La dependencia de proveedores y servicios externos forma parte de la realidad de muchas organizaciones. Servicios cloud, proveedores tecnológicos, integradores, servicios gestionados o partners especializados intervienen cada vez en más procesos y, en algunos casos, tienen acceso a información y sistemas críticos.
Esta interdependencia amplía también el alcance del riesgo. Una organización puede contar con medidas de seguridad adecuadas y, sin embargo, estar expuesta a riesgos asociados a terceros sobre los que no tiene el mismo nivel de control.
Por este motivo, la gestión de riesgos de terceros debería formar parte del modelo global de Seguridad de la Información y no limitarse a una evaluación puntual realizada antes de contratar un servicio.
Una visión cada vez más amplia del riesgo
La seguridad de la cadena de suministro TIC está adquiriendo una importancia creciente en Europa. En febrero de 2026, la Comisión Europea presentó el ICT Supply Chain Security Toolbox, una herramienta común para ayudar a identificar, evaluar y mitigar los riesgos de ciberseguridad asociados a las cadenas de suministro TIC. El enfoque contempla tanto los riesgos derivados de productos y servicios como las dependencias respecto a determinados proveedores.
ENISA ya había señalado la necesidad de abordar la seguridad de la cadena de suministro desde una perspectiva corporativa, integrando la evaluación de riesgos, la relación con proveedores, la gestión de vulnerabilidades y la calidad de productos y servicios dentro de un mismo modelo de gestión.
Esta aproximación refleja una realidad relevante para las organizaciones: la seguridad de un tercero forma parte, en determinados casos, del propio perfil de riesgo de la organización.
Conocer el nivel de exposición
El primer paso consiste en conocer qué terceros forman parte del ecosistema de la organización y qué relación mantienen con ella.
No todos los proveedores presentan el mismo nivel de riesgo. El impacto potencial dependerá, entre otros factores, del tipo de servicio prestado, la información a la que tienen acceso, su conectividad con los sistemas corporativos o la criticidad del proceso del que dependa la organización.
Establecer una clasificación basada en estos criterios permite priorizar los esfuerzos de evaluación y seguimiento en función del riesgo.
El enfoque europeo de gestión de la seguridad de la cadena de suministro también pone el énfasis en identificar las dependencias y valorar los riesgos asociados a proveedores concretos, especialmente cuando pueden afectar a servicios o funciones relevantes.
La evaluación inicial es solo el punto de partida
Los procesos de evaluación de terceros permiten conocer su nivel de seguridad antes de establecer o renovar una relación. Pueden incluir la revisión de políticas y controles, certificaciones, medidas técnicas, gestión de incidentes o aspectos relacionados con la continuidad del servicio.
Sin embargo, esta información representa una situación concreta.
La relación con un proveedor puede evolucionar: pueden modificarse los servicios contratados, ampliarse los accesos, cambiar las tecnologías utilizadas o incorporarse nuevos subcontratistas. Del mismo modo, puede variar el contexto de riesgo de la propia organización.
Por ello, una evaluación inicial pierde valor si no existe un mecanismo que permita mantener actualizada la información sobre el tercero y su nivel de exposición.
La experiencia europea en materia de gestión de la cadena de suministro apunta precisamente hacia un enfoque continuado, que no se limite a la identificación inicial del riesgo, sino que contemple también su tratamiento y seguimiento.
Del cuestionario al seguimiento
Uno de los retos de la gestión de terceros consiste precisamente en evitar que el proceso se reduzca al envío periódico de cuestionarios.
El objetivo debería ser disponer de un modelo que permita determinar:
- Qué proveedores deben ser evaluados y con qué nivel de profundidad.
- Qué requisitos de seguridad deben cumplir en función de su criticidad.
- Con qué frecuencia debe revisarse cada tercero.
- Qué situaciones deberían desencadenar una nueva evaluación.
- Cómo se gestionan las deficiencias identificadas.
- Qué riesgos pueden ser aceptados y cuáles requieren medidas adicionales.
De esta forma, la información obtenida durante las evaluaciones se convierte en un elemento útil para la gestión y toma de decisiones, y no únicamente en un ejercicio documental.
La Comisión Europea plantea precisamente un enfoque basado en identificar, evaluar y mitigar los riesgos de las cadenas de suministro TIC, incluyendo escenarios relacionados con dependencias y proveedores considerados de mayor riesgo.
Integrar el riesgo de terceros en el modelo de Seguridad de la Información
La gestión de terceros tiene una relación directa con diferentes ámbitos de la Seguridad de la Información: gestión de riesgos, continuidad de negocio, control de accesos, protección de la información, cumplimiento o gestión de incidentes, entre otros.
Por este motivo, debería existir una conexión entre la información disponible sobre proveedores y el modelo global de gestión del riesgo de la organización.
Esta visión permite, por ejemplo, identificar dependencias críticas, priorizar actuaciones y determinar dónde es necesario establecer requisitos o controles adicionales.
También facilita una cuestión fundamental: tomar decisiones sobre proveedores teniendo en cuenta no solo aspectos operativos o económicos, sino también el riesgo que su relación implica para la organización.
En Europa, este enfoque se está reforzando mediante iniciativas que buscan mejorar la capacidad de las organizaciones para identificar y gestionar los riesgos de sus cadenas de suministro, con una aproximación común, proporcional y basada en el riesgo.
Una gestión proporcional al riesgo
Gestionar los riesgos de terceros no significa aplicar los mismos controles a todos los proveedores.
Un modelo eficaz debe ser proporcional a la criticidad y al nivel de exposición de cada relación. Esto permite concentrar recursos en aquellos terceros que pueden tener un mayor impacto sobre la confidencialidad, integridad o disponibilidad de la información y los procesos de negocio.
La clave está, por tanto, en pasar de una visión basada exclusivamente en la evaluación a un modelo que combine identificación, clasificación, evaluación y seguimiento continuo.
Este enfoque permite evitar tanto la aplicación de controles desproporcionados a proveedores de bajo impacto como la falta de atención sobre terceros de los que dependen procesos relevantes.
El riesgo también evoluciona
La gestión de terceros no debería entenderse como un proceso aislado del resto de la estrategia de Seguridad de la Información.
A medida que las organizaciones amplían su ecosistema de proveedores y externalizan nuevos servicios, conocer y gestionar las dependencias externas se convierte en una parte cada vez más relevante de la gestión del riesgo.
Una evaluación permite conocer una situación. Un modelo de gestión permite mantenerla bajo control a lo largo del tiempo.
En Inprosec ayudamos a las organizaciones a estructurar y mejorar sus procesos de Vendor Risk Management, mediante la clasificación de proveedores, evaluaciones de seguridad, seguimiento continuo y definición de requisitos de Seguridad de la Información, adaptando el modelo al contexto y nivel de exposición de cada organización.