José ZegarraTable of Contents
Resumen
Las organizaciones dependen de proveedores tecnológicos, consultoras y plataformas SaaS que pueden acceder a información o sostener procesos esenciales. La gestión del riesgo de terceros debe evaluar estas relaciones según su criticidad, los privilegios concedidos y las posibilidades de sustitución, incluyendo subcontratistas y dependencias comunes.
¿Cómo convertir las relaciones con proveedores en una responsabilidad verificable para proteger la continuidad del negocio?. Una empresa puede invertir en defensas avanzadas y continuar expuesta a través de una cuenta de soporte, una integración o un servicio externo indispensable. Para los líderes corporativos, gestionar estas dependencias exige conectar ciberseguridad, compras y continuidad operativa. La confianza en un proveedor necesita límites, evidencia y capacidad de respuesta compartida.
Claves del análisis
- La criticidad de un proveedor depende de sus accesos y funciones, no únicamente del importe contratado.
- Los cuestionarios documentan controles, pero no sustituyen la validación de la exposición ni los ejercicios de respuesta.
- El monitoreo debe generar decisiones, responsables y acciones proporcionales al riesgo.
- Zero Trust limita la confianza implícita y ayuda a contener accesos comprometidos.
- La resiliencia requiere conocer subcontratistas, dependencias comunes y alternativas reales de recuperación.
El perímetro corporativo se extiende más allá de la organización
Lima, Perú, 12 de octubre de 2026.— Una empresa puede proteger sus servidores, capacitar a sus trabajadores y disponer de un centro de operaciones de seguridad. Sin embargo, una cuenta comprometida de soporte externo puede abrir una ruta hacia información crítica. La exposición también reside en las relaciones que permiten operar el negocio.
Consultoras, proveedores tecnológicos y plataformas de software como servicio —SaaS— participan en procesos esenciales. Administran aplicaciones, procesan información o mantienen integraciones con sistemas internos. Cada conexión introduce dependencias cuya seguridad debe evaluarse junto con su utilidad empresarial.
La antigua imagen de una fortaleza digital resulta anacrónica e insuficiente. El perímetro se ha vuelto distribuido, cambiante y parcialmente administrado por terceros. Para el directorio, la pregunta decisiva es qué operaciones quedarían expuestas si uno de esos socios fuera comprometido y cuánto tardaría la organización en contener las consecuencias.
La anatomía del riesgo en terceros
El atractivo de una confianza ya concedida
Comprometer a un proveedor puede ofrecer al atacante una ventaja: aprovechar accesos legítimos, herramientas autorizadas y relaciones previamente establecidas. En lugar de superar directamente todas las defensas del objetivo, busca una conexión que la organización necesita mantener abierta.
Las rutas incluyen credenciales de mantenimiento, integraciones mediante API, actualizaciones de software y cuentas con privilegios elevados. Un proveedor que atiende a múltiples clientes también puede convertirse en un punto de distribución del ataque. El atractivo depende tanto de sus vulnerabilidades como del alcance de sus conexiones.
La gestión del riesgo de terceros, conocida como TPRM, debe identificar esas rutas y traducirlas en consecuencias operativas. Un contrato pequeño puede sostener un servicio indispensable; el importe facturado no representa necesariamente la criticidad de la relación.
Dependencias que permanecen fuera del inventario
El análisis debe extenderse a los subcontratistas y a la concentración de servicios. Dos proveedores aparentemente independientes pueden depender de la misma infraestructura. Una interrupción común podría afectar simultáneamente alternativas consideradas redundantes.
Por eso, clasificar terceros exige relacionar datos tratados, privilegios concedidos, procesos soportados y posibilidades de sustitución. El riesgo abarca filtraciones, alteración de información e indisponibilidad, incluso cuando el incidente nunca penetra en la red corporativa.
En la práctica, contratar dos plataformas no garantiza diversidad operativa. Si ambas dependen del mismo servicio de identidad, una falla en ese componente podría impedir el acceso a las dos. La redundancia necesita comprobarse a lo largo de la cadena.
De la auditoría estática al monitoreo continuo
Un cuestionario anual documenta respuestas correspondientes a un momento determinado. Durante los meses siguientes pueden cambiar administradores, subcontratistas, configuraciones y aplicaciones expuestas. Usarlo como única garantía de seguridad deja una brecha entre la evaluación y la operación real.
El análisis de Forrester sobre los cuestionarios de riesgo de terceros plantea una revisión crítica de este mecanismo. Para la organización contratante, la cuestión práctica es determinar qué evidencia resulta pertinente para el servicio y qué decisiones permite tomar.
El monitoreo continuo debe combinar señales de exposición externa, avisos de incidentes, cambios relevantes y registros de los accesos que la propia empresa controla. La frecuencia debe responder a la criticidad: un administrador de infraestructura necesita un seguimiento diferente al de un proveedor sin acceso a información sensible.
Esa visibilidad tiene límites. Una calificación externa no permite observar todos los controles internos ni demuestra, por sí sola, la existencia de una intrusión. Las alertas requieren validación, responsables y plazos de respuesta. Acumular indicadores sin capacidad de intervención solo produce más ruido.
Además, evaluar al proveedor no equivale a comprobar la resistencia del cliente. Una revisión documental puede aportar evidencia de controles, pero conocer las consecuencias de un compromiso exige ensayar las propias defensas, los mecanismos de aislamiento y la continuidad de los procesos afectados.
Arquitectura Zero Trust en la cadena de valor
Accesos delimitados y verificables
La relación comercial no debe convertirse en confianza técnica ilimitada. El NIST establece en su arquitectura Zero Trust que la ubicación de una cuenta o activo, o su propiedad, no justifican por sí solas una confianza implícita. El acceso a los recursos requiere autenticación y autorización.
Aplicado a terceros, el mínimo privilegio exige conceder acceso exclusivamente a los recursos necesarios, durante el tiempo requerido. Identidades individuales, autenticación robusta y permisos temporales facilitan la trazabilidad. Las cuentas de servicio, los tokens y las integraciones automatizadas requieren controles adecuados a su funcionamiento.
La microsegmentación limita las comunicaciones entre sistemas para reducir las posibilidades de movimiento lateral. Un proveedor encargado de una aplicación no debería alcanzar otras plataformas por compartir la misma red. Su implementación exige conocer los flujos legítimos para evitar interrupciones.
La validación continua incorpora cambios de contexto: comportamiento de la sesión, estado del dispositivo y sensibilidad del recurso solicitado. Ante señales de riesgo, puede requerirse autenticación adicional, restringirse una operación o revocarse el acceso.
Contención con continuidad
Pensemos en una cuenta externa comprometida durante una intervención técnica. La resiliencia depende de detectar el comportamiento anómalo, cortar esa sesión y mantener operativos los servicios esenciales.
Esto exige ensayos conjuntos, contactos disponibles, procedimientos de revocación y alternativas de recuperación. También requiere acordar cómo comunicar incidentes y preservar evidencias. Una cláusula contractual ayuda a establecer responsabilidades; su eficacia debe comprobarse mediante ejercicios.
La pregunta para la gerencia es concreta: ¿podemos suspender el acceso de ese proveedor sin detener una operación indispensable? Cuando la respuesta es incierta, existe una dependencia que debe abordarse antes del incidente.
Tabla analítica: del riesgo a la decisión empresarial
La siguiente matriz propone criterios de gestión. Los indicadores deben adaptarse al servicio, a su criticidad y a los objetivos de continuidad de cada organización.
| Exposición | Consecuencia potencial | Control prioritario | Evidencia o indicador para decidir |
|---|---|---|---|
| Cuentas externas con privilegios permanentes | Acceso indebido a sistemas críticos | Permisos temporales, identidades individuales y revisión de privilegios | Proporción de cuentas externas revisadas y con vencimiento definido |
| Integraciones y tokens sin inventario | Extracción de datos o acciones no autorizadas | Inventario, alcance limitado y revocación comprobada | Integraciones con responsable identificado y prueba de revocación |
| Proveedor comprometido con acceso a varios sistemas | Propagación del incidente | Segmentación y autorización por recurso | Resultado de pruebas sobre rutas de acceso permitidas y bloqueadas |
| Subcontratistas o infraestructura común desconocidos | Interrupción simultánea de servicios | Mapa de dependencias y análisis de concentración | Servicios críticos con dependencias y alternativas documentadas |
| Alertas sin responsables ni seguimiento | Exposición prolongada sin tratamiento | Validación, priorización y escalamiento | Tiempo de atención y hallazgos críticos pendientes |
| Planes de continuidad sin ejercicios | Recuperación tardía o inviable | Simulaciones conjuntas y restauración probada | Tiempo de recuperación observado frente al objetivo acordado |
| Fin de contrato sin retiro de accesos | Persistencia de permisos innecesarios | Procedimiento formal de desvinculación | Evidencia de baja de cuentas, tokens y conexiones |
¿Por qué es importante?
Para un CIO, CISO o director general, el riesgo de terceros conecta decisiones de contratación con la continuidad del negocio. Conocer qué accesos, datos y procesos dependen de cada proveedor permite priorizar inversiones, contener incidentes y reducir la posibilidad de que una falla externa se convierta en una crisis corporativa.
La resiliencia como responsabilidad compartida
El directorio necesita indicadores vinculados con decisiones: proveedores críticos identificados, accesos privilegiados revisados, hallazgos pendientes y capacidad demostrada de recuperación. Compras, Tecnología, Seguridad, Legal y las áreas usuarias deben compartir esa responsabilidad.
Exigir controles proporcionados también implica colaborar con proveedores de menor capacidad. La acumulación de formularios puede consumir recursos que serían más útiles corrigiendo vulnerabilidades o practicando la respuesta.
Este enfoque conecta la ciberseguridad con la transformación digital: cada nueva plataforma, integración o servicio incorpora capacidades, pero también relaciones que deben gobernarse durante todo su ciclo de vida.
La resiliencia corporativa se construye sobre dependencias conocidas, límites verificables y capacidad de actuar conjuntamente. La gobernanza digital convierte la confianza empresarial en una responsabilidad que se demuestra, se supervisa y se comparte.
Visión Estratégica
Para las organizaciones del Perú y de Latinoamérica, una ruta práctica consiste en comenzar por los terceros que pueden detener operaciones, acceder a información sensible o administrar sistemas críticos. Esa priorización permite asignar recursos según el impacto empresarial y evitar evaluaciones uniformes que consumen esfuerzo sin mejorar las decisiones.
El directorio debería solicitar evidencia de tres capacidades: conocer las dependencias, restringir su alcance y recuperar el servicio cuando fallen. Compras puede incorporar estos criterios desde la selección; Tecnología y Seguridad deben validarlos durante la operación; las áreas usuarias necesitan comprobar que las alternativas permiten continuar trabajando.
La colaboración con proveedores pequeños también merece atención. Acordar mejoras concretas, responsables y plazos puede aportar más valor que exigir documentación difícil de sostener. La competitividad digital regional dependerá, en parte, de construir cadenas de servicio capaces de crecer y responder conjuntamente a una interrupción.
Cinco hallazgos que conviene recordar
- El valor económico de un contrato no determina por sí solo la criticidad del proveedor.
- Una evaluación documental y una prueba de recuperación responden a preguntas diferentes.
- Dos proveedores pueden compartir una dependencia que anule la redundancia esperada.
- Zero Trust exige justificar el acceso a recursos; la relación comercial no basta.
- Los indicadores de riesgo resultan útiles cuando activan decisiones, responsables y acciones.
Estos puntos sintetizan el análisis; no son estadísticas ni resultados de una encuesta.
Knowledge Layer — Glosario
TPRM: gestión del riesgo de terceros
Proceso para identificar, evaluar y tratar los riesgos asociados a proveedores y otras relaciones externas durante su selección, contratación, operación y salida.
SaaS: software como servicio
Modelo en el que un proveedor entrega una aplicación a través de una red, generalmente mediante suscripción. Su disponibilidad y seguridad forman parte de las dependencias del cliente.
API: interfaz de programación de aplicaciones
Mecanismo que permite a dos sistemas intercambiar información o ejecutar funciones. Sus permisos y credenciales deben corresponder al propósito de la integración.
Zero Trust
Enfoque de seguridad que evita conceder confianza implícita por ubicación o propiedad de un activo. Evalúa y autoriza el acceso a recursos según políticas y contexto.
Mínimo privilegio
Principio que limita los permisos de una persona o sistema a lo necesario para realizar una función, durante el tiempo requerido.
Microsegmentación
Separación de cargas de trabajo o recursos mediante controles de comunicación específicos para limitar accesos y reducir oportunidades de propagación.
Identidades no humanas
Identidades utilizadas por aplicaciones, servicios y procesos automatizados. Pueden autenticarse mediante certificados, claves o tokens y requieren responsables y controles.
Riesgo de concentración
Exposición generada cuando varios servicios dependen de un mismo proveedor, infraestructura o componente, aunque sus contratos aparenten independencia.
RTO: objetivo de tiempo de recuperación
Tiempo objetivo establecido para restablecer un servicio después de una interrupción. Los ejercicios permiten contrastarlo con la capacidad real de recuperación.
Resiliencia operativa
Capacidad de sostener funciones esenciales y recuperarse de interrupciones, adaptando procesos, recursos y decisiones a las condiciones del incidente.
Tu Opinión Nos Importa 🗣️
En IT/USERS® creemos que la confianza entre empresas se fortalece cuando puede comprobarse y sostenerse durante una crisis.
¿Tu organización ha ensayado qué ocurriría si un proveedor crítico dejara de operar? ¿Qué resulta más difícil: conocer sus dependencias, limitar los accesos o coordinar la recuperación?
Nos interesa conocer tu experiencia. Comparte tus reflexiones con #ItusersAwards2026 y #superfan.
Apoya al Periodismo Independiente
¿Te sirvió en algo este contenido?, ayúdanos a combatir la Desinformación, dona desde S/ 1.00 a nuestro PLIN 943-438-457
