La gestión de riesgo de proveedores funciona cuando clasificas a cada tercero por criticidad, exiges evidencias proporcionales a ese riesgo y monitoreas la postura de seguridad entre evaluaciones. El problema no es la falta de cuestionarios. Es depender de hojas de cálculo que envejecen, tratar a todos los proveedores de la misma forma y descubrir la exposición solo después del incidente.
Esta guía recorre las etapas prácticas de un programa de riesgo de terceros: por qué este vector creció tanto, cómo estructurar el ciclo de punta a punta, cómo clasificar y monitorear por criticidad, el papel de los cuestionarios y las evidencias, y dónde la automatización con GRC quita el trabajo manual del camino.
Por qué el riesgo de terceros es uno de los mayores vectores de incidentes
En la edición 2026 de su Data Breach Investigations Report (DBIR), publicada en mayo, Verizon señala que las brechas con participación de terceros llegaron al 48% del total, un aumento del 60% (Verizon, 2026 Data Breach Investigations Report). En la edición 2025, esa participación ya se había duplicado hasta el 30% (Verizon, 2025 Data Breach Investigations Report). Cuando un proveedor se ve comprometido, el atacante hereda los accesos, las integraciones y la confianza que le concediste.
El razonamiento es directo. Tu empresa puede tener controles maduros, pero la superficie de ataque se extiende a cada socio que toca tus datos, sistemas u operaciones. Un proveedor de software, una firma externa de nómina, una API de pagos: cada conexión es una puerta.
Este riesgo crece por acumulación. En 2025 se publicaron 48.185 CVE, un 20,6% más que en 2024 (Jerry Gamblin, 2025 CVE Data Review), y cada proveedor trae su propio software y su propia cola de parches. Con la creciente dependencia de servicios tercerizados, en la nube y SaaS, la exposición tiende a crecer más rápido de lo que la mayoría de los equipos puede seguir manualmente.
La consecuencia de negocio es concreta: interrupción de la operación, filtración de datos de clientes, sanciones bajo la LGPD (la Ley General de Protección de Datos de Brasil) y desgaste de reputación. Por eso el riesgo de terceros dejó de ser un asunto solo del área técnica y pasó a figurar en las agendas de riesgo corporativo y del directorio.
Etapas de un programa de gestión de riesgo de proveedores
Un programa eficaz sigue un ciclo de vida, desde el primer contacto hasta el cierre del contrato. Un estudio del Ponemon Institute con Imprivata, publicado en febrero de 2025 y basado en 1.942 profesionales de TI y seguridad, muestra por qué el esfuerzo vale la pena: el 47% de las organizaciones sufrió, en los 12 meses anteriores, una brecha de datos o un ciberataque que involucró el acceso de un tercero a su red (Imprivata y Ponemon Institute, The State of Third-Party Access in Cybersecurity, 2025).
El NIST CSF 2.0 organiza este ciclo en la categoría Cybersecurity Supply Chain Risk Management (GV.SC), de la función Govern: va desde la priorización de proveedores por criticidad (GV.SC-04) y los requisitos en contrato (GV.SC-05) hasta la debida diligencia (GV.SC-06), el monitoreo a lo largo de la relación (GV.SC-07), la inclusión de terceros en la respuesta a incidentes (GV.SC-08) y lo que ocurre tras el fin del contrato (GV.SC-10) (NIST CSWP 29, The NIST Cybersecurity Framework 2.0). Consulta el panorama completo en las seis funciones del NIST CSF 2.0.
Las etapas esenciales son:
- Inventario y descubrimiento. Releva a todos los proveedores, incluidos los contratados por áreas de negocio sin pasar por seguridad. Lo que no está en el inventario no se gestiona.
- Clasificación por criticidad. Ordena a los terceros por el riesgo que representan, considerando acceso a datos, integración técnica y dependencia operativa.
- Debida diligencia y evaluación. Aplica cuestionarios y recoge evidencias acordes con el nivel de criticidad.
- Contratación y cláusulas. Formaliza en el contrato las obligaciones de seguridad, protección de datos, notificación de incidentes, subcontratación y derecho de auditoría. En las instituciones reguladas por el Banco Central de Brasil, la Resolución CMN n.º 4.893/2021 (el CMN es el Consejo Monetario Nacional de Brasil) enumera cláusulas obligatorias para servicios de procesamiento, almacenamiento de datos y nube; consulta la guía de riesgo de terceros en la Resolución CMN 4.893.
- Monitoreo continuo. Sigue la postura del proveedor a lo largo de la relación, no solo en el onboarding.
- Respuesta y cierre. Define cómo reaccionar ante incidentes del proveedor y cómo revocar accesos y devolver o eliminar datos cuando termina el contrato.
Cada etapa genera registros. Mantener esa trazabilidad en un único lugar es lo que permite responder a auditores y reguladores sin carreras de último momento. Si estás diseñando el programa de riesgo más amplio, conviene combinar esta visión con una matriz de riesgo 5x5 bien calibrada para priorizar amenazas de forma consistente.
Cómo clasificar y monitorear proveedores por criticidad
Clasificar por criticidad significa medir el riesgo de cada proveedor antes de decidir cuánto control aplicar. Tratar a todos por igual desperdicia esfuerzo en los irrelevantes y deja poca atención para los que realmente importan. La clasificación proporcional es el punto de partida de todo programa maduro.
Evalúa a cada tercero en tres dimensiones:
- Sensibilidad de los datos. ¿El proveedor trata datos personales, financieros o estratégicos?
- Nivel de acceso. ¿Tiene acceso privilegiado a sistemas, redes o credenciales?
- Impacto operativo. Si el servicio se cae, ¿cuánto de tu operación se detiene con él?
A partir de esas respuestas, agrupa a los proveedores en niveles, por ejemplo crítico, alto, medio y bajo. Un proveedor de nube que aloja datos de clientes es crítico. Un proveedor de material de oficina, bajo. La profundidad de la evaluación y la frecuencia de reevaluación siguen el nivel.
En la ISO/IEC 27001:2022, los controles 5.19 a 5.23 del Anexo A cubren esta relación: seguridad de la información en las relaciones con proveedores, requisitos en los acuerdos con proveedores, cadena de suministro de TIC, monitoreo y gestión de cambios en los servicios de los proveedores y uso de servicios en la nube (ISO/IEC 27001:2022). El checklist del Anexo A de la ISO 27001 muestra dónde encajan.
Monitorear es la parte que la mayoría de los programas descuida. Una evaluación hecha en el onboarding describe al proveedor ese día. Meses después, la realidad cambió: los certificados vencen, surgen vulnerabilidades, se recortan equipos de seguridad. El monitoreo continuo cubre ese intervalo y señala cuándo la postura de un tercero se deteriora antes de que se convierta en incidente.
Cuestionarios, evidencias y monitoreo continuo
Los cuestionarios recogen la autodeclaración del proveedor; las evidencias prueban que el control existe y funciona; el monitoreo continuo muestra si sigue funcionando. Los tres son complementarios, y confiar solo en uno crea puntos ciegos. La expectativa de empeoramiento refuerza la urgencia: en el mismo estudio, el 64% de los encuestados dijo que las brechas por terceros aumentarán o seguirán en niveles alarmantemente altos en los 12 a 24 meses siguientes (Imprivata y Ponemon Institute, 2025).
Usa los cuestionarios de forma proporcional. Un proveedor crítico responde un cuestionario robusto, basado en marcos reconocidos. Un proveedor de bajo riesgo recibe una versión reducida. Estandarizar con base en referencias como ISO/IEC 27001, SOC 2 y NIST CSF evita reinventar preguntas y facilita la comparación entre terceros.
Pide evidencias que respalden las respuestas de mayor riesgo:
- Informes SOC 2 Tipo II y certificados ISO/IEC 27001 vigentes, verificando el alcance cubierto y la fecha de vencimiento.
- Políticas de seguridad, planes de respuesta a incidentes y de continuidad.
- Resultados recientes de pruebas de intrusión y escaneos de vulnerabilidades.
- Cláusulas contractuales de protección de datos cuando hay tratamiento de datos personales. La LGPD no impone un modelo de contrato, pero el encargado debe tratar los datos según las instrucciones del responsable (art. 39) y ambos deben adoptar medidas de seguridad (art. 46) (Ley n.º 13.709/2018); el contrato es el lugar natural para registrarlo. Consulta también el checklist de adecuación a la LGPD.
El monitoreo continuo cierra el ciclo. Observa señales externas de postura de seguridad y cambios relevantes entre las evaluaciones formales, y convierte una foto anual en un seguimiento vivo de la relación.
Automatizar la evaluación de terceros con GRC
La automatización con GRC reduce el trabajo manual de recopilar, cruzar y actualizar la información de proveedores, y libera al equipo para analizar el riesgo en lugar de perseguir correos. Los procesos basados en hojas de cálculo tienden a no escalar cuando la cartera de terceros supera unas pocas decenas, y el retrabajo entre marcos consume el tiempo que debería ir a la decisión.
Una plataforma de GRC concentra a los proveedores en un inventario único y conecta cada evaluación con los controles, las evidencias y el riesgo correspondiente. La ganancia práctica es la reutilización: un mismo control, con su evidencia, puede mapearse a requisitos de la ISO/IEC 27001, la LGPD, el SOC 2 y el NIST CSF, sin reiniciar la evaluación para cada norma.
El módulo Third-Party Risk de Eagle, de Futture, fue pensado para este ciclo: registro de proveedores, evaluaciones y clasificación de criticidad, riesgos, contratos y revisiones periódicas, señales de riesgo, monitoreo y planes de acción, conectando el riesgo de la cadena con el riesgo corporativo. La IA apoya la clasificación y la priorización en el modelo human-in-the-loop, y la decisión final sigue en manos del analista.
En la práctica, esto cambia la dinámica de la evaluación. En lugar de abrir una hoja de cálculo por proveedor, el equipo ve qué terceros cambiaron de riesgo, qué evidencias vencieron y dónde actuar primero. Para profundizar en la elección de la herramienta, conviene revisar cómo elegir un software GRC antes de decidir.
Conclusión
Empieza por lo que no ves: arma el inventario completo de proveedores y clasifica a cada uno por criticidad. Esa lista, por imperfecta que sea al principio, es lo que convierte el riesgo de terceros de una sorpresa en una decisión gestionable. A partir de ella, aplica cuestionarios y evidencias proporcionales, activa el monitoreo continuo en los proveedores críticos y evalúa qué etapas pueden automatizarse en una plataforma de GRC. El próximo incidente de un tercero no avisará antes de llegar; la diligencia que hagas ahora define si será un evento controlado o una crisis.
Para profundizar: Software de due diligence con IA para terceros; Matriz de riesgo: cómo construirla y priorizar amenazas.
Preguntas frecuentes
¿Qué es la gestión de riesgo de proveedores?
Es el proceso de identificar, clasificar, evaluar y monitorear los riesgos que los proveedores y prestadores de servicios traen a tu operación, tus datos y tu cumplimiento, desde el onboarding hasta el cierre del contrato.
¿Con qué frecuencia reevaluar a un proveedor crítico?
Una práctica común es reevaluar formalmente a los proveedores críticos al menos una vez al año, y también cada vez que haya un cambio relevante en el servicio o un incidente, complementando con monitoreo continuo que señale cambios de postura de seguridad entre ciclos.
¿El cuestionario de seguridad sustituye a la evidencia?
No. El cuestionario recoge la autodeclaración del proveedor. Evidencias como informes SOC 2 Tipo II, certificados ISO/IEC 27001 vigentes y resultados de pruebas muestran que el control existe y, en el caso del SOC 2 Tipo II, que operó durante un período.
¿Cómo afecta la LGPD a la gestión de proveedores?
Según la LGPD, la Ley General de Protección de Datos de Brasil, la empresa que contrata a un encargado (operador) para tratar datos personales en su nombre sigue siendo la responsable (controlador): las decisiones sobre el tratamiento son suyas (art. 5, VI), el encargado debe seguir sus instrucciones (art. 39) y ambos deben adoptar medidas de seguridad (art. 46). Por eso conviene evaluar la seguridad del proveedor, formalizar instrucciones y cláusulas de protección de datos en el contrato y guardar el registro de esa diligencia.
Referencias oficiales
- Verizon — 2026 Data Breach Investigations Report (comunicado, mayo de 2026)
- Verizon — 2025 Data Breach Investigations Report (comunicado, abril de 2025)
- Imprivata y Ponemon Institute — The State of Third-Party Access in Cybersecurity (comunicado, febrero de 2025)
- Jerry Gamblin — 2025 CVE Data Review
- NIST Cybersecurity Framework 2.0 (NIST CSWP 29)
- ISO/IEC 27001:2022 — ISO
- Ley n.º 13.709/2018 — Ley General de Protección de Datos Personales de Brasil (LGPD)
- Resolución CMN n.º 4.893/2021 — Banco Central de Brasil
- AICPA & CIMA — SOC 2