Los proveedores suelen tener acceso privilegiado a sistemas internos, almacenar grandes repositorios de propiedad intelectual y procesar información de identificación personal (PII) sensible. Con aproximadamente una de cada tres brechas originadas en un proveedor, la gestión de riesgos de terceros (TPRM) es fundamental.

Cuando un proveedor del que dependes sufre una brecha, los reguladores por lo general te consideran responsable a ti —el controlador de datos o cliente—, lo que implica multas y demandas. En 2025, el costo promedio de una brecha en EE. UU. aumentó a $10,22 millones (muy por encima del promedio global de $4,4 millones). Según IBM, este aumento se debe, al menos en parte, a mayores multas regulatorias. Si bien tu responsabilidad depende de tu contrato, la jurisdicción y las leyes específicas, en cuanto a la percepción pública, una brecha es una brecha. Tú cargas con la mayor parte del daño a la reputación, sin importar el papel del proveedor en la brecha.

En un panorama de amenazas que evoluciona rápidamente, las listas de verificación de cumplimiento estáticas ya no son suficientes. Las organizaciones deben adoptar un nuevo modelo para la gestión de riesgos cibernéticos de terceros.

Evaluar el cumplimiento del riesgo de terceros implica varios criterios clave:

Almacenamiento, transmisión y acceso a los datos

¿Dónde almacena físicamente el proveedor tus datos? Las transferencias de datos transfronterizas pueden estar sujetas a múltiples jurisdicciones, lo que complica el cumplimiento, a menos que el proveedor ofrezca opciones de residencia de datos.

¿Qué estándares de cifrado se utilizan?

• Datos en reposo: Los proveedores deben usar cifrado sólido y moderno (por ejemplo, AES-256 cuando corresponda) y planes claros de agilidad criptográfica.
• Datos en tránsito: Los datos que se mueven entre el cliente y el proveedor, o entre los microservicios internos del proveedor, deben cifrarse con TLS 1.2+ (se prefiere TLS 1.3).

El cifrado es tan fuerte como la gestión de claves. Idealmente, el proveedor debería admitir claves administradas por el cliente (CMK) o usar módulos de seguridad de hardware (HSM) para gestionar de forma segura las claves de cifrado.

Gestión de identidad y acceso (IAM) y MFA

El robo de credenciales sigue siendo uno de los principales vectores de ataque, y representa el 22% de las filtraciones. Los proveedores deben aplicar controles de identidad y acceso, incluyendo MFA obligatoria (especialmente MFA resistente a phishing) para todo acceso a los datos del cliente y para el propio acceso administrativo interno del proveedor. El control de acceso basado en roles (RBAC) limita aún más quién tiene derechos administrativos.

Registro, monitoreo y respuesta a incidentes

¿El proveedor recopila registros inmutables? ¿Puede exportarlos a tu SIEM? Sin registros, el análisis forense es imposible. Si un proveedor no puede decirte qué se accedió durante una filtración, debes asumir lo peor. Esto infla los costos de notificación y la responsabilidad legal. Confirma que la retención de registros cumpla con tus necesidades regulatorias (PCI requiere un año, la guía de HIPAA/NIST a menudo implica una retención más larga).

¿El proveedor tiene un plan de respuesta a incidentes (IR)? ¿Ha sido probado? Verifica sus protocolos de notificación. Muchos contratos dicen “sin demora indebida”, lo que puede significar semanas. Busca un proveedor que te notifique dentro de las 24 a 72 horas posteriores al descubrimiento (no a la confirmación). Algunas regulaciones exigen plazos específicos.

Parchado y gestión de vulnerabilidades

La explotación de vulnerabilidades (incluyendo sistemas sin parches) representó el 20% de las filtraciones en 2025, un aumento del 34% respecto al año anterior. Asegúrate de que los proveedores tengan SLA de parchado claros en su contrato. La guía pública varía (por ejemplo, CISA recomienda 15 días para problemas críticos y 30 días para problemas altos), mientras que las organizaciones a menudo adoptan plazos más rápidos para zero-days activamente explotados. Acuerda plazos que coincidan con tu tolerancia al riesgo y tus obligaciones regulatorias.

Certificaciones de seguridad y requisitos regulatorios

Las certificaciones son indicaciones útiles de cumplimiento, pero requieren una interpretación matizada. Por ejemplo, al evaluar la certificación SOC 2, busca un proveedor con un reporte Tipo 2, que evalúa la efectividad operativa de los controles a lo largo de un período (generalmente de 6 a 12 meses), en lugar de solo medir el diseño de los controles en un momento puntual, como hace el Tipo 1.

ISO 27001 demuestra un sistema formal de gestión de seguridad de la información y puede respaldar los esfuerzos de cumplimiento de privacidad, pero por sí solo no garantiza el cumplimiento legal con CCPA, HIPAA, etc. Aún necesitarás atestaciones o controles del proveedor específicos para esas leyes.

Confirmar estos requisitos de seguridad puede ser todo un desafío, ya que los proveedores podrían no ser del todo transparentes sobre sus debilidades. La evaluación tampoco es una tarea única ni siquiera periódica: es un proceso continuo.

Para comenzar a evaluar el cumplimiento de TPRM, envía cuestionarios o listas de verificación de seguridad. Los cuestionarios de recopilación de información estándar (SIG) y el cuestionario de iniciativa de evaluación por consenso (CAIQ) son estándares de la industria, pero pueden causar “fatiga de respuesta”. Evita esto ajustando la profundidad del cuestionario al nivel de riesgo del proveedor, según factores como la sensibilidad de los datos que maneja, el nivel de acceso que tiene a los sistemas y qué tan críticos son sus servicios para tus operaciones. No te limites a confiar en las respuestas: solicita documentación, incluidas políticas, informes de auditoría y planes de respuesta a incidentes, que respalden las afirmaciones. En algunos casos, puedes usar herramientas de escaneo externas para la validación.

Por último, confirma cómo manejan los proveedores a los subcontratistas y el intercambio de datos. ¿Hacen cumplir contractualmente tus requisitos de seguridad hasta sus subcontratistas? La brecha de datos de la aerolínea Qantas en 2025, que expuso 5,7 millones de registros de clientes, se debió a una API pública explotada en el sistema del proveedor. La gestión de riesgos de cuarto nivel es un componente crucial del cumplimiento normativo de los proveedores.

El riesgo de terceros es dinámico. Un proveedor que es seguro en enero puede verse comprometido en junio debido a una nueva vulnerabilidad de zero-day o a una fusión que diluye su cultura de seguridad. Para un vector de ataque primario, las reevaluaciones anuales no son suficientes. En su lugar, usa herramientas de monitoreo continuo. Los servicios de calificación de seguridad como SecurityScorecard o BitSight escanean de forma pasiva los activos de los proveedores expuestos a internet para dar alertas en tiempo real sobre certificados SSL vencidos, puertos abiertos y listas de bloqueo de malware.

Las organizaciones también pueden usar evaluaciones basadas en eventos desencadenantes, por ejemplo, si el proveedor es adquirido, se anuncia una vulnerabilidad importante en su stack tecnológico, o sufre un incidente de seguridad.

Asegúrate de que tu contrato defina con claridad las expectativas de seguridad y generación de informes de brechas. Exige la notificación entre 24 y 72 horas después del descubrimiento, no de la confirmación. Otras consideraciones incluyen:

• Derecho de auditoría: Incluye una cláusula que te permita realizar una auditoría o un escaneo independiente del entorno del proveedor si surge una amenaza creíble.
• Responsabilidad e indemnización: Asegúrate de que el proveedor sea financieramente responsable de los costos de una brecha que cause, incluido el monitoreo de crédito para los clientes afectados, los honorarios legales y las multas regulatorias.
• Seguro cibernético: Exige que el proveedor cuente con un seguro de responsabilidad cibernética suficiente.

Por último, acuerda un proceso concreto de desvinculación para que no queden cabos sueltos al finalizar tu colaboración. Exige un certificado de destrucción que confirme que todos los datos del cliente fueron eliminados. Revoca de inmediato todas las claves VPN, los tokens de API y las cuentas de usuario.

Incluso con un marco sólido implementado, los problemas sistémicos pueden debilitar el cumplimiento de la seguridad de terceros. Un problema que sigue afectando a los proveedores, especialmente a las SMB, es la idea errónea de que son demasiado pequeños u oscuros para ser blanco de ataques. La verdad es todo lo contrario: los atacantes se enfocan específicamente en proveedores SMB porque son una puerta de entrada a empresas más grandes (lo que se conoce como "island hopping").

Otro factor que debilita la seguridad es que los empleados introducen TI en la sombra, en especial IA, en las redes. Las herramientas de IA no autorizadas tuvieron un papel en el 20% de las filtraciones del año pasado.

Posiblemente, el aspecto más angustiante de la gestión de riesgos de terceros es el problema de la caja negra. Una vez que compartes tus datos con un socio, tienes poca visibilidad sobre cómo se usan. Más allá de los marcos que tengas implementados, hasta cierto punto das un salto de fe confiando en que tus proveedores cumplirán con su parte en la gestión del riesgo mutuo. Ahí es donde entran las herramientas que detectan amenazas relacionadas con proveedores.

Managed EDR, SIEM e ITDR de Huntress ayudan a las empresas a monitorear la actividad relacionada con proveedores, detectar el uso indebido de identidades y detectar amenazas que se filtran a través del acceso de terceros. Descubre cómo nuestra plataforma y nuestro SOC disponible las 24/7 pueden ayudar a protegerte contra el riesgo de terceros y a cerrar uno de los vectores de ataque más comunes de los hackers.