2>\n\n\n\n
El valor de trabajar con una base compartida<\/h2>\n\n\n\n