Ciberseguridad y terceros: cómo gestionar el riesgo de proveedores y accesos externos

La superficie de ataque de una empresa ya no termina en sus propios sistemas. ERP, plataformas cloud, soporte remoto, software especializado, mantenimiento, integraciones, servicios gestionados y proveedores con acceso técnico forman parte de la operación diaria y, por tanto, también del riesgo.

La dependencia de terceros sigue creciendo. ENISA, en su informe NIS Investments 2025, señala que el 90 % de las organizaciones analizadas ya aplica controles específicos sobre terceros y cadena de suministro. Aun así, los compromisos de proveedores y supply chain aparecen como la segunda preocupación de futuro más citada, con un 47 %.

La lectura es clara: las empresas están reforzando controles, pero la exposición también aumenta. Gestionar este riesgo requiere algo más que pedir una certificación al proveedor. Hay que saber qué servicio presta, a qué información accede, qué sistemas puede modificar, qué dependencias existen y qué ocurrirá cuando la relación termine.

El objetivo es convertir la relación con terceros en un proceso controlado durante todo su ciclo de vida.

Por qué un proveedor también forma parte de tu superficie de ataque

Un tercero puede convertirse en una vía de acceso aunque la infraestructura interna esté bien protegida.

Pensemos en un proveedor que mantiene un ERP y dispone de credenciales de administración, una plataforma SaaS que almacena información sensible, una consultora que accede por VPN, un operador logístico integrado mediante API o un servicio gestionado con privilegios sobre la red.

En todos estos casos existe una dependencia tecnológica y una relación de confianza.

Un incidente en el proveedor puede afectar a la confidencialidad de los datos, a la disponibilidad de un servicio o a la integridad de los sistemas conectados. También puede existir un problema mucho más sencillo: una cuenta de soporte que sigue activa meses después de finalizar el contrato.

Por eso, el riesgo de terceros combina dos dimensiones: la seguridad del proveedor y la forma en que nuestra empresa le permite conectarse o trabajar con nuestros activos.

Qué cambia con NIS2 en la gestión de proveedores

La Directiva NIS2 incluye expresamente la seguridad de la cadena de suministro entre las medidas de gestión del riesgo de ciberseguridad. El artículo 21 menciona las relaciones entre cada entidad y sus proveedores directos o prestadores de servicios.

Esto significa que, para las entidades dentro de su ámbito, la relación con proveedores forma parte del modelo de gestión del riesgo y no puede quedar limitada a una decisión de Compras o a una revisión puntual del departamento de TI.

ENISA ha desarrollado además orientación técnica sobre supply chain security para determinados sectores cubiertos por el reglamento de ejecución de NIS2. Entre las prácticas que plantea están definir una política de seguridad de la cadena de suministro y establecer criterios para seleccionar y contratar proveedores.

Aunque el detalle normativo depende del sector y de la entidad, el principio operativo es útil para cualquier organización: conocer la exposición antes de contratar y mantenerla controlada durante la prestación del servicio.

Paso 1. Crear un inventario real de terceros y dependencias

El primer problema suele ser bastante básico: muchas empresas no saben cuántos proveedores tienen acceso efectivo a sus sistemas.

El listado financiero de proveedores no es suficiente. Hay que identificar a aquellos que pueden influir en la seguridad o continuidad de la operación.

Qué conviene registrar de cada proveedor

Como mínimo, debería conocerse qué servicio presta, qué sistemas utiliza, qué datos procesa, qué nivel de acceso necesita, si existe acceso remoto, si utiliza subcontratistas y qué impacto tendría una interrupción.

También conviene identificar al responsable interno de la relación. Un proveedor tecnológico sin un propietario de negocio suele quedar fuera de revisiones importantes cuando cambia el servicio, se renueva el contrato o aparecen nuevas necesidades de acceso.

Clasificar por criticidad

No todos los terceros requieren el mismo nivel de análisis.

Un proveedor que entrega material de oficina no presenta el mismo riesgo que quien administra la infraestructura cloud, procesa datos personales o mantiene un sistema esencial para la operación.

Una clasificación práctica puede considerar impacto sobre disponibilidad, confidencialidad, integridad, privilegios de acceso, volumen o sensibilidad de datos y facilidad de sustitución.

Esta priorización permite dedicar más controles a los terceros realmente críticos.

Paso 2. Evaluar al proveedor antes de conceder acceso

La evaluación debería ocurrir antes de que el proveedor esté conectado a los sistemas.

NIST publicó en julio de 2026 su guía SP 1326 sobre due diligence en riesgos de cadena de suministro. La idea central es sencilla: recopilar información suficiente sobre el proveedor o producto para poder tomar una decisión informada antes de adquirirlo o mantenerlo.

Una evaluación útil debe adaptarse al riesgo. No se trata de enviar el mismo cuestionario de cien preguntas a todos los proveedores.

Qué revisar

En proveedores tecnológicos críticos conviene analizar prácticas de ciberseguridad, gestión de vulnerabilidades, continuidad, respuesta ante incidentes, control de accesos, protección de datos y dependencia de subproveedores.

Certificaciones como ISO 27001, informes de auditoría o evidencias de cumplimiento pueden ayudar, pero no sustituyen la evaluación concreta del servicio.

Una certificación puede demostrar que existe un sistema de gestión. No responde por sí sola a preguntas como: ¿qué acceso tendrá este proveedor en nuestro entorno?, ¿puede descargar información?, ¿cómo se revocan sus cuentas?, ¿qué ocurre si subcontrata parte del servicio?

Paso 3. Convertir la seguridad en requisitos contractuales

La evaluación inicial pierde valor si las expectativas de seguridad no quedan reflejadas en la relación contractual.

El contrato debería definir los requisitos que sean relevantes para el servicio: notificación de incidentes, protección de información, gestión de vulnerabilidades, continuidad, devolución o eliminación de datos, uso de subcontratistas, cooperación en auditorías y condiciones de acceso. ENISA indica que, entre las organizaciones de su estudio NIS Investments 2025, el 63 % exige a proveedores cumplir estándares o mantener certificaciones, el 54 % realiza evaluaciones o auditorías y el 48 % incorpora requisitos de ciberseguridad en contratos.

El contrato no evita un incidente, pero reduce ambigüedades sobre responsabilidades y expectativas cuando algo ocurre.

Paso 4. Controlar los accesos externos durante la prestación del servicio

La parte más visible del riesgo aparece cuando el proveedor necesita entrar en nuestros sistemas.

Una cuenta externa no debería gestionarse como una credencial interna permanente.

Identidad individual y autenticación fuerte

Cada persona debería utilizar una identidad propia. Las cuentas compartidas dificultan saber quién realizó una acción y complican la revocación cuando cambia el equipo del proveedor.

Para accesos sensibles o remotos, la autenticación multifactor debe formar parte del diseño de seguridad.

Aplicar mínimo privilegio y limitar el alcance

El proveedor debe acceder únicamente a los sistemas y funciones necesarios para la tarea contratada.

Un técnico que necesita mantener una aplicación concreta no debería disponer automáticamente de permisos sobre otros servidores o repositorios.

El principio de mínimo privilegio reduce el impacto potencial de una credencial comprometida o de un error operativo.

Limitar también la duración

Los accesos temporales son especialmente útiles para intervenciones puntuales.

En lugar de mantener una cuenta privilegiada abierta todo el año para una tarea que se realiza una vez al trimestre, puede habilitarse durante una ventana concreta y expirar automáticamente.

La guía técnica de ENISA para NIS2 contempla precisamente limitar el acceso de terceros en alcance y duración y mantener registros de los permisos concedidos.

Accesos privilegiados y PAM

Cuando el proveedor necesita privilegios administrativos, merece la pena aplicar controles adicionales.

Las soluciones de Privileged Access Management pueden ayudar a gestionar credenciales privilegiadas, aprobar sesiones, registrar actividades o limitar el tiempo durante el cual un acceso está disponible.

No todas las empresas necesitan la misma arquitectura, pero cuanto mayor sea el privilegio, mayor debería ser la trazabilidad.

Registrar y revisar la actividad

El acceso debe dejar evidencia. Registros de autenticación, cambios de configuración, operaciones administrativas y sesiones críticas permiten investigar incidentes y detectar comportamientos anómalos.

La revisión periódica de cuentas externas también es esencial. La pregunta debería ser simple: ¿esta persona sigue necesitando este acceso hoy?

Paso 5. Supervisar al proveedor durante todo el contrato

El riesgo no termina después del onboarding.

Un proveedor puede cambiar de infraestructura, incorporar nuevos subcontratistas, sufrir un incidente, modificar su servicio o perder una certificación relevante.

Por eso, los terceros críticos necesitan revisiones periódicas proporcionales al riesgo.

La frecuencia dependerá del servicio. Algunos proveedores pueden revisarse anualmente; otros requieren monitorización más frecuente porque operan sistemas críticos o mantienen accesos privilegiados.

También conviene definir qué cambios debe comunicar el proveedor: incidentes relevantes, modificaciones en subcontratación, cambios sustanciales de arquitectura o vulnerabilidades que afecten al servicio.

Paso 6. Diseñar el offboarding antes de necesitarlo

El final de la relación es uno de los puntos donde aparecen más olvidos.

Cuando termina un contrato deben revocarse cuentas, VPN, tokens, certificados, claves API, permisos en aplicaciones y cualquier credencial asociada al proveedor.

También hay que comprobar la devolución o eliminación de información, recuperar activos y confirmar qué datos debe conservar el proveedor por motivos contractuales o legales.

El offboarding debería formar parte del procedimiento desde el primer día. Si se improvisa cuando el proveedor ya se ha marchado, es fácil dejar accesos residuales.

Cinco errores frecuentes en la gestión de terceros

El primero es evaluar al proveedor una sola vez, durante la contratación, y no volver a revisarlo.

El segundo es confiar exclusivamente en certificados y cuestionarios, sin analizar el acceso real que tendrá el servicio.

El tercero es mantener cuentas genéricas de soporte sin caducidad.

El cuarto es olvidar a los subproveedores. La empresa puede contratar a una compañía y terminar dependiendo de varias capas de servicios que no conoce con suficiente detalle.

El quinto es tratar todos los proveedores igual. Esto genera mucho trabajo administrativo en terceros de bajo riesgo y puede quitar tiempo a los proveedores que realmente condicionan la seguridad o continuidad de la organización.

Aplicaciones prácticas en salud, retail y logística

Salud

Una clínica o grupo sanitario puede depender de proveedores de software clínico, mantenimiento, servicios cloud, soporte de dispositivos o plataformas de gestión.

El acceso a información sensible y la necesidad de continuidad hacen especialmente importante limitar privilegios, identificar usuarios externos y disponer de trazabilidad.

Un soporte remoto abierto de forma permanente puede ser cómodo operativamente, pero necesita controles acordes al nivel de riesgo.

Retail

En retail, proveedores de ERP, e-commerce, pagos, logística, marketing, mantenimiento de tiendas y analítica pueden estar integrados con múltiples sistemas.

La prioridad es entender qué conexiones existen entre ellos. Un proveedor con acceso a una única aplicación puede terminar teniendo una ruta indirecta hacia otros activos si las integraciones y permisos no están bien segmentados.

Logística

Operadores, plataformas de transporte, sistemas de gestión de almacenes y proveedores de telemática intercambian información continuamente.

La disponibilidad es crítica. Una interrupción en un tercero puede afectar expediciones, inventario o trazabilidad.

Aquí, además de la seguridad del acceso, conviene analizar continuidad, capacidad de sustitución y dependencia de plataformas externas.

Checklist para revisar proveedores y accesos externos

Antes de considerar controlado el riesgo de terceros, la empresa debería poder responder:

1. ¿Tenemos identificados los proveedores tecnológicos y de servicios con acceso a datos o sistemas?
2. ¿Sabemos cuáles son críticos para la operación?
3. ¿Evaluamos su seguridad antes de contratar o renovar?
4. ¿Los contratos incluyen requisitos de ciberseguridad relevantes para el servicio?
5. ¿Cada usuario externo utiliza una identidad individual?
6. ¿Aplicamos MFA y mínimo privilegio donde corresponde?
7. ¿Los accesos temporales caducan automáticamente?
8. ¿Registramos y revisamos accesos privilegiados?
9. ¿Sabemos qué subcontratistas intervienen en servicios críticos?
10. ¿Existe un procedimiento de revocación y devolución de información al finalizar la relación?

Gestionar terceros como parte de la arquitectura de seguridad

La externalización permite a las empresas acceder a tecnología, conocimiento y capacidad que sería difícil mantener internamente. Esa ventaja implica compartir parte de la operación con organizaciones externas.

La solución no pasa por bloquear esa colaboración, sino por conocerla y gobernarla mejor. Inventario, criticidad, evaluación, contratos, control de accesos, monitorización y offboarding forman una misma cadena. Si uno de esos elementos falla, la empresa puede mantener una exposición que no aparece en sus controles internos.

En Qubatio ayudamos a las organizaciones a revisar su entorno tecnológico y de ciberseguridad, identificar dependencias, reforzar controles de acceso y diseñar medidas adaptadas a la realidad de sus procesos y proveedores.