Cada proveedor con acceso a tus datos o sistemas amplía tu superficie de riesgo. Un gestor de nóminas, una empresa de mantenimiento o un servicio de facturación en la nube pueden abrir la puerta sin querer. Revisar accesos y contratos es parte de la gestión diaria, no un proyecto para el año que viene.
No hace falta un departamento de seguridad. Con un inventario de proveedores, permisos mínimos y cláusulas claras cubres lo esencial. Y si algo pasa, un protocolo de respuesta evita el caos y las decisiones tomadas con prisa. Escríbelo en una página y revísalo cada año.
Inventario de proveedores
Haz una lista con quién accede a qué: datos de clientes, correo, contabilidad, servidores, llaves o instalaciones. Anota el contacto técnico y el de negocio, y la fecha de la última revisión. Sin inventario no hay control posible, solo sensación de control.
Clasifica por criticidad: qué pasa si ese proveedor falla, filtra datos o desaparece. Los que tratan datos personales exigen más atención y contrato específico. Revisa la lista una vez al año y cada vez que contratas un servicio nuevo. Si un proveedor no pasa el corte, cambia de proveedor.
Un proveedor crítico es el que, si falla hoy, te deja sin facturar o sin atender clientes. Empieza la revisión por esos tres o cuatro nombres.
Permisos y accesos
Da acceso solo a lo necesario y retíralo cuando termina el trabajo. Cuentas individuales, nunca compartidas, y doble factor en los sistemas críticos. La contraseña del router no es un plan de seguridad, aunque esté cambiada de la de fábrica.
Revisa permisos antiguos: exbecarios, proveedores que ya no trabajan contigo, cuentas de prueba y carpetas que se compartieron una tarde. Cada acceso olvidado es una puerta abierta. Documenta quién autorizó cada permiso y cuándo se retiró. Y prueba a pedir un acceso como si fueras un desconocido.
Cláusulas del contrato
El contrato debe incluir confidencialidad, tratamiento de datos, notificación de incidentes, subcontratación y devolución o borrado al terminar. Y evidencia de medidas de seguridad, o derecho de auditoría en los servicios críticos. Sin esas cláusulas, el proveedor decide por ti cuando hay un problema.
Concreta plazos: cuánto tarda el proveedor en avisar de un incidente y en qué formato. Un aviso a los diez días no sirve para cumplir con protección de datos. Añade un responsable con nombre y un canal directo, no solo un formulario. Si el proveedor no acepta cláusulas de incidentes, es una señal de riesgo.
Cuando hay un incidente
Define qué es un incidente, quién decide y a quién se avisa. Ten un contacto directo con cada proveedor crítico, no solo la web de soporte. Y un plan B si el servicio cae varios días: exportar datos, usar una herramienta alternativa o volver al papel. Pruébalo con el proveedor antes de necesitarlo.
Tras un incidente, documenta qué pasó, qué se hizo y qué se cambió. Sin ese registro, el mismo fallo vuelve en seis meses. Y revisa el contrato: a veces la respuesta está en las obligaciones del proveedor y en los plazos que firmaste.
Preguntas frecuentes
¿Qué datos debo pedir a un proveedor tecnológico?
Medidas de seguridad, dónde aloja los datos, quién accede, cómo notifica incidentes y qué pasa al terminar el contrato. También subcontratistas y certificaciones. Si no responde por escrito, es una señal.
¿Basta con un contrato de confidencialidad?
No. La confidencialidad cubre el secreto, pero no el acceso, la disponibilidad ni el borrado. Necesitas cláusulas de tratamiento, incidentes y salida. Y comprobar que se cumplen, no solo firmarlas.
¿Debo auditar a mis proveedores?
No hace falta una auditoría formal a todos. Basta con un cuestionario periódico y revisar evidencias en los críticos. Documenta la respuesta y actúa si algo no encaja. La diligencia se demuestra con papeles.