Cómo evaluar la ciberseguridad de tus proveedores

Empieza por el servicio y los accesos

Una asesoría con acceso a nóminas, una plataforma que almacena documentos y un proveedor que mantiene tus sistemas crean dependencias diferentes. El nombre o tamaño del proveedor no basta para valorar su riesgo. Identifica qué ocurriría si el servicio se interrumpe o si se utiliza indebidamente su acceso.

• Anota el servicio contratado y la persona responsable de la relación.
• Identifica qué datos trata y si dispone de acceso remoto o permisos de administración.
• Valora el impacto de una interrupción y la posibilidad de sustituir el servicio.

Solicita información proporcional a la criticidad

Para gestionar riesgos de terceros necesitas respuestas que puedas relacionar con el servicio contratado. Un cuestionario de seguridad de proveedores permite ordenar esas respuestas; las evidencias ayudan a comprobarlas. Pide información más detallada cuando exista acceso privilegiado, datos sensibles o una dependencia importante.

• Pregunta por gestión de accesos, actualizaciones, copias de seguridad e incidentes.
• Comprueba el alcance y la vigencia de la documentación recibida.
• Registra dudas y medidas pendientes antes de tomar una decisión.

Consulta el perfil DTS y su estado

En NALLAM puedes buscar una empresa y consultar su perfil público. Si todavía no dispone de puntuación, puedes invitarla desde el panel a obtener su DTS. La puntuación ofrece una referencia agregada; debe leerse junto a las áreas evaluadas y al estado del perfil.

Un resultado en curso es provisional. La identidad verificada confirma el control del perfil, pero no significa que NALLAM haya verificado la evaluación. Un proveedor sin DTS tiene información pendiente en esta herramienta: no debe calificarse automáticamente como inseguro.

Utiliza el resultado en tu decisión de homologación

El DTS puede formar parte de la información utilizada en una evaluación de seguridad de proveedores. La decisión de homologar depende también del servicio, los accesos, tus requisitos y las medidas acordadas. Una puntuación por sí sola no sustituye esa decisión.

Por ejemplo, si un proveedor con acceso administrativo entrega respuestas incompletas, deja registrada la información que falta y quién debe revisarla. Revisa de nuevo la relación cuando cambien el servicio, los accesos o la situación del proveedor.

Preguntas frecuentes