Evaluar Proveedores de Servicios
Descripción
Evaluar proveedores de servicios de manera consistente con la política de gestión de proveedores de servicios de la empresa. El alcance de la evaluación puede variar según la(s) clasificación(es) y puede incluir la revisión de informes de evaluación estandarizados, como Service Organization Control 2 (SOC 2) y Attestation of Compliance (AoC) de la Industria de Tarjetas de Pago (PCI), cuestionarios personalizados u otros procesos apropiadamente rigurosos. Reevaluar proveedores de servicios anualmente, como mínimo, o con contratos nuevos y renovados.
Lista de Verificación de Implementación
Herramientas Recomendadas
Gestión de riesgos de terceros con evaluaciones automatizadas de proveedores, monitoreo continuo y puntuación de riesgo
ServiceNow · Suscripción empresarial
Plataforma de gestión de riesgos de terceros con automatización de evaluación de proveedores, monitoreo continuo y mapeo de cumplimiento
OneTrust · Suscripción empresarial
Plataforma de calificaciones de ciberseguridad y gestión de riesgos de terceros con monitoreo continuo y automatización de evaluación de proveedores
SecurityScorecard · Suscripción empresarial
Amenazas y Vulnerabilidades (CIS RAM)
Escenarios de Amenazas
Compromiso con Proveedor que Tiene Controles de Seguridad Inadecuados
ConfidencialidadLa organización confía datos sensibles a un proveedor de servicios con una postura de seguridad débil porque no se realizó evaluación, y el proveedor posteriormente sufre una brecha que afecta datos empresariales.
Postura de Seguridad del Proveedor se Degrada Durante el Período del Contrato
IntegridadUn proveedor de servicios que inicialmente cumplía reduce las inversiones en seguridad durante el período del contrato, y la degradación pasa desapercibida porque no se realiza reevaluación periódica.
Vulnerabilidades (Cuando la Salvaguarda está Ausente)
Sin Evaluación de Seguridad de Proveedores de Servicios
Sin evaluar proveedores de servicios a través de revisiones SOC 2, cuestionarios o procesos equivalentes, la organización no tiene comprensión objetiva de las capacidades y prácticas de seguridad reales de cada proveedor.
Sin Reevaluación Periódica de la Postura de Seguridad del Proveedor
La ausencia de reevaluación anual o de renovación de contrato significa que la organización depende de evaluaciones iniciales que pueden ya no reflejar el estado de seguridad actual del proveedor.
Requisitos de Evidencia
| Tipo | Elemento de Evidencia | Frecuencia de Recolección |
|---|---|---|
| Documento | Documentación del inventario o catálogo actual | Mantenido continuamente, revisado trimestralmente |
| Documento | Documentación de procesos/procedimientos para actividades de identificación | Revisado anualmente |
| Documento | Documento de política vigente (actual, aprobado, comunicado) | Revisado anualmente |