Relación con Proveedores

5.1 Generalidades​

En un mundo cada vez más conectado, la Organización forma parte de un ecosistema digital donde terceras partes pueden interactuar, directa o indirectamente con sus servicios, sistemas e información, accediendo, tratando, almacenando, comunicando, consumiendo o proporcionando componentes de la infraestructura de Tecnología de la Información.

Esto amplía la superficie de ataque de la Organización, extendiéndola a estos terceros, ya que las vulnerabilidades tanto de su infraestructura como inherentes a la propia interacción entre ambas partes son susceptibles de generar amenazas a la Organización, constituyendo un riesgo a mitigar mediante esta política.

Para ello, se disponen en este documento las directivas y/o normas de seguridad que aplican en las distintas fases del ciclo de vida de la relación con el Tercero (Antes, al inicio, durante y al finalizar la relación con el Tercero).

5.2 Antes del inicio de la relación​

A la hora de cubrir una necesidad en la organización por medio de un proveedor externo, es necesario incluir la perspectiva de la Seguridad de la Información a los factores habituales de mérito de los terceros candidatos en el proceso de búsqueda y selección de proveedores.

Para ello, previamente al comienzo de la selección hay que:

• Definir previamente las condiciones y requisitos de seguridad que aplicarán a la prestación del servicio/producto a suministrar, coherentes con las políticas de seguridad de la información de la Organización (PO.SG.CYS-1 Política de Seguridad de la Información).
• Definir cláusulas contractuales que se aplicarán en materia de seguridad de la información si es necesario. Con el fin de establecer contratos y acuerdos rigurosos en materia de ciberseguridad, se detallarán las cuestiones más relevantes que deben reflejarse en los contratos con los proveedores. Todos estos aspectos se reflejarán en contratos y acuerdos de confidencialidad y de acceso a datos:
  • Determinar qué información es accedida, cómo puede ser accedida y la clasificación y protección de la misma;
  • Asegurar que, una vez finalizado el contrato, el proveedor ya no podrá acceder a dicha información.
  • Reflejar los requisitos legales oportunos:
    1. Cumplimiento del RGPD,
    2. Cumplimiento de la LSSI,
    3. Cumplimento de los derechos de propiedad intelectual.
  • Reflejar el derecho de auditoría y de control sobre aspectos relevantes del acuerdo;
  • Incluir las situaciones que conlleven la finalización del contrato;
  • Definir las garantías específicas:
    1. Penalizaciones económicas en caso de incumplimiento.
    2. Perjuicios económicos por impacto en la disponibilidad, confidencialidad o integridad de la información, ya sea debido a la acción o inacción por parte del proveedor.
    3. Certificaciones y garantías adicionales.
• Definir las responsabilidades concretas por ambas partes. Se establecerán por contrato, y con posibles penalizaciones en el caso de servicios críticos, si es el proveedor o es la Organización los responsables de cada aspecto relativo a la seguridad:
  • Controlar quién accede o transforma la información sensible y por qué.
  • Realizar el backup y cuando.
  • Controlar los logs, etc..
  • Gestionar la creación de usuarios y políticas de seguridad configurables sobre los servicios prestados.
  • Activar, mantener y controlar los sistemas de seguridad: antimalware, firewall, cifrado de comunicaciones, etc.
• Definir los SLA (Acuerdos de Nivel de Servicio) para los servicios críticos, con el fin de establecer las características de calidad y las garantías del servicio a adquirir, que el proveedor debe garantizar. Los aspectos más relevantes para definir un SLA son:
  • Responsabilidades de cada una de las partes;
  • Duración del acuerdo;
  • Detalle del nivel de servicio ofrecido.
  • Tasas de error permitidas,
  • Disponibilidad horaria,
  • Tiempos de respuesta y resolución,
  • Canales de contacto,
  • Proceso de escalado y notificación ante incidentes,
  • Procedimientos para la resolución de problemas e incidencias.,
  • Personal asignado al servicio.
  • Procedimientos para el seguimiento y control del servicio;
  • Sanciones en caso de incumplimiento;
  • Medición de la satisfacción por el servicio recibido.

• Definir requisitos de transparencia en la gestión de la seguridad y observabilidad. En el caso de Proveedores de servicios tecnológicos y Proveedores de servicios no tecnológicos con acceso a datos o infraestructura IT corporativa que presten sus servicios en modelo Software as a Service, deben facilitar mecanismos de control de los eventos de seguridad de sus plataformas (paneles de control, registros de log, etc).

  Es preciso definir qué eventos y métricas relativos a la ciberseguridad recogidos en la infraestructura del Proveedor estarán disponibles para su monitorización y eventual tratamiento por parte de la Organización, así como su frecuencia de actualización/reporte.

• En el caso de proveedores de productos o servicios indispensables para la organización, deben demostrar la existencia de un PCN que garantice la continuidad del servicio ante un evento catastrófico en el ámbito de la ciberseguridad.
• Valorar la necesidad de certificación de los servicios contratados. En servicios especialmente críticos podemos exigir a las empresas la garantía de que posean algunas de las certificaciones referentes a la calidad en la gestión de la seguridad de la información:
  • Certificación ISO 27001 de Sistemas de Gestión de la Seguridad de la Información;
  • Esquema Nacional de Seguridad (ENS).
  • Certificación ISO 22301 de Gestión de continuidad de negocio.
  • Certificación NIST
• Valorar negativamente la seguridad por ocultación, fomentando la adopción de soluciones de código abierto.

Una vez definidas las condiciones de seguridad del servicio o producto que será proporcionado, se seleccionarán los proveedores candidatos, a los cuales se le suministrará las condiciones de seguridad definidas en puntos anteriores, de forma proporcional según la criticidad del servicio o el nivel de acceso a la información requerido para su prestación.

Los proveedores candidatos deberán comprometerse a igualar o superar estas condiciones de forma explícita mediante firma, aportando la documentación acreditativa en cada caso si fuera necesario.

Los proveedores seleccionables han de demostrar estar alineados con la Política de Seguridad de la organización (PO.SG.CYS-1 Política de Seguridad de la Información). Para ello, deberán cumplimentar además el formulario de Evaluación de Proveedores, en base al cuál será evaluado de forma general su nivel de seguridad. Esta evaluación tendrá una vigencia máxima de 1 año, durante el cual podrá ser aplicada directamente en otras contrataciones con el mismo proveedor.

Resulta de gran interés investigar en foros, reviews y asociaciones sobre servicios o productos a adquirir, revisando la reputación de nuestros proveedores, incidentes de seguridad pasados, vulnerabilidades conocidas, así como las certificaciones y sellos de calidad que poseen. Esto es obligatorio en la evaluación de proveedores de servicios y productos críticos.

Una vez evaluados los proveedores candidatos, se procederá a la selección del más apropiado teniendo en cuenta la documentación e información suministrada, además de los aspectos no relativos a la seguridad.

A igualdad de condiciones en aspectos distintos a la seguridad, se dará prioridad entre proveedores candidatos a la prestación del mismo servicio a los que ostenten mejores resultados en seguridad de la información, así como a los que dispongan de certificaciones acreditadas relativas a la ciberseguridad, tanto de la propia compañía como de sus productos y/o servicios (ISO 27001, ENS, NIST, etc.).

5.3 Veto a proveedores inseguros​

Si se considera objetivamente según la información recopilada en el proceso de selección que proveedor es especialmente inseguro, se propondrá un veto de 3 años para acceder a una nueva licitación, quedando este hecho indicado en el Registro de Proveedores.

5.4 Al inicio de la relación​

Una vez seleccionado el proveedor definitivo del servicio, se procederá a la firma de la siguiente documentación:

• Contrato.
• Acuerdo de Confidencialidad.
• Contrato de Tratamiento de Datos Personales por Terceros.
• SLA si procede.
• Resto de documentación aportada para garantizar la aceptación de las condiciones.

Tras la firma del contrato, se procederá por parte de la Organización a la entrega de la documentación interna relativa a la seguridad de la información que afecta al producto o servicio proporcionado:

• Política de seguridad.
• Normas de uso.
• Procedimientos de seguridad.
• Instrucciones técnicas.
• Etc.

En paralelo, el Responsable de Seguridad de la Información debe incluir al proveedor en el Registro de Proveedores, procediendo a su perfilado: Así, se identificarán sus necesidades de acceso a información, servicios e infraestructura de la Organización para la prestación del servicio, y en base a estas necesidades se definirán los usuarios y sus privilegios mínimos a implementar sobre acceso físico, documentación, información, servicios e infraestructura.

En base a los perfiles funcionales y privilegios requeridos por los perfiles identificados, el Dpto. de Sistemas provisionará un esquema de usuarios y permisos en los sistemas afectados (Consultar Gestión de los Usuarios).

Una vez provisionados los usuarios requeridos, se comunicarán las credenciales al proveedor, evitando siempre el envío de contraseñas en claro.

En la medida de lo posible, el personal del proveedor externo ha de ser identificado de antemano, especialmente cuando deba disponer de credenciales privilegiadas, evitándose completamente el compartir credenciales entre varios usuarios externos.

5.5 Durante la relación​

5.6 Al finalizar la relación​

5.7 Incumplimiento​

El incumplimiento de esta política traerá consigo posibles consecuencias legales que apliquen a la normativa de la empresa, incluyendo lo establecido en las normas que competen a la Autoridad Competente en cuanto a seguridad y privacidad de la información se refiere, así como la aplicación de las cláusulas de contingencia y penalización presentes en los contratos de los servicios y provisiones afectadas.