¿Qué es un programa de gestión de riesgos de proveedores?

Un programa de gestión de riesgos de proveedores evalúa los riesgos de proveedores externos a lo largo del ciclo de vida empresarial. Conozca los componentes de VRM, la monitorización continua y las mejores prácticas.

¿Qué es un programa de gestión de riesgos de proveedores?

Tu proveedor acaba de convertirse en tu punto de brecha. A las 2:47 AM, los atacantes se desplazan a través de las credenciales comprometidas de un contratista hacia tu entorno de producción. Tu pila de seguridad no lo detectó porque la amenaza se originó desde un tercero de confianza con acceso legítimo.

Un programa de gestión de riesgos de proveedores es una práctica estructurada de ciberseguridad para evaluar y controlar los riesgos introducidos por proveedores externos a lo largo del ciclo de vida de la relación comercial. Según el Glosario de TI de Gartner, VRM se define formalmente como "el proceso de garantizar que el uso de proveedores de servicios y proveedores de TI no cree un potencial inaceptable de interrupción del negocio o un impacto negativo en el desempeño empresarial".

Las cifras demuestran por qué el VRM es importante. El informe IBM 2024 Cost of a Data Breach, que analiza 604 organizaciones en 17 países, encontró que el 59% de las organizaciones experimentaron una brecha de datos causada por un tercero en 2024. Esto marca la primera vez que la mayoría de las brechas se originan en relaciones con proveedores en lugar de ataques directos a tu perímetro.

Los incidentes del mundo real ilustran estos riesgos. La brecha de SolarWinds en 2020 comprometió a más de 18,000 organizaciones, incluidas nueve agencias federales y más de 100 empresas privadas, cuando los atacantes insertaron código malicioso en la actualización de software de Orion. La brecha de Target en 2013 se originó a partir de las credenciales comprometidas de un proveedor de HVAC, lo que resultó en el robo de 40 millones de números de tarjetas de crédito y $162 millones en costos relacionados con la brecha.

No controlas la postura de seguridad de tus proveedores, pero eres responsable de las consecuencias cuando fallan. Tu programa de VRM determina si las relaciones con terceros fortalecen tu arquitectura de seguridad o crean puntos ciegos sistemáticos que los atacantes explotan.

Cómo se relacionan los programas de gestión de riesgos de proveedores con la ciberseguridad

La gestión de riesgos de proveedores opera como un componente central de la gestión de riesgos de la cadena de suministro. El Computer Security Resource Center de NIST define C-SCRM como la ayuda a "las organizaciones para gestionar el creciente riesgo de compromiso de la cadena de suministro relacionado con la ciberseguridad, ya sea intencional o no intencional".

Tu superficie de ataque se extiende mucho más allá de tu firewall. Cada conexión de proveedor, cada VPN de contratista, cada integración de servicio en la nube representa una posible vía de compromiso. El DBIR 2024 de Verizon, que analiza 10,626 brechas confirmadas en 94 países, documentó que los ataques a la cadena de suministro aumentaron significativamente en comparación con 2023.

Los programas de VRM abordan tres dimensiones de seguridad:

• Gobernanza: Establecer control sobre quién se conecta a tu entorno y bajo qué condiciones de seguridad
• Visibilidad: Proporcionar información continua sobre las posturas de seguridad de los proveedores que cambian entre evaluaciones anuales
• Responsabilidad: Crear marcos contractuales que definan obligaciones de seguridad, requisitos de notificación de brechas y coordinación de respuesta a incidentes

Sin un VRM sistemático, defiendes un perímetro indefinido donde las credenciales de proveedores de confianza brindan a los atacantes acceso autenticado a tus sistemas más sensibles.

Tipos de riesgos de proveedores

Antes de construir tu programa de VRM, necesitas entender contra qué te estás protegiendo. Tus proveedores introducen categorías de riesgo que van más allá de la ciberseguridad hacia los ámbitos operativos, financieros y estratégicos. Comprender estas categorías permite enfoques de evaluación y monitoreo dirigidos.

1. Riesgo de ciberseguridad y brecha de datos representa la amenaza más inmediata. Los proveedores con acceso a la red, responsabilidades de procesamiento de datos o puntos de integración de software crean vectores de ataque hacia tu entorno. Las brechas de SolarWinds y Target demuestran cómo los atacantes explotan conexiones de proveedores de confianza para evadir las defensas perimetrales.
2. Riesgo operativo y de continuidad del negocio surge cuando las interrupciones en los servicios del proveedor afectan tu capacidad para entregar productos o servicios. Las caídas de proveedores en la nube, las disrupciones en la cadena de suministro o la quiebra de un proveedor pueden detener las operaciones independientemente de tus capacidades internas.
3. Riesgo de cumplimiento y regulatorio se transfiere a tu organización cuando los proveedores no mantienen las certificaciones requeridas o violan regulaciones aplicables. HIPAA, PCI DSS, GDPR y requisitos específicos de la industria aplican a los proveedores que manejan tus datos. Tu postura de cumplimiento depende del cumplimiento de los proveedores.
4. Riesgo reputacional se materializa cuando los fallos de los proveedores se convierten en incidentes públicos atribuidos a tu organización. Los clientes y reguladores te consideran responsable de los fallos de seguridad de los proveedores que afectan sus datos, independientemente de dónde ocurrió realmente la brecha.
5. Riesgo de concentración se desarrolla cuando funciones críticas del negocio dependen de proveedores únicos sin alternativas. La dependencia excesiva de un proveedor de nube, un procesador de pagos o un socio logístico crea puntos únicos de falla que la diversificación de proveedores puede abordar.
6. Riesgo financiero y de crédito afecta la estabilidad y viabilidad a largo plazo del proveedor. Los proveedores en dificultades financieras pueden reducir inversiones en seguridad, perder personal clave o cesar operaciones por completo, dejándote sin servicios o soporte críticos.

Tu metodología de evaluación de riesgos debe abordar cada categoría con criterios de evaluación apropiados y una frecuencia de monitoreo alineada al impacto en el negocio.

Componentes clave de un programa de gestión de riesgos de proveedores

Gestionar estas diversas categorías de riesgo requiere un programa estructurado. Tu programa de VRM requiere seis componentes interconectados que transforman las relaciones con proveedores de pasivos de seguridad en riesgos gestionables.

• Marco de gobernanza y políticas: NIST Cybersecurity Framework 2.0, publicado el 26 de febrero de 2024, establece la Gestión de Riesgos de la Cadena de Suministro de Ciberseguridad (GV.SC) como una categoría dedicada dentro de la función GOVERN. Esto requiere responsabilidad del consejo directivo para el riesgo de terceros. Tu consejo y alta dirección asumen la responsabilidad final, incluyendo el establecimiento del apetito de riesgo, estructuras de gobernanza y mecanismos de supervisión.
• Inventario de proveedores y clasificación de riesgos: No puedes proteger lo que no puedes ver. NIST SP 800-161 Rev. 1 requiere la identificación sistemática de proveedores a través de programas de visibilidad de la cadena de suministro. Tu segmentación basada en riesgos determina la profundidad de la evaluación: los proveedores críticos reciben monitoreo continuo mientras que los proveedores de bajo riesgo reciben una supervisión mínima.
• Diligencia debida y evaluación de riesgos: Tus procesos de evaluación valoran las capacidades de seguridad del proveedor antes de conceder acceso. El borrador propuesto de NIST para terceros requiere una diligencia debida exhaustiva sobre terceros prospectivos acorde al nivel de riesgo, evaluación de capacidades tecnológicas y de ciberseguridad, y validación de que los productos de terceros cumplen con tus requisitos de seguridad.
• Gestión contractual y asignación de riesgos: Los contratos definen obligaciones de seguridad exigibles en lugar de compromisos aspiracionales. CISA enfatiza que "las organizaciones deben definir los privilegios y niveles de acceso requeridos del proveedor antes de la adjudicación del contrato" para garantizar que los proveedores puedan cumplir con los requisitos de seguridad antes de iniciar la relación.
• Monitoreo continuo y reevaluación: Las evaluaciones puntuales quedan obsoletas al día siguiente de su finalización. El borrador propuesto de NIST requiere monitorear a los proveedores críticos para confirmar que cumplen con las obligaciones y realizar revisiones periódicas. Tu programa de monitoreo rastrea cambios en la postura de seguridad, vencimientos de certificaciones de cumplimiento y vulnerabilidades emergentes en sistemas proporcionados por proveedores.
• Respuesta a incidentes y terminación de la relación: Tu programa de VRM anticipa compromisos de proveedores y finalización de relaciones. Esto incluye requisitos de notificación de brechas, coordinación forense, asistencia en reportes regulatorios y procedimientos seguros de devolución de datos al finalizar la relación.

En conjunto, estos componentes crean un marco para gestionar el riesgo de proveedores de manera sistemática en lugar de reactiva.

Cómo funciona un programa de gestión de riesgos de proveedores

Estos seis componentes operan dentro de un ciclo de vida estructurado. Tu ciclo de vida de VRM abarca cinco fases distintas que transforman las relaciones con proveedores desde la evaluación inicial hasta la supervisión continua.

Fase de planificación: Defines el alcance de la relación y la criticidad antes de iniciar la selección de proveedores. Esto incluye requisitos regulatorios, niveles de tolerancia al riesgo y metodología de evaluación basada en la clasificación por niveles de proveedores.

Diligencia debida y selección: Evalúas la capacidad del proveedor mediante la evaluación de estabilidad financiera, evaluación de la postura de ciberseguridad y verificación de certificaciones de cumplimiento. Según SOC 2 Common Criteria CC9.2, las organizaciones deben evaluar la seguridad de los proveedores mediante cuestionarios, certificaciones e informes SOC antes de iniciar la relación.

Negociación contractual: Integras requisitos de seguridad en acuerdos vinculantes, incluyendo:

• Requisitos específicos de controles de seguridad
• Definiciones de SLA con métricas de desempeño
• Asignación de responsabilidad por fallos de seguridad
• Derechos de auditoría y evaluación
• Plazos de notificación de brechas

Monitoreo continuo: Rastrear la postura de seguridad del proveedor mediante reevaluaciones programadas y monitoreo externo continuo. Para proveedores críticos, esto incluye revisar informes SOC actualizados cuando se emiten, monitorear incidentes de seguridad o interrupciones de servicio y rastrear el cumplimiento de SLA frente a los compromisos contractuales.

Terminación: Ejecutas una desvinculación estructurada con protecciones de seguridad de datos al finalizar la relación. Esto implica verificar los procedimientos de saneamiento de datos, revocar todas las credenciales de acceso y validar la finalización de los procedimientos de salida.

De estas fases, el monitoreo continuo representa el mayor desafío operativo—y la mayor oportunidad de mejora.

Monitoreo continuo para el riesgo de proveedores

Las evaluaciones puntuales capturan la postura de seguridad del proveedor en un solo día mientras las amenazas evolucionan continuamente. El monitoreo continuo aborda esta brecha al rastrear indicadores de riesgo de proveedores en tiempo real en lugar de anualmente.

• Monitoreo de postura de seguridad rastrea indicadores externos de la salud cibernética del proveedor. Servicios de calificación de seguridad como BitSight y SecurityScorecard proporcionan visibilidad continua sobre la cadencia de parches del proveedor, vulnerabilidades expuestas, infecciones de malware y credenciales comprometidas. Tu programa de monitoreo debe activar una reevaluación cuando las puntuaciones de seguridad del proveedor caen por debajo de los umbrales definidos.
• Seguimiento de cumplimiento y certificaciones monitorea fechas de vencimiento y estado de renovación de certificaciones de proveedores, incluyendo SOC 2, ISO 27001, PCI DSS y FedRAMP. Alertas automáticas notifican a tu equipo cuando las certificaciones se acercan a su vencimiento o cuando los proveedores pierden el estado de cumplimiento.
• Integración de inteligencia de amenazas correlaciona identificadores de proveedores con bases de datos de brechas, fuentes de monitoreo de la dark web y listas de actores de amenazas. La advertencia temprana de compromisos de proveedores permite una respuesta proactiva antes de que los atacantes se desplacen a tu entorno.
• Monitoreo de red y acceso detecta comportamientos anómalos de conexiones de proveedores dentro de tu entorno. La IA conductual identifica patrones de acceso inusuales, escenarios de viaje imposibles, intentos de escalamiento de privilegios y movimiento lateral desde cuentas y dispositivos asociados a proveedores.
• Monitoreo de salud financiera rastrea indicadores de estabilidad del proveedor, incluyendo calificaciones crediticias, cobertura en medios, cambios de liderazgo y acciones regulatorias. La advertencia temprana de dificultades financieras permite la planificación de contingencias antes de interrupciones en el servicio.

Tu implementación requiere umbrales definidos que activen acciones. Establece procedimientos de escalamiento para:

1. Disminuciones en la calificación de seguridad superiores al 10%
2. Vencimiento de certificaciones dentro de 90 días
3. Coincidencias de inteligencia de amenazas en identificadores de proveedores
4. Anomalías conductuales desde puntos de acceso de proveedores

Integra los resultados del monitoreo con tus flujos de trabajo de respuesta a incidentes para garantizar una investigación rápida cuando los indicadores sugieran un compromiso de proveedor.

Beneficios clave de los programas de gestión de riesgos de proveedores

Cuando se implementa de manera efectiva, tu programa de VRM ofrece valor empresarial medible en cumplimiento regulatorio, reducción de riesgos financieros y resiliencia operativa.

1. Cumplimiento regulatorio y alineación con marcos: Cumples con requisitos regulatorios cada vez más estrictos mediante la implementación sistemática de VRM. Tres marcos federales principales guían los programas de VRM: NIST SP 800-161 para la gestión de riesgos de la cadena de suministro cibernética, NIST CSF 2.0 que incorpora el riesgo de la cadena de suministro como función central a través de la categoría dedicada GV.SC, y NIST SP 800-53 para controles de seguridad fundamentales. Para instituciones financieras, la alineación con la Guía Interinstitucional 2023 emitida por la Reserva Federal, FDIC y OCC se vuelve obligatoria.
2. Reducción cuantificable del riesgo y costo de brechas: Tu programa de VRM detiene ataques antes de que lleguen a sistemas críticos. El informe IBM 2024 encontró que el costo promedio de una brecha relacionada con proveedores alcanzó los $4.91 millones por incidente. Las organizaciones que implementan IA en operaciones de seguridad ahorran en promedio $2.2 millones en costos de brechas en comparación con organizaciones que dependen de procesos manuales.
3. Mayor visibilidad y continuidad del negocio: Obtienes conocimiento de las rutas de acceso de terceros que el seguimiento manual no puede mantener. Tu programa de VRM descubre dispositivos shadow IT de proveedores, rastrea equipos de contratistas en tu red, monitorea sensores IoT proporcionados por proveedores y detiene el movimiento lateral a través de endpoints de proveedores comprometidos.

Estos beneficios son significativos, pero alcanzarlos requiere superar varios obstáculos operativos.

Desafíos y limitaciones de los programas de gestión de riesgos de proveedores

• Escalabilidad más allá de la capacidad del programa: Tu portafolio de proveedores crece más rápido que las capacidades de evaluación. Según investigación de Gartner, la mayoría de las organizaciones han visto aumentos en terceros bajo contrato, y cada relación con un proveedor crea exposición indirecta a muchos más cuartos y quintos proveedores.
• Fatiga de evaluación de proveedores y falta de respuesta: Los proveedores a menudo tardan meses en responder a solicitudes de evaluación de riesgos, y muchos nunca responden. Continúas dependiendo de los servicios del proveedor mientras operas sin datos actuales de evaluación de riesgos.
• El riesgo de cuarto proveedor permanece en gran medida sin gestionar: Tu visibilidad se detiene en las relaciones directas con proveedores mientras las amenazas se originan en subcontratistas. NIST SP 800-161 Rev. 1 requiere enfoques multinivel de cadena de suministro, pero la complejidad operativa supera las capacidades actuales de la mayoría de los programas.

Reconocer estas limitaciones ayuda a explicar por qué muchos programas de VRM no cumplen sus objetivos.

Errores comunes en los programas de gestión de riesgos de proveedores

Cinco brechas de implementación socavan la efectividad del programa.

• Error 1: Dependencia de evaluaciones puntuales. Evalúas a los proveedores anualmente mientras las amenazas evolucionan continuamente. SOC 2 Common Criteria CC9.2 requiere explícitamente monitoreo continuo para mantener la conciencia de la postura de riesgo del proveedor. Tu cuestionario anual cumple con los requisitos de documentación pero no proporciona visibilidad durante los 364 días entre evaluaciones.
• Error 2: Segmentación y clasificación de riesgos inadecuadas. Aplicas procesos de evaluación uniformes sin importar la criticidad del proveedor. OCC Bulletin 2023-17 establece que "no todas las relaciones con terceros presentan el mismo nivel de riesgo o criticidad" para las operaciones. Tu proveedor de suministros de oficina requiere una supervisión diferente a tu proveedor de infraestructura en la nube con acceso directo a datos de clientes.
• Error 3: Ceguera ante el riesgo de cuarto proveedor. Detienes la supervisión en las relaciones directas mientras los atacantes comprometen subcontratistas. NIST SP 800-161 Rev. 1 requiere enfoques multinivel de cadena de suministro, pero careces de disposiciones contractuales que exijan la divulgación de subcontratistas o procesos de aprobación de subcontratistas materiales.
• Error 4: Controles contractuales de riesgo inadecuados. Tus contratos documentan servicios sin definir obligaciones de seguridad exigibles. La Guía Interinstitucional 2023 enfatiza la negociación contractual como parte del ciclo de vida de la relación. Puede que falten requisitos específicos de controles de seguridad, plazos de notificación de brechas y derechos de auditoría.
• Error 5: Procesos de diligencia debida insuficientes. Incorporas proveedores basándote en compromisos comerciales en lugar de capacidades de seguridad validadas. Una diligencia debida inadecuada en la incorporación inicial crea fallos de gestión de riesgos que persisten durante toda la relación.

La buena noticia: cada uno de estos errores tiene una contramedida probada.

Mejores prácticas para programas de gestión de riesgos de proveedores

Seis prácticas de implementación transforman los programas de VRM de ejercicios de documentación en controles operativos de seguridad.

Implementa segmentación basada en riesgos con supervisión diferenciada: Clasifica a los proveedores en niveles según el impacto en el negocio y la sensibilidad de los datos:

• Proveedores críticos: Monitoreo continuo mediante servicios de calificación de seguridad y revisiones trimestrales
• Proveedores de alto riesgo: Evaluaciones semestrales
• Proveedores de riesgo medio: Revisiones anuales
• Proveedores de bajo riesgo: Supervisión mínima solo en la renovación del contrato

Despliega programas de monitoreo continuo: Sustituye los cuestionarios anuales por el seguimiento en tiempo real de la postura de seguridad mediante servicios externos de calificación, monitoreo de vulnerabilidades y seguimiento de certificaciones de cumplimiento. Las herramientas de monitoreo autónomo analizan patrones de acceso de forma continua, detectando anomalías conductuales que indican compromiso de credenciales.

Establece gestión de riesgos de cuarto proveedor: Extiendes la visibilidad más allá de las relaciones directas mediante requisitos contractuales para la divulgación de subcontratistas, procesos de aprobación de subcontratistas materiales y obligaciones de seguridad transferidas. Tus contratos especifican que los proveedores deben notificarte cambios de subcontratistas materiales y obtener aprobación antes de involucrar subcontratistas críticos.

Integra requisitos de seguridad en los contratos: Tus acuerdos definen requisitos específicos de controles de seguridad alineados con la clasificación por niveles del proveedor, obligaciones de mantenimiento de certificaciones de cumplimiento, derechos de pruebas de seguridad incluyendo autorización para pruebas de penetración, plazos de notificación de brechas, procedimientos de coordinación de respuesta a incidentes y requisitos de soporte forense.

Despliega flujos de trabajo autónomos de evaluación e incorporación: Eliminas procesos manuales que generan cuellos de botella. Esto incluye procesamiento de cuestionarios de seguridad con enrutamiento inteligente, algoritmos de puntuación de riesgos que priorizan hallazgos de alto riesgo, flujos de trabajo autónomos para procesos de aprobación e integración con plataformas de monitoreo de seguridad.

Mapea todo el ecosistema de proveedores: Documenta todas las relaciones con proveedores, puntos de acceso y flujos de datos para comprender la exposición completa a terceros. Esta visibilidad permite inversiones de seguridad dirigidas y revela brechas que requieren controles adicionales.

Fortalece los programas de gestión de riesgos de proveedores con SentinelOne

Implementar estas mejores prácticas requiere herramientas de seguridad capaces de detectar amenazas originadas en conexiones de proveedores. Tu programa de VRM requiere capacidades autónomas de detección de amenazas que identifiquen compromisos originados en conexiones de proveedores antes de que los atacantes completen sus objetivos.

• Detección autónoma de amenazas con Purple AI: SentinelOne Purple AI proporciona un único plano de control impulsado por IA que escala la protección autónoma en toda la empresa. La plataforma obtuvo la autorización FedRAMP High, proporcionando certificación de seguridad a nivel federal. Continuando con el liderazgo de SentinelOne en MITRE ATT&CK 2024, donde logramos 100% de identificación de amenazas y 88% menos alertas, SentinelOne en 2025 introdujo Purple AI Athena, una IA agente que clasifica, investiga y remedia incidentes de seguridad de forma autónoma. Cuando las credenciales se ven comprometidas, la Protección de Credenciales Comprometidas de Singularity Identity detecta anomalías conductuales en los patrones de acceso y detiene intentos de movimiento lateral.
• Descubrimiento de dispositivos de proveedores no autorizados: Singularity Network Discovery amplía la funcionalidad de Sentinel Agent informando lo que detecta en las redes y permitiendo el bloqueo de dispositivos no autorizados. Singularity Network Discovery busca activamente equipos de proveedores desconocidos en tu red, proporcionando funcionalidad de VRM al encontrar dispositivos shadow IT de proveedores, monitorear conexiones de equipos de terceros no autorizados y rastrear sensores IoT proporcionados por proveedores.
• Seguridad de la cadena de suministro y visibilidad de terceros: Según la guía SBOM de SentinelOne, los Software Bills of Materials proporcionan visibilidad profunda que facilita a los expertos en seguridad encontrar posibles vulnerabilidades en la cadena de suministro de software. Rastrear componentes de software de terceros utilizados por proveedores, identificar vulnerabilidades de la cadena de suministro antes del despliegue y monitorear dependencias de software en soluciones proporcionadas por proveedores.
• Detección y respuesta extendidas para monitoreo unificado de proveedores: Singularity XDR ingiere datos de seguridad de cualquier fuente, brindando a los analistas visibilidad en todo tu ecosistema. Esta ingesta de datos de terceros permite el monitoreo unificado de rutas de acceso de proveedores en capas de identidad, nube, correo electrónico y seguridad de red. Consulta Singularity Marketplace para nuestras otras integraciones.

Tu Singularity Platform funciona como la capa de detección y respuesta de amenazas dentro de tus programas de VRM. La plataforma sobresale en identificar y neutralizar amenazas de conexiones de terceros, pero requiere integración con plataformas de VRM dedicadas para la puntuación de riesgos de proveedores, procesamiento de cuestionarios de seguridad, gestión contractual y flujos de trabajo de evaluación de proveedores.

Solicita una demostración de SentinelOne para ver cómo la identificación y respuesta autónoma de amenazas fortalece tu programa de gestión de riesgos de proveedores.

Puntos clave

Los programas de gestión de riesgos de proveedores abordan brechas originadas en relaciones con terceros que ahora representan el 59% de los incidentes de seguridad. Tu programa requiere segmentación basada en riesgos, monitoreo continuo exigido por NIST SP 800-161 Rev. 1 y visibilidad de cuartos proveedores en lugar de depender de cuestionarios anuales. 

Las mejores prácticas integran monitoreo continuo de la postura de seguridad, análisis conductual para detectar el compromiso de cuentas de proveedores y capacidades de detección de amenazas en tiempo real. Las organizaciones que utilizan seguridad impulsada por IA ahorran en promedio $2.2 millones en costos de brechas

Preguntas frecuentes

¿Qué es un programa de gestión de riesgos de proveedores?

Un programa de gestión de riesgos de proveedores es una práctica estructurada de ciberseguridad para identificar, evaluar y controlar los riesgos de seguridad introducidos por proveedores y terceros. 

El programa establece marcos de gobernanza, metodologías de evaluación, requisitos contractuales y procesos de monitoreo que abordan los riesgos relacionados con proveedores durante todo el ciclo de vida de la relación comercial, desde la debida diligencia inicial hasta la finalización de la relación.

¿Cuál es la diferencia entre la gestión de riesgos de proveedores y la gestión de riesgos de terceros?

La gestión de riesgos de proveedores se centra específicamente en los bienes y servicios adquiridos a proveedores comerciales, mientras que la gestión de riesgos de terceros abarca relaciones más amplias, incluidos socios comerciales, contratistas y afiliados. 

VRM suele enfatizar los procesos de adquisición y la gestión de contratos, mientras que TPRM aborda asociaciones estratégicas y relaciones dentro del ecosistema. En la práctica, la mayoría de las organizaciones utilizan estos términos de manera intercambiable, siendo menos relevante la terminología específica que la cobertura de las relaciones externas que generan exposición a ciberseguridad.

¿Con qué frecuencia se deben realizar evaluaciones de seguridad a los proveedores?

La frecuencia de las evaluaciones depende de la clasificación por niveles de los proveedores y del perfil de riesgo. Según el Boletín OCC 2023-17, los proveedores críticos con acceso a datos sensibles o sistemas críticos para el negocio requieren revisiones trimestrales con monitoreo continuo de la postura de seguridad. Los proveedores de alto riesgo necesitan evaluaciones semestrales, mientras que los proveedores de riesgo medio reciben revisiones anuales. 

Los proveedores de productos básicos de bajo riesgo requieren una supervisión mínima solo en la renovación del contrato. Los Criterios de Servicios de Confianza SOC 2 exigen un monitoreo continuo para mantener la conciencia sobre la postura de riesgo de los proveedores.

¿Qué controles de seguridad deben incluirse en los contratos con proveedores?

Sus contratos deben definir requisitos específicos de controles de seguridad alineados con la clasificación por niveles de proveedores, obligaciones de mantenimiento de certificaciones de cumplimiento, plazos de notificación de brechas entre 24 y 72 horas, derechos de auditoría y evaluación incluyendo la autorización para pruebas de seguridad por terceros, procedimientos de coordinación de respuesta a incidentes con rutas de escalamiento definidas, y requisitos de manejo de datos para almacenamiento, transmisión y destrucción. 

Incluya disposiciones para subcontratistas que requieran divulgación, aprobación y la transferencia de obligaciones de seguridad a terceros subcontratados.

¿Cómo pueden las organizaciones gestionar el riesgo de cuarta parte proveniente de subcontratistas de proveedores?

El riesgo de cuarta parte requiere disposiciones contractuales para la divulgación de subcontratistas antes de la contratación, procesos de aprobación de subcontratistas materiales para servicios críticos, requisitos de evaluación de riesgos de cuarta parte que trasladen las obligaciones del proveedor principal, y disposiciones de derecho de auditoría que se extiendan a los subcontratistas materiales. 

Implemente el mapeo de la cadena de suministro para servicios críticos que identifique todas las relaciones con subcontratistas, verifique que los requisitos de seguridad se trasladen a las cuartas partes y establezca requisitos de notificación cuando los proveedores cambien de subcontratistas materiales.

¿Qué métricas demuestran la eficacia de un programa de gestión de riesgos de proveedores?

Supervise el porcentaje de proveedores con evaluaciones de riesgos actuales completadas dentro de los plazos definidos, el tiempo promedio para completar evaluaciones de seguridad de proveedores desde la solicitud inicial, el cumplimiento de notificación de brechas por parte de proveedores midiendo el tiempo de respuesta frente a los requisitos contractuales, el porcentaje de proveedores críticos con monitoreo de seguridad continuo implementado y el número de incidentes de seguridad relacionados con proveedores en comparación con el volumen total de incidentes. 

Las métricas financieras incluyen el costo evitado por brechas de proveedores prevenidas y el retorno de inversión de las inversiones en capacidades autónomas que reducen el trabajo manual de evaluación.