Diligencia debida de proveedores: un proceso para muchos marcos

Todos los marcos relevantes le exigen gestionar el riesgo de proveedores, como muestra nuestra comparativa de requisitos sobre proveedores y riesgo en la cadena de suministro. Los requisitos se solapan tanto que un único proceso, diseñado una sola vez, puede satisfacerlos todos. Esta es una estructura que lo consigue.

Paso 1: un único inventario

Relacione todos los proveedores con acceso a sus sistemas, datos o instalaciones y, para cada uno, indique: a qué se dedican, qué datos tratan y qué marcos entran en juego por ello (datos de titulares de tarjetas para PCI DSS, ePHI para HIPAA, datos personales para GDPR [RGPD], servicios que dan soporte a un servicio regulado por NIS2). PCI DSS (12.8.1), ISO 27001 (A.5.19) y los CIS Controls (15.1) parten todos de este punto.

Paso 2: clasificarlos por niveles

• Nivel 1: acceso a datos sensibles o a sistemas de producción, o críticos para su servicio.
• Nivel 2: acceso limitado o criticidad moderada.
• Nivel 3: sin acceso a datos sensibles; impacto bajo si fallan.

La clasificación por niveles es lo que mantiene el proceso proporcionado. CIS lo denomina clasificar proveedores de servicios (15.3).

Paso 3: evaluar según el nivel

• Nivel 1: un informe de aseguramiento independiente que cubra el servicio que utiliza (informe SOC 2 Tipo II o certificado ISO 27001 con alcance pertinente), más un cuestionario breve sobre lo que el informe no cubre. Lea el informe: alcance, periodo, excepciones, exclusiones y los controles que se espera que usted aplique.
• Nivel 2: un cuestionario estándar o el informe, si el proveedor dispone de uno.
• Nivel 3: una comprobación básica en el momento del alta.

Paso 4: contratar una vez, cubriendo todo

Redacte cláusulas de seguridad que cubran todos los marcos a la vez:

• Obligaciones de seguridad proporcionadas al servicio.
• Notificación de brechas a usted, con un plazo lo bastante corto para cumplir sus propias obligaciones (24 horas de NIS2, 72 de GDPR [RGPD]).
• Cláusulas del artículo 28 del GDPR [RGPD] cuando traten datos personales por cuenta suya; un acuerdo de socio comercial cuando sea aplicable HIPAA.
• Derechos de auditoría o evaluación, y devolución o supresión de datos al finalizar la relación.
• Para PCI DSS, reconocimiento de sus responsabilidades sobre los datos de titulares de tarjetas (12.8.2) y una distribución documentada de responsabilidades (12.8.5).

Paso 5: supervisar y dar de baja

Reevalúe a los proveedores de Nivel 1 cada año (PCI DSS exige una supervisión anual del cumplimiento de los proveedores de servicios, 12.8.4), a los de Nivel 2 cada uno o dos años, y reaccione ante incidentes y cambios. Al finalizar la relación, revoque los accesos, recupere o elimine los datos y deje constancia de ello (CIS 15.7).

Un cuestionario breve que funciona

Para los proveedores sin un informe de aseguramiento independiente, un cuestionario breve es mejor que uno largo, porque las personas responden bien a los breves. Diez preguntas cubren la mayor parte de lo que pide cualquier marco:

1. ¿Qué información nuestra accederá, almacenará o tratará, y dónde?
2. ¿Dispone de un informe SOC 2 vigente o de un certificado ISO 27001 que cubra este servicio?
3. ¿Se exige MFA para todo acceso a sistemas que contengan nuestros datos?
4. ¿Con qué rapidez se aplican los parches de vulnerabilidades críticas?
5. ¿Están cifrados nuestros datos en reposo y en tránsito?
6. ¿Se realizan copias de seguridad, están protegidas y se prueban?
7. ¿Cómo y con qué rapidez nos notificará un incidente que afecte a nuestros datos?
8. ¿Qué subcontratistas tratan nuestros datos?
9. ¿Cómo se devuelven o eliminan nuestros datos cuando termina el contrato?
10. ¿Quién es su contacto de seguridad?

Asocie cada respuesta a sus requisitos una sola vez y reutilice esa asociación con todos los proveedores. El análisis de brechas y el tema de riesgo en la cadena de suministro muestran cómo formula cada marco estos requisitos.

Conclusiones clave

• Un único inventario de proveedores, clasificado por riesgo, sirve a todos los marcos.
• Acepte los informes independientes cuando su alcance encaje, y léalos.
• Redacte las cláusulas contractuales una vez para cubrir todas las obligaciones.

Un registro por proveedor

Guarde todo (nivel, evaluaciones, informes revisados, cláusulas contractuales, revisiones) en un único lugar por proveedor. Los auditores de cada marco podrán así encontrar sus evidencias en el mismo registro.

La página del tema Riesgo de proveedores recoge cada requisito con su fuente, y nuestra entrada sobre por qué "certificado SOC 2" es la pregunta equivocada explica cómo leer los informes de proveedores.

Preguntas

¿Puedo aceptar el informe SOC 2 de un proveedor en lugar de un cuestionario?

A menudo, sí, si el informe es de Tipo II, reciente, cubre el servicio que utiliza, y usted revisa las excepciones y los controles complementarios de entidad usuaria. Un informe que no cubre su servicio le dice poco.

¿Qué marcos exigen que los contratos con proveedores incluyan cláusulas de seguridad?

ISO 27001 (A.5.20), PCI DSS (12.8.2), el GDPR [RGPD] para encargados del tratamiento (artículo 28), los acuerdos de socio comercial de HIPAA y las medidas de cadena de suministro de NIS2 exigen todos cláusulas de seguridad en los acuerdos con proveedores.

¿Con qué frecuencia deben reevaluarse los proveedores?

Los proveedores críticos al menos una vez al año (PCI DSS exige una supervisión anual del cumplimiento de los proveedores de servicios), los demás cada uno o dos años, y cualquier proveedor tras un incidente significativo o un cambio en el servicio.