Política de Gestión de Riesgos de Terceros
1. Propósito
Establecer requisitos para evaluar, gestionar y monitorear los riesgos de ciberseguridad asociados con los proveedores de servicios de terceros y socios comerciales de [ORGANIZATION].
2. Alcance
Esta política se aplica a todos los proveedores de servicios de terceros, vendedores, proveedores y socios comerciales que accedan a los datos, sistemas o red de [ORGANIZATION], o que procesen, almacenen o transmitan datos en nombre de [ORGANIZATION].
3. Política
3.1 Inventario y Clasificación de Terceros
[ORGANIZACION] deberá mantener un inventario de todos los proveedores de servicios de terceros con acceso a los datos o sistemas de [ORGANIZACION], incluyendo: nombre del proveedor, servicios proporcionados, datos compartidos/accesibles, clasificación de riesgo, propietario del contrato y fecha de última evaluación.
Los terceros deberán clasificarse según el riesgo: Crítico (acceso a datos Restringidos o sistemas críticos), Alto (acceso a datos Confidenciales o sistemas importantes), Medio (acceso a datos Internos), Bajo (sin acceso a datos, interacción limitada con sistemas).
El inventario deberá revisarse y actualizarse al menos [PERSONALIZAR: anualmente/semestralmente].
3.2 Evaluación de Terceros
Todos los terceros clasificados como de riesgo Crítico o Alto deberán someterse a una evaluación de seguridad antes de la ejecución del contrato y al menos [PERSONALIZAR: anualmente] a partir de entonces.
Las evaluaciones deberán evaluar: políticas y prácticas de seguridad de la información, controles de protección de datos y privacidad, capacidades de respuesta a incidentes, continuidad del negocio y recuperación ante desastres, certificaciones de cumplimiento (SOC 2, ISO 27001, etc.), prácticas de gestión de vulnerabilidades y mecanismos de control de acceso.
Los métodos de evaluación pueden incluir: cuestionarios de seguridad (por ejemplo, SIG, CAIQ), revisión de informes de auditoría (SOC 2 Tipo II, certificado ISO 27001), evaluaciones presenciales o virtuales y servicios automatizados de calificación de riesgo.
3.3 Requisitos Contractuales
Los contratos con terceros que manejen datos de [ORGANIZACION] deberán incluir: obligaciones de protección de datos y confidencialidad, requisitos de seguridad y controles mínimos, derecho de auditar o solicitar evidencia de auditoría, requisitos de notificación de violaciones (dentro de [PERSONALIZAR: 24/48/72] horas), devolución/destrucción de datos al momento de la terminación del contrato, cumplimiento con las regulaciones aplicables y disposiciones de responsabilidad e indemnización.
Los Acuerdos de Nivel de Servicio (SLA) deberán definir métricas de rendimiento de seguridad cuando sea aplicable.
3.4 Monitoreo Continuo
La postura de seguridad de los terceros deberá monitorearse de forma continua utilizando: reevaluaciones periódicas según el calendario anterior, servicios automatizados de calificación de seguridad, revisión de violaciones o incidentes de seguridad divulgados públicamente y monitoreo del cumplimiento contractual.
Los terceros que experimenten una violación de seguridad que afecte los datos de [ORGANIZACION] deberán estar sujetos a reevaluación inmediata y posible remediación o terminación del contrato.
4. Cumplimiento
El cumplimiento de esta política es obligatorio para todo el personal dentro de su alcance. El cumplimiento será monitoreado a traves de auditorías periódicas, controles automatizados y revisión de la gerencia.
Las excepciones a esta política deben documentarse con una justificación de negocio, ser aprobadas por [PERSONALIZAR: CISO/Equipo de Seguridad], y revisarse al menos anualmente.
5. Aplicacion
Las violaciones a esta política pueden resultar en acciones disciplinarias que incluyen hasta la terminación del empleo o contrato, y pueden resultar en sanciones civiles o penales cuando se haya violado la ley aplicable.
[ORGANIZACION] se reserva el derecho de auditar el cumplimiento de esta política en cualquier momento, con o sin previo aviso.
6. Revisión y Actualización
Esta política será revisada al menos anualmente por [PERSONALIZAR: CISO/Propietario de la Política] y actualizada según sea necesario para reflejar cambios en el panorama de amenazas, requisitos regulatorios o estructura organizaciónal.
Todas las revisiónes serán documentadas con número de version, fecha, autor y descripción de los cambios.
Aprobación de la Política
Aprobado Por
Cargo
Fecha
Control de Documentos