Cómo evaluar la seguridad de datos al tercerizar servicios de tecnología

Evaluar la seguridad de datos al tercerizar servicios de tecnología significa comprobar si el proveedor puede acceder, procesar, almacenar y proteger la información empresarial bajo controles verificables. Esta revisión debe realizarse antes de contratar y mantenerse durante toda la relación.

Cuando una organización delega soporte, infraestructura, desarrollo, administración cloud o mantenimiento de aplicaciones, suele conceder acceso a sistemas, credenciales y datos críticos. El riesgo no desaparece al transferir la ejecución: la empresa continúa siendo responsable de saber dónde está su información, quién puede utilizarla y cómo se responderá ante un incidente.

En empresas peruanas de banca, retail, minería, agroindustria y manufactura, esta evaluación resulta especialmente importante cuando el proveedor interviene en SAP, bases de datos, plataformas comerciales o procesos esenciales para la operación.

¿Qué riesgos aparecen al tercerizar servicios de tecnología?

Los principales riesgos son el acceso excesivo, la pérdida de visibilidad, la exposición de información y la dependencia del proveedor. Su impacto depende de la sensibilidad de los datos, la criticidad de los sistemas y el nivel de control que conserve la organización.

Tercerizar una actividad no implica transferir completamente el riesgo. El proveedor ejecuta tareas dentro de un alcance, pero la empresa debe mantener el gobierno sobre accesos, políticas, prioridades y clasificación de la información.

Acceso innecesario a sistemas y datos

El acceso excesivo aparece cuando el proveedor recibe más permisos de los necesarios. Una cuenta administrativa utilizada para tareas básicas puede ampliar el impacto de un error, una credencial comprometida o una acción no autorizada.

Cada perfil debe acceder únicamente a los sistemas relacionados con su función. También conviene separar los ambientes de desarrollo, pruebas y producción para evitar que una actividad técnica otorgue acceso automático a información real.

Los permisos deben asignarse a personas identificables, no a cuentas compartidas. Cuando un especialista deja el proyecto, sus credenciales, tokens, conexiones y permisos deben retirarse de inmediato.

Pérdida de visibilidad sobre la información

La pérdida de visibilidad ocurre cuando la empresa desconoce dónde se almacenan sus datos o qué terceros participan en su tratamiento. El riesgo aumenta cuando el proveedor utiliza plataformas cloud, herramientas externas o subcontratistas sin comunicarlo.

La organización debe conocer las ubicaciones, copias, respaldos y flujos de información involucrados. También necesita identificar si los datos salen del entorno corporativo o pasan por servicios adicionales de análisis, soporte o automatización.

Al decidir qué procesos TI conviene tercerizar y cuáles mantener internos, el gobierno de proveedores, la clasificación de datos y las decisiones de seguridad deben permanecer bajo control de la empresa.

Dependencia técnica y operativa

La dependencia aparece cuando el proveedor concentra configuraciones, documentación, credenciales y conocimiento que la empresa no puede recuperar fácilmente. En ese escenario, cambiar de proveedor o terminar el contrato puede afectar la continuidad.

Los repositorios, inventarios, manuales y procedimientos deben mantenerse disponibles para la organización. La documentación debe actualizarse durante el servicio y no únicamente antes de la salida.

También deben definirse condiciones de transición. La empresa necesita saber cómo recuperará sus datos, cuánto tiempo se conservarán las copias y qué apoyo recibirá para migrar hacia otro equipo.

¿Qué debe evaluarse antes de contratar al proveedor?

Antes de contratar, la empresa debe revisar el nivel de acceso, las prácticas de seguridad, la respuesta ante incidentes y la participación de subcontratistas. La profundidad de la evaluación debe guardar relación con el riesgo real del servicio.

Un proveedor que administrará infraestructura productiva requiere una revisión más exigente que otro encargado de una aplicación interna sin acceso a información sensible.

Clasificación de los datos involucrados

La evaluación comienza identificando qué datos podrá consultar, modificar o almacenar el proveedor. La empresa debe diferenciar información pública, interna, confidencial y crítica según las consecuencias de una exposición.

Los datos de clientes, trabajadores, proveedores, transacciones y procesos financieros requieren controles más estrictos que la documentación general. También deben incluirse credenciales, archivos de configuración y registros técnicos, porque pueden facilitar el acceso a otros sistemas.

La priorización de inversiones en ciberseguridad debe comenzar por los datos críticos, los procesos que no pueden detenerse y los sistemas con mayor impacto operativo.

Controles técnicos y organizacionales

El proveedor debe demostrar cómo protege cuentas, dispositivos, conexiones e información. La empresa puede solicitar evidencia de autenticación multifactor, cifrado, gestión de vulnerabilidades, respaldos, monitoreo y control de accesos.

También debe revisar cómo se incorporan y retiran integrantes del equipo. La seguridad depende tanto de la tecnología como de los procesos para asignar permisos, capacitar personas y gestionar incumplimientos.

Las certificaciones pueden aportar evidencia, pero no sustituyen la evaluación del servicio específico. Su alcance podría no incluir al equipo, la sede o la plataforma que atenderá a la empresa.

El NIST recomienda identificar, evaluar y mitigar los riesgos asociados con productos y servicios de terceros como parte de la gestión de la cadena de suministro de ciberseguridad.

Uso de subcontratistas y herramientas externas

El proveedor debe informar si utilizará terceros para cumplir el servicio. La empresa necesita conocer quiénes son, qué datos recibirán y qué responsabilidades asumirán.

Esto incluye herramientas de soporte, plataformas de monitoreo, repositorios, servicios cloud y sistemas de inteligencia artificial. Una solución aparentemente administrada por un solo proveedor puede depender de varios actores.

El contrato debe indicar si se requiere autorización antes de incorporar nuevos subcontratistas y cómo se comunicarán los cambios que afecten el tratamiento de los datos.

Capacidad de respuesta ante incidentes

El proveedor debe explicar cómo detectará, comunicará y contendrá un incidente. Una declaración general sobre buenas prácticas no es suficiente cuando la operación depende de tiempos de reacción concretos.

La evaluación debe precisar quién notificará a la empresa, qué información entregará y cuánto tiempo podrá transcurrir desde la detección. También debe establecer cómo se conservarán registros y evidencias para investigar la causa.

En servicios críticos, los procedimientos deben probarse mediante simulaciones o revisiones periódicas. Un plan que nunca se ensaya puede fallar cuando se necesita.

¿Qué condiciones deben incluirse en el contrato?

El contrato debe convertir las expectativas de seguridad en obligaciones verificables. Expresiones genéricas como “el proveedor protegerá la información” dejan demasiado espacio para interpretaciones.

Las condiciones deben regular accesos, usos permitidos, auditorías, incidentes, continuidad, devolución de datos y responsabilidades ante incumplimientos.

Confidencialidad y uso autorizado

La cláusula de confidencialidad debe definir qué información está protegida y para qué puede utilizarse. El proveedor no debería reutilizar datos, configuraciones o documentación fuera del servicio contratado.

También debe quedar prohibido utilizar la información para entrenar modelos, realizar demostraciones o desarrollar productos sin autorización expresa. Esta condición cobra mayor importancia cuando se emplean herramientas de inteligencia artificial.

La obligación debe alcanzar a empleados, consultores y subcontratistas para mantener el mismo nivel de protección durante todo el servicio.

Gestión de identidades y trazabilidad

El contrato debe exigir usuarios individuales, permisos mínimos y registros de actividad. Estos elementos permiten identificar quién realizó un cambio y detectar acciones fuera de lo esperado.

Los accesos privilegiados requieren controles adicionales, como aprobación previa, autenticación reforzada y revisión de sesiones. Cuando sea posible, deben habilitarse solo durante la tarea y retirarse al finalizar.

La trazabilidad también facilita medir el servicio y verificar que las actividades realizadas coincidan con las solicitudes autorizadas.

Notificación y manejo de incidentes

El contrato debe establecer plazos de notificación según la gravedad del incidente. Esperar a completar toda la investigación puede impedir que la empresa actúe a tiempo.

La comunicación inicial debería indicar qué ocurrió, qué sistemas podrían estar afectados y qué medidas se están aplicando. Las actualizaciones posteriores pueden ampliar la información conforme avance el análisis.

También debe definirse quién coordina con otros proveedores cuando el incidente involucra infraestructura, aplicaciones, redes o usuarios.

Terminación y eliminación de datos

La finalización del servicio debe incluir devolución, transferencia y eliminación segura de la información. El proveedor debe indicar qué copias entregará, en qué formato y durante cuánto tiempo conservará respaldos.

La empresa también debe recuperar accesos, configuraciones, repositorios y documentación antes de cerrar la relación. Cuando corresponda, puede solicitar evidencia de eliminación.

Un plan de salida reduce la dependencia y protege la continuidad. Prepararlo desde el inicio resulta más seguro que negociarlo cuando el servicio ya presenta dificultades.

¿Cómo supervisar la seguridad durante el servicio?

La seguridad debe revisarse mediante indicadores, evidencias y reuniones periódicas. Una evaluación inicial no garantiza que los controles sigan funcionando después de cambios de personal, herramientas o alcance.

La empresa debe designar un responsable interno que coordine accesos, revise incidentes, apruebe excepciones y mantenga la comunicación entre el proveedor, seguridad y las áreas del negocio.

Revisar accesos y cambios periódicamente

Los permisos deben revisarse con una frecuencia proporcional al riesgo. Los sistemas críticos pueden requerir controles mensuales o cada vez que cambie el equipo asignado.

La revisión debe detectar cuentas inactivas, privilegios innecesarios y accesos que ya no corresponden al alcance. Los cambios importantes también deben contar con aprobación, pruebas y trazabilidad.

Medir incidentes y reincidencias

La medición debe considerar gravedad, tiempo de detección, recuperación y recurrencia. Cerrar un ticket no demuestra que el riesgo haya sido eliminado.

Cuando un incidente reaparece, la empresa debe exigir análisis de causa y acciones correctivas. La repetición puede revelar configuraciones débiles, procedimientos incompletos o falta de conocimiento.

Las señales para medir si un proveedor de outsourcing TI funciona también incluyen trazabilidad, documentación, prevención y capacidad para corregir incidentes recurrentes.

Actualizar la evaluación cuando cambia el servicio

La evaluación debe repetirse cuando el proveedor incorpora herramientas, personas o subcontratistas. También debe actualizarse si el alcance incluye nuevos sistemas o categorías de datos.

Un servicio inicialmente limitado puede volverse crítico con el tiempo. Las integraciones, automatizaciones y accesos suelen crecer conforme evoluciona la relación.

La revisión periódica permite confirmar que los controles continúan siendo proporcionales al riesgo.

Conclusión

La seguridad de datos en una relación tercerizada depende de mantener visibilidad y capacidad de decisión. Un proveedor confiable debe demostrar controles, aceptar obligaciones contractuales y permitir que la empresa supervise cómo se utiliza su información.

Antes de tercerizar soporte, desarrollo, infraestructura, cloud, SAP o administración de aplicaciones, la organización debe evaluar la clasificación de datos, los accesos mínimos, la trazabilidad, la respuesta ante incidentes, la supervisión continua y el plan de salida.

Outsourcing TI con Altamira Technology

Altamira Technology acompaña a empresas peruanas mediante su servicio de Outsourcing TI, incorporando especialistas en SAP, cloud, DevOps, QA, infraestructura, ciberseguridad y desarrollo según la criticidad de cada operación.

El modelo incluye evaluación de perfiles, seguimiento continuo y modalidades adaptables para proyectos o necesidades permanentes, manteniendo coordinación con los responsables internos. Conversa con nuestro equipo y cuéntanos tu situación actual.