Ciberseguridad de proveedores: qué debería exigir una empresa antes de dar acceso a sus sistemas y datos

• Lunes, 14 Sept 2026

Muchas empresas controlan razonablemente bien a sus empleados, pero no siempre aplican el mismo nivel de control a los proveedores que tienen acceso a sus sistemas, aplicaciones o información.

El proveedor informático, la empresa que mantiene el ERP, el soporte del software de gestión, el desarrollador de la web, el proveedor cloud o un técnico externo pueden necesitar acceso para prestar su servicio.

La pregunta importante no es solo “¿qué proveedores tenemos?”, sino:

¿Sabemos exactamente a qué puede acceder cada proveedor, con qué permisos y quién revisa esos accesos?

La ciberseguridad de proveedores forma parte de la gestión de riesgos de cualquier empresa. Un tercero con acceso privilegiado puede convertirse en una vía de entrada si su seguridad es insuficiente, si mantiene permisos innecesarios o si nadie supervisa adecuadamente la relación.

En este artículo repasamos qué debería revisar una empresa antes de conceder acceso a un proveedor y qué controles conviene mantener durante toda la relación.

Por qué los proveedores forman parte del riesgo de ciberseguridad

Las empresas dependen cada vez más de servicios externos para operar.

Eso puede incluir proveedores con acceso a:

• Servidores y sistemas internos.
• Microsoft 365.
• ERP y aplicaciones de negocio.
• Bases de datos.
• Copias de seguridad.
• Redes y comunicaciones.
• Infraestructura cloud.
• Información de clientes, empleados o proveedores.

El problema aparece cuando esos accesos se conceden por necesidad operativa y después permanecen activos durante meses o años sin revisarse.

También puede ocurrir que un proveedor utilice cuentas compartidas, contraseñas débiles o accesos permanentes cuando solo necesita intervenir de forma puntual.

Por eso, la gestión de proveedores no debería limitarse a firmar un contrato. También debe incluir criterios de seguridad proporcionales al riesgo que representa cada tercero.

No todos los proveedores representan el mismo riesgo

Uno de los errores más frecuentes es aplicar los mismos requisitos a todos los proveedores.

No tiene sentido evaluar de la misma forma a una empresa que suministra material de oficina que a un proveedor que dispone de acceso administrativo a Microsoft 365, servidores o sistemas de producción.

Antes de exigir controles, conviene analizar aspectos como:

• Qué sistemas puede utilizar el proveedor.
• Qué información puede consultar o modificar.
• Si dispone de acceso administrativo.
• Si el acceso es permanente o puntual.
• Qué impacto tendría una indisponibilidad del proveedor.
• Qué ocurriría si sus credenciales fueran comprometidas.

Esta clasificación permite concentrar los esfuerzos en los terceros que realmente pueden afectar al negocio.

Es el mismo principio que debería aplicarse en cualquier análisis de riesgos de ciberseguridad: priorizar según impacto y probabilidad, no aplicar controles de forma indiscriminada.

1. Saber qué proveedores tienen acceso a los sistemas

El primer paso es disponer de un inventario básico.

La empresa debería poder responder:

• Qué proveedores tienen acceso técnico.
• A qué sistemas accede cada uno.
• Qué tipo de permisos tiene.
• Quién autorizó ese acceso.
• Desde cuándo está activo.
• Quién es el responsable interno de esa relación.

Si esta información no está centralizada, es fácil que existan accesos antiguos que nadie recuerda.

2. Evitar cuentas compartidas

Siempre que sea posible, cada persona que acceda a los sistemas debería utilizar una cuenta identificable.

Las cuentas compartidas dificultan saber quién realizó una acción concreta y complican la revocación de accesos cuando cambia el personal del proveedor.

Una cuenta genérica utilizada por varias personas puede convertirse además en una credencial que permanece activa durante años.

Las cuentas nominativas facilitan la trazabilidad y permiten aplicar permisos de forma más precisa.

3. Aplicar el principio de mínimo privilegio

Un proveedor debería disponer únicamente de los permisos necesarios para realizar su trabajo.

No debería concederse acceso administrativo completo simplemente porque sea más cómodo.

Conviene revisar:

• Qué privilegios necesita realmente.
• Si puede acceder a información que no necesita.
• Si puede modificar configuraciones críticas.
• Si existen permisos heredados o excesivos.
• Si el acceso puede limitarse a determinados sistemas.

Reducir privilegios limita también el impacto potencial si una cuenta del proveedor se ve comprometida.

4. Proteger los accesos con MFA

Cuando un tercero accede a sistemas críticos, la autenticación multifactor debería formar parte de las medidas básicas de protección siempre que la tecnología lo permita.

No tendría sentido exigir MFA a los empleados y permitir al proveedor acceder únicamente con usuario y contraseña a sistemas sensibles.

La empresa también debería comprobar que no existen excepciones permanentes creadas para facilitar tareas de soporte.

Puedes ampliar este punto en nuestro artículo sobre MFA para empresas.

5. Evitar accesos permanentes cuando no son necesarios

No todos los proveedores necesitan mantener una conexión abierta de forma continua.

En algunos casos puede ser más adecuado habilitar el acceso únicamente durante una intervención concreta y revocarlo después.

Este criterio es especialmente importante en:

• Soportes puntuales.
• Mantenimiento remoto.
• Consultores externos.
• Proveedores que intervienen solo en incidencias.

Cuanto más tiempo permanece activo un acceso, mayor es la ventana de exposición.

6. Revisar cómo se conectan los proveedores

No basta con saber que un proveedor tiene acceso. También importa cómo accede.

Conviene revisar aspectos como:

• Uso de VPN o accesos remotos protegidos.
• Origen de las conexiones.
• Uso de equipos corporativos o personales.
• Registro de actividad.
• Restricciones horarias cuando sean razonables.
• Protección de las credenciales utilizadas.

Un acceso remoto mal gestionado puede convertirse en una puerta de entrada directa a sistemas internos.

7. Revisar aplicaciones, tokens y accesos técnicos

No todos los accesos de terceros se realizan mediante una pantalla de login.

También pueden existir:

• API keys.
• Tokens.
• Claves SSH.
• Aplicaciones autorizadas.
• Cuentas de servicio.
• Integraciones entre plataformas.

Estos accesos suelen pasar más desapercibidos que una cuenta de usuario tradicional.

Por eso conviene documentar qué credenciales técnicas existen, quién las utiliza, qué permisos tienen y cuándo deben renovarse o eliminarse.

8. Definir qué ocurre cuando termina la relación

La baja de un proveedor debería estar tan controlada como su alta.

Cuando termina una relación contractual o cambia el equipo asignado, debería revisarse:

• Revocación de cuentas.
• Eliminación de claves SSH.
• Revocación de tokens y API keys.
• Eliminación de accesos VPN.
• Retirada de permisos en aplicaciones.
• Eliminación de usuarios externos.

Una credencial olvidada puede seguir funcionando mucho tiempo después de que la relación haya terminado.

9. Saber qué hacer si el proveedor sufre un incidente

Un incidente en un proveedor puede afectar directamente a la empresa.

Por ejemplo, si un tercero sufre el robo de credenciales que utiliza para acceder a nuestros sistemas, el problema deja de ser únicamente suyo.

Por eso conviene definir de antemano:

• Cómo debe comunicar el proveedor un incidente.
• A quién debe avisar dentro de nuestra empresa.
• Qué accesos pueden revocarse rápidamente.
• Cómo se analizará la posible afectación.
• Qué evidencias pueden ser necesarias.

Estas decisiones deberían estar coordinadas con el plan de respuesta a incidentes de la organización.

10. Pedir evidencias de seguridad de forma proporcional

En determinados casos puede ser razonable solicitar al proveedor información o evidencias sobre cómo gestiona la seguridad.

Dependiendo del riesgo, esto podría incluir:

• Políticas de seguridad.
• Uso de MFA.
• Procedimientos de gestión de incidentes.
• Gestión de copias de seguridad.
• Certificaciones o auditorías cuando sean relevantes.
• Medidas de continuidad.
• Gestión de subcontratistas.

Pero no todos los proveedores necesitan entregar la misma documentación.

Pedir una certificación ISO 27001 a cualquier proveedor, independientemente de su función, no siempre es razonable.

Lo importante es que las exigencias sean proporcionales al riesgo que el proveedor introduce.

Proveedores, NIS2 y cadena de suministro

La gestión de proveedores también ha ganado relevancia por el creciente peso de la cadena de suministro en la ciberseguridad.

NIS2 contempla la seguridad de la cadena de suministro dentro de las medidas de gestión de riesgos que deben considerar las organizaciones incluidas en su ámbito de aplicación.

Esto no significa que cualquier pyme esté automáticamente obligada por NIS2.

Sin embargo, muchas empresas pueden encontrarse con nuevas exigencias indirectas porque sus clientes, grupos empresariales o socios necesitan demostrar que gestionan adecuadamente los riesgos asociados a sus proveedores.

Por eso es cada vez más habitual recibir cuestionarios o requisitos relacionados con accesos, incidentes, continuidad, MFA o protección de la información.

Si quieres profundizar en este ámbito, puedes consultar nuestra página sobre cumplimiento NIS2.

Errores habituales en la gestión de proveedores

Algunas situaciones que conviene evitar son:

• No saber qué proveedores tienen acceso actualmente.
• Utilizar cuentas compartidas.
• Conceder permisos administrativos por comodidad.
• Mantener accesos activos de proveedores antiguos.
• No aplicar MFA a accesos externos.
• No revisar tokens, claves SSH o cuentas de servicio.
• No definir qué debe ocurrir si el proveedor sufre un incidente.
• No asignar un responsable interno para cada proveedor crítico.

El problema suele aparecer cuando los accesos se gestionan únicamente desde la urgencia operativa.

Se concede permiso para resolver una incidencia y después nadie vuelve a revisarlo.

Cómo saber qué proveedores deberían revisarse primero

Si una empresa trabaja con muchos terceros, no es necesario empezar revisándolos todos con el mismo nivel de detalle.

Una forma práctica es priorizar los que:

• Tienen acceso administrativo.
• Gestionan sistemas críticos.
• Acceden a información sensible.
• Pueden interrumpir procesos importantes.
• Gestionan copias de seguridad.
• Administran Microsoft 365 o infraestructura cloud.
• Tienen conexiones permanentes con la red.

A partir de ahí puede definirse una revisión proporcional para cada nivel de riesgo.

La gestión de proveedores también necesita gobierno

La parte técnica es importante, pero no suficiente.

Alguien dentro de la organización debe decidir:

• Qué proveedores son críticos.
• Qué requisitos de seguridad deben cumplir.
• Quién puede autorizar accesos.
• Cuándo deben revisarse.
• Qué ocurre si no cumplen los requisitos.
• Quién coordina la respuesta si se produce un incidente.

Cuando estas responsabilidades no están definidas, la seguridad de terceros suele quedar repartida entre IT, administración, compras y proveedores sin que nadie tenga una visión completa.

Cómo puede ayudar una auditoría de ciberseguridad

Una auditoría de ciberseguridad puede ayudar a identificar qué terceros tienen acceso a sistemas relevantes, qué permisos existen y qué carencias deberían corregirse.

La revisión no debería centrarse únicamente en vulnerabilidades técnicas.

También debería analizar:

• Responsabilidades.
• Accesos externos.
• Privilegios.
• Procesos de alta y baja.
• Gestión de credenciales.
• Respuesta a incidentes.
• Dependencias críticas.

El papel de un vCISO en la gestión de proveedores

La gestión del riesgo de terceros es también una función de gobierno de ciberseguridad.

Un servicio de vCISO para pymes puede ayudar a establecer criterios, clasificar proveedores por riesgo, definir controles mínimos y revisar periódicamente si las medidas siguen siendo adecuadas.

El objetivo no es añadir burocracia innecesaria, sino evitar que accesos críticos permanezcan fuera de control simplemente porque pertenecen a un tercero.

Preguntas frecuentes sobre ciberseguridad de proveedores

¿Todos los proveedores deben cumplir los mismos requisitos de seguridad?

No. Los controles deberían adaptarse al riesgo. Un proveedor con acceso administrativo a sistemas críticos requiere un nivel de revisión diferente al de un proveedor sin acceso a información o infraestructura.

¿Es recomendable exigir MFA a los proveedores?

Cuando acceden a sistemas sensibles y la tecnología lo permite, MFA es una medida básica para reducir el riesgo asociado al robo de credenciales.

¿Debemos pedir ISO 27001 a todos los proveedores?

No. ISO 27001 puede ser una evidencia útil en determinados contextos, pero no debería convertirse en un requisito automático para cualquier proveedor. La exigencia debe ser proporcional al riesgo y a las necesidades de la empresa.

¿Qué ocurre si un proveedor sufre un ciberataque?

La empresa debería evaluar si sus sistemas, credenciales o información pueden haberse visto afectados, revocar accesos cuando sea necesario y coordinar la respuesta de acuerdo con sus procedimientos internos.

¿Cada cuánto deberían revisarse los accesos de los proveedores?

No existe una periodicidad única válida para todas las organizaciones. Los proveedores críticos deberían revisarse de forma periódica y también cuando cambian contratos, personal, sistemas, permisos o condiciones del servicio.

¿Una pyme necesita un responsable específico para gestionar estos riesgos?

No necesariamente a tiempo completo, pero sí debe existir una responsabilidad clara. Puede asumirla un responsable interno, coordinarse con IT o formar parte de una función de gobierno mediante un servicio de vCISO.

¿Sabes qué proveedores pueden acceder hoy a los sistemas de tu empresa?

Si no existe una respuesta clara, puede ser un buen momento para revisar los accesos externos, clasificar los proveedores por riesgo y eliminar permisos que ya no sean necesarios.

En Berna Network podemos ayudarte a identificar estas dependencias, evaluar su impacto y establecer una gestión de proveedores adaptada al tamaño y realidad de tu organización.

¿Quieres revisar el riesgo de tus proveedores y accesos externos?

CONTÁCTANOS