- Inventario
- Quiénes son tus proveedores, qué servicio prestan, quién los administra en tu empresa y qué tocan: información, sistemas, datos personales o instalaciones.
- Criticidad
- Criterios simples para clasificar cada relación por su exposición (accesos, datos y dependencia de tu operación), no por el tamaño del proveedor.
- Requisitos por nivel
- Qué se le pide a cada nivel y qué evidencia se espera. Al de bajo riesgo se le pide poco; al crítico, más y con respaldo.
- Cláusulas
- Requisitos de seguridad y de datos personales para tus contratos: confidencialidad, aviso de incidentes, subcontratación y devolución o eliminación de datos al terminar. Los redacta o valida tu asesoría jurídica.
- Evaluación
- Cuestionarios proporcionales y revisión de evidencia, separando lo declarado, lo respaldado y lo pendiente.
- Seguimiento
- Recordatorios, planes de mejora con fecha y nueva revisión ante cambios, incidentes o renovación del contrato.
- Al terminar
- Retiro de accesos y devolución o eliminación de tu información.
- Duración y valor
- Se acuerdan antes de contratar, según cuántos proveedores entran y en qué etapa.
Requisitos por nivel
- Bajo
- Sin acceso a sistemas ni a datos personales, como un proveedor de insumos. Se pide un compromiso de confidencialidad.
- Medio
- Maneja datos personales o entra a tus instalaciones, como una empresa de aseo con listas de personal. Se pide un cuestionario breve, una cláusula de datos y aviso de incidentes.
- Alto
- Accede a tus sistemas o tu operación depende de él, como un proveedor de software o de nube. Se pide un cuestionario con evidencia, segundo factor, respaldos probados y un plan de mejoras con fecha.
Ejemplo ilustrativo, no corresponde a un cliente real. Los niveles y los requisitos se definen con tu empresa.
Después, si lo necesitas: Ley 21.719 para tus propios deberes como responsable de datos, CISO as a Service para que alguien dirija el programa en el tiempo y KRYVEX, que está en preparación.
Para tu área de riesgo y auditoría
- NIST CSF 2.0 · GV.SC-04 proveedores conocidos y priorizados por criticidad · GV.SC-05 requisitos en contratos · GV.SC-06 debida diligencia antes de contratar · GV.SC-07 riesgo evaluado y monitoreado durante la relación · GV.SC-08 proveedores en la respuesta a incidentes · GV.SC-10 actividades al terminar la relación.
- NIST SP 1305 (octubre de 2024) · guía rápida de CSF 2.0 para la gestión del riesgo de la cadena de suministro (C-SCRM).
- ISO/IEC 27001:2022, Anexo A · A.5.19 seguridad en las relaciones con proveedores · A.5.20 seguridad en los acuerdos con proveedores · A.5.21 cadena de suministro TIC · A.5.22 seguimiento y cambios en los servicios de proveedores · A.5.23 uso de servicios en la nube.
- Ley N° 19.628, art. 15 bis (incorporado por la Ley N° 21.719) · contenido mínimo del contrato con el encargado, subencargo sólo con autorización escrita, seguridad, aviso de vulneraciones al responsable y supresión o devolución de los datos al terminar.
- Ley N° 21.663, art. 9 · organismos del Estado: exigir a proveedores de TI que compartan información sobre vulnerabilidades e incidentes, sin cláusulas que lo restrinjan.
- Cuestionarios estándar del mercado, como el CAIQ de la Cloud Security Alliance para servicios en la nube, cuando aportan.
