Cuestionario para proveedores: Más de 95 preguntas que abarcan múltiples áreas. 

Los proveedores son mucho más que simples prestadores de servicios: son una parte fundamental de las operaciones de su negocio. Pero aquí está el problema: el 61 % de las filtraciones de datos provienen de proveedores externos. Esto nos recuerda de forma contundente los riesgos asociados a las relaciones con proveedores.

Los cuestionarios de diligencia debida para proveedores son una parte fundamental del proceso de incorporación de proveedores. Debe asegurarse de que sus procesos y políticas se ajusten a su postura de seguridad actual y de que no haya interrupciones una vez integrados. 

Entonces, ¿cómo puede asegurarse de que un proveedor no represente un riesgo de seguridad para su negocio? Aquí le presentamos algunas preguntas clave que puede incluir en su cuestionario para proveedores y que le ayudarán a evaluar sus prácticas de seguridad.

Áreas clave en un cuestionario para proveedores (con ejemplos)

Las preguntas que debe incluir en su cuestionario de evaluación de seguridad de proveedores deben abarcar varios ámbitos:

Para facilitarte las cosas, hemos estructurado las siguientes 97 preguntas de acuerdo con los dominios mencionados anteriormente. 

A. Gobernanza del riesgo

Las preguntas relacionadas con el ámbito de la gobernanza de riesgos indagan en la metodología sistemática del proveedor para comprender y gestionar las incertidumbres que podrían afectar a sus operaciones comerciales, su desempeño financiero y sus objetivos estratégicos. Debería formular preguntas como:

1. ¿Dispone de un plan formal de gobernanza de riesgos para su programa de gestión de riesgos?
2. ¿Realizan evaluaciones de riesgos anuales?
3. ¿Su plan de gestión de riesgos contempla amenazas como los riesgos cibernéticos, los desastres naturales y los cambios en el negocio?
4. ¿Existe algún organismo rector que supervise el plan de gestión de riesgos?
5. ¿Los subcontratistas tienen acceso a sistemas o datos confidenciales? ¿Cómo se gestiona esto?
6. ¿Tiene una gestión de riesgos de terceros programa?

B. Seguridad de la información

El dominio de seguridad de la información evalúa la profundidad y la eficacia de la infraestructura de ciberseguridad de un proveedor, examinando sus mecanismos de defensa, capacidades de monitoreo y protocolos de respuesta a incidentes. Las preguntas relacionadas con este dominio incluyen:

7. ¿Sus políticas de seguridad de la información están aprobadas y se han comunicado?
8. ¿Garantiza usted la confidencialidad, la integridad y la disponibilidad de los datos sensibles?
9. ¿Existen controles de acceso y medidas de autenticación de usuarios?
10. ¿Se transmiten los datos de forma segura, incluyendo los protocolos de cifrado?
11. ¿Gestiona y elimina la información confidencial de forma segura?
12. ¿Están los sistemas protegidos contra el malware y las ciberamenazas?
13. ¿Realiza usted un seguimiento de los incidentes de seguridad y responde a ellos?
14. ¿Abordan las amenazas internas como el robo de datos o el sabotaje?
15. ¿Los proveedores externos cumplen con sus políticas de seguridad?
16. ¿Se revisan anualmente sus políticas de seguridad de la información?

C. Continuidad del negocio

La continuidad del negocio analiza la preparación y la capacidad de adaptación de un proveedor para mantener las operaciones críticas durante interrupciones inesperadas, ya sean causadas por fallas tecnológicas, desastres naturales, pandemias u otros eventos importantes. Esto se puede evaluar con preguntas como:

17. ¿Se priorizan los procesos críticos del negocio en su plan de continuidad?
18. ¿Garantiza usted la disponibilidad del sistema mediante copias de seguridad y recuperación?
19. ¿Existe un procedimiento de comunicación de crisis establecido?
20. ¿Su plan de continuidad se somete a pruebas y se actualiza periódicamente?
21. ¿Disponen de sistemas redundantes para garantizar la continuidad del servicio?
22. ¿Realiza pruebas de recuperación ante desastres en su infraestructura de TI?

D. Gestión del cambio

¿De qué manera sistemática gestiona su proveedor las actualizaciones tecnológicas, las modificaciones de procesos y las transformaciones organizativas? Estas preguntas relacionadas con la gestión del cambio pueden formularse en términos como:

23. ¿Existe una política de gestión de cambios aprobada?
24. ¿Realizas un seguimiento y registras los cambios en el código de la aplicación?
25. ¿Realizan un seguimiento de los cambios normativos en todas las regiones donde operan?
26. ¿Existe algún equipo o persona designada responsable de las actualizaciones normativas?
27. ¿Evalúa usted el impacto de los cambios normativos en su negocio?
28. ¿Se comunican los cambios normativos a los equipos pertinentes con prontitud?
29. ¿Actualiza usted sus políticas y procedimientos para adaptarlos a las nuevas normativas?
30. ¿Se ofrece formación a los empleados sobre los cambios normativos recientes?
31. ¿Mantiene usted documentación de las medidas adoptadas en respuesta a las actualizaciones normativas?

E. Seguridad de los dispositivos del usuario final

La seguridad de los dispositivos de usuario final aborda las vulnerabilidades y los riesgos potenciales asociados con computadoras portátiles, de escritorio, teléfonos inteligentes, tabletas y otros dispositivos de punto final que se conectan a redes corporativas y almacenan información confidencial. Para comprender cómo su proveedor protege contra los problemas de seguridad de los usuarios finales, pregunte:

32. ¿Se revisan anualmente los estándares de seguridad de los dispositivos?
33. ¿Los dispositivos se bloquean automáticamente tras un período de inactividad?
34. ¿El acceso remoto y el intercambio de archivos están cifrados y autenticados?
35. ¿Los registros de los dispositivos son lo suficientemente detallados para las investigaciones de incidentes?
36. ¿Existe algún programa para administrar dispositivos móviles?
37. ¿Están las estaciones de trabajo equipadas con mecanismos de bloqueo de pantalla?

F. Cifrado de datos

El cifrado de datos se utiliza para verificar los métodos del proveedor para proteger los datos tanto en reposo como en tránsito. Algunos ejemplos de preguntas en este ámbito son: 

38. ¿Encripta los datos durante la transmisión?
39. ¿Encripta los datos en reposo?
40. ¿Utiliza sistemas de gestión de claves (KMS) para proteger las claves de cifrado?
41. ¿Se revisan y actualizan anualmente los protocolos de cifrado?
42. ¿Utiliza cifrado de extremo a extremo para comunicaciones confidenciales?
43. ¿Se implementa el cifrado para los datos en dispositivos y soportes portátiles?
44. ¿Los proveedores externos cumplen con sus estándares de cifrado?
45. ¿Cambias con frecuencia tus claves digitales secretas para prevenir posibles brechas de seguridad?
46. ¿El acceso al descifrado está estrictamente limitado y registrado?

G. Cumplimiento

Saber que su proveedor cumple con los estándares de ciberseguridad es una muestra de confianza. Este aspecto es clave para comprender su nivel de seguridad. Haga las siguientes preguntas y realice la debida diligencia:

47. ¿Cuentan con certificaciones conforme a estándares como HIPAA, ISO 27001 o SOC 2?
48. ¿Sus políticas de cumplimiento están alineadas con los estándares y regulaciones de la industria?
49. ¿Realizan auditorías internas periódicas para garantizar el cumplimiento de la normativa?
50. ¿Se realiza un seguimiento de los requisitos de cumplimiento en todas las regiones operativas?
51. ¿Existe un responsable o un equipo designado para el cumplimiento normativo?
52. ¿Mantiene usted pruebas de cumplimiento para auditorías e inspecciones?
53. ¿Se informan periódicamente a las partes interesadas sobre los indicadores de cumplimiento?
54. ¿Disponen de una política de denuncia de irregularidades para informar sobre infracciones normativas?

Preguntas para evaluar el cumplimiento de la norma ISO 27001

• ¿Hay un establecido Sistema de Gestión de Seguridad de la Información (SGSI)?
• ¿Se realizan evaluaciones de riesgos periódicamente para identificar y mitigar los riesgos?
• ¿Están claramente definidas las funciones y responsabilidades en materia de seguridad de la información?
• ¿Disponen de políticas documentadas para la gestión y respuesta ante incidentes?
• ¿Se realiza un seguimiento y se revisan las acciones correctivas durante las auditorías internas?

Preguntas para evaluar el cumplimiento de la norma SOC 2

• ¿Qué criterios de servicio de confianza (TSC) se incluyen en su Informe SOC 2?
• ¿Existen controles de acceso para restringir el acceso no autorizado a los datos?
• ¿Cómo se garantiza la disponibilidad de los datos durante las interrupciones o caídas del sistema?
• ¿Se respetan los estándares de cifrado para los datos en tránsito y en reposo?
• ¿Existe un proceso de revisión anual para mantener la certificación SOC 2?

Preguntas para evaluar el cumplimiento del RGPD

• ¿El tratamiento de datos personales está documentado y es lícito según los principios del RGPD?
• ¿Esta Evaluaciones de impacto de la protección de datos ¿Se realizaron evaluaciones de impacto sobre la protección de datos (EIPD) cuando fue necesario?
• ¿Se designa un Delegado de Protección de Datos (DPD) si así lo exige el RGPD?
• ¿Cómo se garantiza el cumplimiento de los derechos de los interesados ​​(por ejemplo, acceso, supresión)?
• ¿Se notifican las filtraciones de datos a la autoridad competente en un plazo de 72 horas?

Preguntas para evaluar el cumplimiento de la HIPAA

• ¿Existe un responsable de privacidad y un responsable de seguridad designados para la supervisión de la HIPAA?
• ¿Existen medidas de seguridad físicas, técnicas y administrativas para la información de salud protegida (PHI)?
• ¿Cómo se gestionan y se hacen cumplir los Acuerdos de Asociado Comercial (BAA, por sus siglas en inglés)?
• ¿Se realizan sesiones de capacitación periódicas para los empleados? Cumplimiento HIPAA?
• ¿Existe un proceso documentado para gestionar posibles filtraciones de información médica protegida (PHI)?

Preguntas para evaluar el cumplimiento de las normas NIST.

• ¿Qué marco de referencia del NIST se sigue (por ejemplo, CSF, 800-53)?
• ¿Los controles de seguridad están vinculados a riesgos específicos de la organización?
• ¿Existe un proceso documentado para la monitorización continua de los sistemas?
• ¿Cómo se evalúa la eficacia de los controles de seguridad implementados?
• ¿Se ponen a prueba periódicamente los planes de respuesta ante incidentes para comprobar su preparación?

H. Seguridad física

La seguridad física se centra en prevenir el acceso físico no autorizado y proteger la infraestructura física, el personal y los activos de posibles amenazas a la seguridad. Las preguntas en este ámbito incluyen:

55. ¿Impeden el acceso físico no autorizado a las instalaciones?
56. ¿Existen medidas de seguridad de emergencia para empleados y visitantes?
57. ¿Se prueban y actualizan periódicamente los controles de seguridad física?
58. ¿Controlan el acceso a áreas sensibles como los servidores?

I. Seguridad de la red

Su proveedor debe tener como objetivo proteger la infraestructura de red, la transmisión de datos y prevenir el acceso no autorizado a la red y las posibles amenazas cibernéticas. Puede evaluarlo en función de preguntas como:

59. ¿Utiliza usted un sistema de prevención de intrusiones (IPS)?
60. ¿Utiliza sistemas de detección de intrusiones (IDS) y conserva los registros?
61. ¿Están documentadas las políticas de acceso a la red y de monitorización de datos?
62. ¿Realizan pruebas de penetración externas anualmente?
63. ¿Dispone de una política de seguridad de red?
64. ¿Los servidores de producción están protegidos por cortafuegos que deniegan el acceso por defecto?
65. ¿Se utiliza la autenticación multifactor (MFA) para el acceso remoto?

J. Recuperación ante desastres

El dominio de recuperación ante desastres evalúa la capacidad del proveedor para recuperar y restaurar sistemas críticos después de un incidente grave. Para comprender cómo lo hacen, hágase preguntas como:

66. ¿Ha experimentado recientemente algún evento de recuperación tras un desastre?
67. ¿Pones a prueba tu plan de recuperación de desastres ¿regularmente?
68. ¿Se revisa anualmente su plan de recuperación ante desastres?
69. ¿Dispone usted de una política documentada de recuperación ante desastres?
70. ¿Se corrigen con prontitud los fallos en los controles críticos?
71. ¿Se realizan copias de seguridad de las bases de datos de producción para la recuperación ante desastres?
72. ¿Existe una política documentada de copias de seguridad de datos?

K. Gente

Para evaluar las prácticas de recursos humanos relacionadas con la seguridad y la confidencialidad, debe hacer preguntas relacionadas con la capacitación, la verificación de antecedentes, la incorporación de nuevos empleados, etc. Algunos ejemplos son:

73. ¿Reciben los empleados formación para manejar datos confidenciales?
74. ¿Se realizan verificaciones de antecedentes al personal con acceso a información confidencial?
75. ¿Se revisan las políticas de la empresa durante el proceso de incorporación?

Soporte L.

Debes estar al tanto de cómo tu proveedor brinda soporte a sus clientes y a terceros con problemas técnicos y si son proactivos en la resolución de problemas. Haz preguntas como:

76. ¿Ofrecen a sus clientes algún medio para reportar incidentes o quejas?
77. ¿Realiza usted el seguimiento y resuelve las incidencias de soporte al cliente con prontitud?
78. ¿Existe algún procedimiento para escalar los problemas de soporte no resueltos?
79. ¿Ofrecen a sus clientes un Acuerdo de Nivel de Servicio (SLA)?
80. ¿Los equipos de atención al cliente están capacitados para manejar información confidencial de forma segura?
81. ¿Disponen de servicios de soporte multilingüe para clientes internacionales?
82. ¿Se realizan seguimientos y se informan las métricas de satisfacción del cliente?
83. ¿Disponen de un procedimiento para gestionar incidentes o infracciones relacionados con el soporte técnico?

M. Privacidad y confidencialidad de los datos

Si usted cumple con las normativas relacionadas con la privacidad y la confidencialidad de los datos, como SOC 2, ISO, GDPR, etc., debe preguntar cómo su proveedor cumple con dichas normativas. 

84. ¿Disponen de una política de confidencialidad para los empleados?
85. ¿Existen medidas para abordar los riesgos que conlleva compartir datos personales con proveedores?
86. ¿Existe una Política de Protección de Datos para el tratamiento de datos personales?
87. ¿Realizan evaluaciones de impacto en la protección de datos de forma periódica?

N. Gestión de proveedores

Tu proveedor también tiene proveedores y, al integrarte con ellos, debes conocer su estrategia de gestión de riesgos de terceros. Para evaluarla, hazte las siguientes preguntas:

88. ¿Tiene una Política de gestión de proveedores?
89. ¿Realizas ejercicios regularmente? evaluaciones de riesgos de proveedores?
90. ¿Se realizan revisiones periódicas a las organizaciones de subservicios?
91. ¿Se revisan los contratos con los proveedores para comprobar que cumplen con sus políticas de seguridad?
92. ¿Mantiene usted un inventario actualizado de proveedores y sus derechos de acceso?
93. ¿Los proveedores están obligados a firmar acuerdos de confidencialidad (NDA)?
94. ¿Se evalúa el desempeño del proveedor en función de los niveles de servicio acordados?
95. ¿Realizan algún seguimiento a los proveedores para detectar incidentes de ciberseguridad o privacidad de datos?
96. ¿Los proveedores están obligados a cumplir con certificaciones como SOC 2, ISO 27001, etc.?
97. ¿Existe algún procedimiento para rescindir de forma segura las relaciones con los proveedores?

¿Gestionar manualmente docenas de comprobaciones de proveedores? Reserva una demostración con Sprinto. y redujo el tiempo de revisión en un 80%.

Preguntas a proveedores basadas en escenarios

Al evaluar proveedores, es importante ir más allá de los cuestionarios estándar y analizar cómo responderían en situaciones reales. Las preguntas basadas en escenarios revelan la madurez, la preparación y la capacidad del proveedor para manejar eficazmente situaciones críticas.

Aquí hay algunas preguntas que puede hacer a los proveedores sobre la gestión de incidencias, la gestión de escalamientos y otros aspectos relacionados con la seguridad:

1. Localización y escalamiento

• ¿Cómo gestiona su equipo los asuntos urgentes fuera del horario laboral?
• ¿Cuál es su tiempo de respuesta promedio ante incidentes críticos una vez que se recibe la alerta?
• ¿Disponen de una matriz de escalamiento? ¿Podrían compartir un ejemplo de cómo funciona?
• ¿Cómo se garantiza la redundancia en la escalada de problemas (por ejemplo, contactos de respaldo si el contacto principal no está disponible)?
• ¿Qué herramientas o plataformas utiliza para la localización y la escalada de incidencias (por ejemplo, PagerDuty, Opsgenie)?

2. Gestión de Incidentes

• ¿Podría explicarnos detalladamente su proceso de respuesta ante incidentes, desde la detección hasta la resolución?
• ¿Cuál es su sistema de clasificación de la gravedad de los incidentes y cómo se priorizan?
• ¿Cómo se garantiza una comunicación oportuna con los clientes durante los incidentes?
• ¿Proporcionan informes posteriores a incidentes (PIR) o análisis de causa raíz (RCA)? En ese caso, ¿podría compartir una muestra?
• ¿Cómo se incorporan las lecciones aprendidas de incidentes pasados ​​para mejorar los procesos?
• ¿Qué acuerdos de nivel de servicio (SLA) se comprometen a cumplir para el reconocimiento y la resolución de incidentes?

Cómo evaluar las respuestas de los proveedores?

1. Define tus criterios de evaluación

Un buen proceso de evaluación de proveedores comienza con un marco claro y estructurado. Identifique los ámbitos críticos que desea evaluar en su proveedor, como la seguridad, el cumplimiento normativo y las capacidades operativas. 

La mejor manera de proceder es desarrollar una matriz de puntuación ponderada que priorice los criterios de evaluación en función de la tolerancia al riesgo específica de su organización. 

2. Crear una metodología de puntuación

Algunos tipos comunes de métodos de puntuación que puede utilizar en sus cuestionarios para proveedores incluyen:

• Puntuación binaria: Utilice respuestas de “Sí/No” para preguntas sencillas (por ejemplo, “¿Tiene usted la certificación SOC 2?” Sí = 1 punto, No = 0 puntos).
• Puntuación escalada: Califique las respuestas matizadas en una escala (por ejemplo, del 1 al 5, donde 5 = cumple totalmente y 1 = no cumple).
• Banderas rojas: Señale las respuestas que indiquen incumplimiento de los requisitos críticos.

Estos métodos facilitan la evaluación de varios proveedores a la vez y automatizan el proceso hasta cierto punto. 

3. Comparación con marcos de cumplimiento 

Compare las respuestas de los proveedores con los estándares de la industria y los requisitos normativos. Valide las respuestas utilizando referencias establecidas como SOC 2 e ISO 27001. Sus proveedores no solo deben cumplir con los requisitos básicos de cumplimiento, sino también alinearse con las mejores prácticas de sus respectivas industrias.

Ejemplo: Un proveedor responde a la pregunta: "¿Encriptan los datos confidenciales de los clientes tanto en tránsito como en reposo?" Punto de referencia de cumplimiento SOC 2: En la pestaña Seguridad Según este criterio, el proveedor debe garantizar que la información confidencial esté protegida mediante cifrado y otros controles de seguridad. Una respuesta afirmativa (por ejemplo, «Sí, utilizamos cifrado AES-256 para los datos en reposo y TLS 1.2 para los datos en tránsito») cumpliría con las expectativas del estándar. Norma ISO 27001: Según la norma ISO 27001, el proveedor debe tener políticas en torno a la protección de la confidencialidad y Gestión sistemática del riesgo, La respuesta del proveedor se ajusta al énfasis que la norma pone en la implementación de controles técnicos rigurosos. Sin embargo, para cumplir plenamente con la norma ISO, el proveedor debería proporcionar políticas más detalladas sobre gestión de riesgos, control de acceso y monitorización.

4. Clasificar según el nivel de riesgo

Un enfoque proactivo para la gestión de riesgos de terceros consiste en clasificar a sus proveedores en las etapas iniciales según el grado de riesgo que representan para su negocio. Las clasificaciones de riesgo comunes incluyen:

Bajo riesgo: Proveedores que cumplen plenamente con la normativa y que cuentan con procesos y medidas de seguridad robustos.

Riesgo moderado: Proveedores que cumplen parcialmente con los requisitos y necesitan pequeñas mejoras.

Alto riesgo: Proveedores con deficiencias significativas en materia de seguridad, cumplimiento normativo o transparencia.

5. Monitorizar continuamente

La evaluación de proveedores no es un evento, sino un proceso. Programe ciclos de reevaluación periódica del desempeño, el cumplimiento y las áreas de riesgo potencial de sus proveedores. Su ecosistema de proveedores debe estar alineado con los estándares de su organización y las necesidades cambiantes del negocio.

"Gestionar proveedores se ha vuelto mucho más fácil con Sprinto. A nadie le gusta la gestión de proveedores, ya que suele ser una de las tareas más tediosas de cualquier empresa. Ahora, solo me lleva media hora al mes revisarlo todo. Es algo que puedo hacer sobre la marcha porque ya no resulta abrumador..” – Adéle Tredoux, Directora de GRC en Resonance Labs, parte de Mesmerise

El futuro de la debida diligencia de proveedores con IA

La IA puede acelerar, optimizar y ampliar prácticamente cualquier proceso, y la debida diligencia de proveedores no es ajena a ello. El método tradicional de debida diligencia era muy manual y lento, y se basaba principalmente en hojas de cálculo y largos ciclos de revisión. 

La IA puede interpretar respuestas de texto libre y compararlas con las mejores prácticas y las regulaciones del sector casi al instante. Utiliza el procesamiento del lenguaje natural para acelerar la toma de decisiones y garantizar que las evaluaciones de proveedores sean a prueba de futuro.

Esto es especialmente importante para las empresas medianas y grandes que se integran con múltiples proveedores a diario. 

He aquí un ejemplo: 

En la aplicación Sprinto , cuando su proveedor sube documentos de diligencia debida, como informes SOC 2 o ISO 27001 , Spinto AI puede revisar estos documentos para responder a los cuestionarios de evaluación de seguridad del proveedor.

Desde allí, encontrará conclusiones clave generadas automáticamente que verifican la exactitud de toda la información de origen. Esto ahorra tiempo y mejora la claridad en su proceso de gestión de proveedores. 

Aquí tienes un vídeo para una mejor comprensión: 

Preguntas Frecuentes