La relación entre proveedores tecnológicos y ciberseguridad es cada vez más importante para cualquier empresa que utilice servicios cloud, software de terceros, comunicaciones, almacenamiento o plataformas gestionadas externamente.
El reciente caso de Vodafone España lo vuelve a poner sobre la mesa.
La Agencia Española de Protección de Datos impuso dos sanciones que suman 1,8 millones de euros. Una de ellas está relacionada con una brecha sufrida en 2023 por la plataforma utilizada para prestar el servicio Super WiFi, gestionada por un proveedor tecnológico externo. El incidente afectó a alrededor de 60.000 usuarios en España.
La otra sanción se relaciona con deficiencias en procesos de verificación de identidad y tratamiento de datos en atención al cliente. Vodafone ha recurrido ambas resoluciones ante la Audiencia Nacional y sostiene que los incidentes derivaron de actuaciones de terceros.
Más allá del importe de la sanción, el caso deja una enseñanza especialmente útil para cualquier pyme:
externalizar un servicio no significa externalizar completamente el riesgo.
¿Qué ocurrió con el servicio Super WiFi de Vodafone?
El incidente relacionado con Super WiFi se remonta a noviembre de 2023.
La plataforma tecnológica era gestionada por Plume, proveedor de la infraestructura utilizada para ese servicio.
Según la información publicada sobre la resolución, un acceso no autorizado a sistemas del proveedor permitió la extracción de una base de datos que afectaba a aproximadamente 60.000 usuarios de Vodafone en España.
Entre los datos expuestos figuraban elementos como:
- nombre y apellidos;
- dirección de correo electrónico;
- tipo de dispositivo;
- operador;
- ubicación aproximada;
- versión del sistema operativo.
La investigación de la AEPD cuestionó especialmente la protección de la plataforma, señalando carencias relacionadas con autenticación y cifrado de la información.
Proveedores tecnológicos y ciberseguridad: el problema de la cadena de suministro
Una empresa puede proteger correctamente sus propios ordenadores y servidores.
Sin embargo, hoy prácticamente ninguna organización funciona de forma aislada.
Utilizamos proveedores para:
- Microsoft 365;
- almacenamiento cloud;
- CRM;
- ERP;
- copias de seguridad;
- soporte;
- comunicaciones;
- facturación;
- redes;
- plataformas web;
- servicios de seguridad.
Cada conexión con un tercero introduce una dependencia.
Y cada dependencia puede convertirse en parte de la cadena de suministro tecnológica.
Por eso una estrategia de seguridad debe preguntarse no solo:
“¿Estamos protegidos nosotros?”
También:
“¿Quién tiene acceso a nuestros datos y cómo los protege?”
Externalizar un servicio no elimina la responsabilidad sobre los datos
Este es probablemente el punto más importante del caso.
Cuando una empresa utiliza a un tercero para prestar un servicio, ese tercero puede realizar técnicamente una parte del tratamiento.
Pero eso no significa que la empresa pueda desentenderse completamente de cómo se protegen los datos.
En la resolución analizada, la AEPD recalcó que externalizar determinadas operaciones no elimina automáticamente la responsabilidad de quien mantiene la relación con el cliente y decide cómo se utilizan los datos.
Dicho de forma sencilla:
contratar un proveedor no convierte el riesgo en problema exclusivo del proveedor.
¿Qué debería revisar una empresa antes de contratar un proveedor tecnológico?
No basta con comprobar:
“¿Funciona el servicio?”
También conviene revisar:
- qué datos necesita;
- dónde se almacenan;
- quién puede acceder;
- cómo se autentican los administradores;
- si existe MFA;
- si los datos están cifrados;
- qué logs se generan;
- cuánto tiempo se conservan;
- cómo se notifican los incidentes;
- qué subcontratistas intervienen.
Además, debería existir una respuesta clara para otra pregunta:
¿qué ocurre si ese proveedor sufre una brecha mañana?
Proveedores tecnológicos y ciberseguridad: MFA ya no debería ser opcional
La autenticación sigue siendo una de las principales barreras frente a accesos no autorizados.
Un servicio administrativo protegido únicamente con:
usuario + contraseña
ofrece menos resistencia frente a:
- robo de credenciales;
- phishing;
- reutilización de contraseñas;
- filtraciones anteriores;
- ataques automatizados.
Por eso resulta recomendable aplicar MFA siempre que el servicio lo permita.
Especialmente en:
- paneles administrativos;
- servicios cloud;
- VPN;
- Microsoft 365;
- accesos de proveedores;
- cuentas privilegiadas.
Una contraseña comprometida no debería ser suficiente para acceder a información crítica.
No todo MFA proporciona exactamente la misma protección
Además, no todas las formas de MFA son iguales.
Por ejemplo:
SMS
añade una capa, pero puede estar expuesto a determinadas técnicas de fraude.
Aplicaciones autenticadoras
mejoran el nivel de protección.
Passkeys o claves FIDO2
pueden ofrecer mayor resistencia frente al phishing.
Por tanto, la evolución natural de muchas empresas debería ser:
contraseña → MFA → autenticación resistente al phishing
especialmente para administradores y cuentas de alto privilegio.
El cifrado sigue siendo fundamental
El segundo gran elemento es el cifrado.
Una plataforma puede proteger información:
en tránsito
cuando viaja por Internet.
Y también:
en reposo
cuando está almacenada.
Ambos escenarios son importantes.
Por ejemplo, utilizar HTTPS protege una comunicación mientras se transmite.
Sin embargo, si una base de datos almacenada no dispone de medidas adecuadas, una intrusión sobre el servidor puede seguir exponiendo información.
Por eso el cifrado debe evaluarse dentro de una estrategia completa.
Cifrar los datos no significa que desaparezca todo el riesgo
El cifrado es una capa muy importante.
Pero depende de:
- cómo se gestionan las claves;
- quién puede descifrar;
- qué cuentas tienen acceso;
- cómo se autentican;
- qué permisos existen.
Si un atacante compromete una cuenta con capacidad legítima para consultar datos, el cifrado por sí solo puede no impedir el acceso.
Por eso la seguridad se diseña en capas.
Proveedores tecnológicos y ciberseguridad: principio de mínimo privilegio
Un proveedor debería tener únicamente el acceso necesario para prestar su servicio.
No más.
Por ejemplo:
Si un técnico necesita administrar un switch, quizá no necesita acceso también a:
- Microsoft 365;
- servidores;
- NAS;
- administración de usuarios.
Del mismo modo, una aplicación no debería recibir permisos globales si únicamente necesita consultar una pequeña parte de la información.
Esto es el principio de mínimo privilegio.
Y se aplica tanto a empleados como a proveedores.
Las cuentas compartidas dificultan las investigaciones
Otro error común consiste en crear:
usuario: administrador
y compartir la contraseña entre varias personas o proveedores.
El problema aparece cuando ocurre algo.
¿Quién entró?
¿Quién cambió la configuración?
¿Quién descargó los datos?
Con cuentas individuales y registros de auditoría podemos obtener mucha más trazabilidad.
Por eso debería evitarse, siempre que sea posible, el uso de cuentas administrativas compartidas.
Una pyme también tiene cadena de suministro
El concepto puede parecer propio de grandes multinacionales.
Sin embargo, una pyme ya tiene probablemente varios proveedores tecnológicos.
Por ejemplo:
- empresa informática;
- Microsoft 365;
- aplicación de contabilidad;
- gestoría;
- proveedor web;
- backup cloud;
- telefonía;
- firewall;
- hosting.
Cada uno puede tener acceso directo o indirecto a información.
Por eso proveedores tecnológicos y ciberseguridad no es una cuestión exclusiva de grandes organizaciones.
¿Qué riesgos puede introducir un proveedor?
Existen diferentes escenarios.
Credenciales comprometidas
Una cuenta del proveedor es robada.
Aplicación vulnerable
El software utilizado contiene una vulnerabilidad.
Error de configuración
Un servicio cloud queda demasiado expuesto.
Permisos excesivos
La aplicación tiene más acceso del necesario.
Brecha del propio proveedor
El atacante compromete su infraestructura y desde ahí alcanza a sus clientes.
Falta de trazabilidad
No existen logs suficientes para reconstruir lo ocurrido.
Cada escenario necesita medidas diferentes.
El caso Vodafone demuestra que también hay que revisar a los subcontratistas
En muchas organizaciones la cadena no termina en el proveedor principal.
Puede existir:
empresa → proveedor → subcontratista → plataforma cloud
Por tanto, preguntar únicamente:
“¿Quién es mi proveedor?”
puede no ser suficiente.
También conviene saber:
“¿De qué otros proveedores depende?”
Este punto adquiere especial importancia cuando se gestionan:
- datos personales;
- información financiera;
- infraestructuras críticas;
- documentación confidencial.
Proveedores cloud: usar una gran plataforma no elimina el riesgo
Azure, AWS, Google Cloud y otras plataformas disponen de controles de seguridad muy avanzados.
Sin embargo, existe un concepto fundamental:
responsabilidad compartida.
El proveedor cloud protege determinadas capas.
El cliente sigue siendo responsable de otras.
Por ejemplo:
El proveedor puede proteger físicamente el centro de datos.
Pero el cliente puede seguir teniendo que configurar:
- identidades;
- MFA;
- permisos;
- reglas de acceso;
- almacenamiento;
- cifrado;
- logs.
Por eso:
estar en la nube no significa estar automáticamente seguro.
¿Qué significa responsabilidad compartida?
Podemos simplificarlo con un ejemplo.
Microsoft protege la infraestructura de Microsoft 365.
Sin embargo, una empresa sigue teniendo que decidir:
- quién es administrador;
- quién tiene acceso;
- si se utiliza MFA;
- desde qué países se permite iniciar sesión;
- qué aplicaciones OAuth se autorizan;
- qué dispositivos pueden entrar.
El proveedor asegura una parte.
La organización asegura otra.
Proveedores tecnológicos y ciberseguridad en Microsoft 365
Microsoft 365 es un buen ejemplo.
Una empresa puede tener:
- Exchange Online;
- SharePoint;
- OneDrive;
- Teams;
- Entra ID.
La plataforma proporciona una infraestructura robusta.
Sin embargo, una cuenta administrativa comprometida puede seguir causando problemas.
Por eso conviene utilizar:
- MFA;
- Acceso Condicional;
- mínimo privilegio;
- revisión de aplicaciones;
- auditoría;
- monitorización.
Puede conocer más sobre nuestras soluciones de ciberseguridad para empresas.
Revisar proveedores también forma parte del RGPD
Cuando existe tratamiento de datos personales, el proveedor puede desempeñar diferentes roles jurídicos.
En muchos escenarios actuará como encargado del tratamiento.
Por tanto, la relación debería estar correctamente documentada.
Además, las medidas de seguridad deben ser adecuadas al riesgo.
La AEPD mantiene información y recursos específicos sobre brechas de datos personales y las obligaciones asociadas a su gestión.
¿Qué ocurre si el proveedor sufre una brecha?
La primera necesidad es conocerla.
Por eso los contratos y procedimientos deberían contemplar:
- comunicación rápida;
- información técnica disponible;
- sistemas afectados;
- datos implicados;
- medidas adoptadas;
- evolución de la investigación.
Si la empresa se entera días después, el margen para reaccionar puede reducirse considerablemente.
La velocidad de comunicación también es seguridad
Imaginemos:
Día 1: el proveedor detecta un acceso.
Día 2: empieza a investigar.
Día 5: informa al cliente.
Mientras tanto, la empresa afectada quizá no sabe que debería:
- revocar credenciales;
- bloquear una integración;
- revisar logs;
- informar internamente.
Por eso un buen proveedor no solo necesita tecnología.
También necesita un buen procedimiento de notificación.
Proveedores tecnológicos y ciberseguridad: el derecho de auditoría
En servicios especialmente críticos, una empresa puede necesitar conocer:
- certificaciones;
- controles;
- auditorías;
- procedimientos;
- evidencias.
No siempre será posible acceder directamente a toda la infraestructura del proveedor.
Pero sí deberían existir mecanismos para demostrar que mantiene medidas adecuadas.
Por ejemplo:
- ISO 27001;
- informes de auditoría;
- certificaciones;
- políticas;
- documentación de seguridad.
Naturalmente, una certificación tampoco garantiza que nunca ocurra un incidente.
Pero proporciona cierta evidencia de que existe un sistema estructurado.
El proveedor más barato puede acabar siendo caro
La contratación tecnológica suele centrarse en:
precio + funcionalidad
Sin embargo, también debería incluir:
seguridad + continuidad + soporte + trazabilidad
Un servicio ligeramente más barato puede resultar mucho más caro si:
- no dispone de MFA;
- no genera logs;
- no mantiene copias;
- tarda días en responder;
- utiliza versiones obsoletas.
Por eso la seguridad debería formar parte de la evaluación económica.
Proveedores tecnológicos y ciberseguridad en administraciones de fincas
Una administración de fincas puede depender de numerosos proveedores:
- aplicaciones de gestión;
- Microsoft 365;
- banca;
- certificados;
- hosting;
- copias de seguridad.
Además, maneja información de propietarios, proveedores y comunidades.
Por tanto, un problema en un tercero puede afectar directamente a la actividad de la administración.
Asesorías contables y laborales
Las asesorías almacenan información especialmente sensible:
- nóminas;
- DNI;
- cuentas bancarias;
- documentación fiscal;
- contratos.
Además, suelen utilizar varias plataformas externas.
Por eso resulta especialmente importante conocer:
quién tiene acceso a qué información.
Despachos de abogados
Un despacho puede utilizar:
- gestor documental;
- correo;
- Microsoft 365;
- almacenamiento cloud;
- software jurídico;
- copias externas.
Una brecha de un proveedor puede afectar información con un elevado nivel de confidencialidad.
Por tanto, las garantías de seguridad deberían evaluarse antes de contratar el servicio.
Arquitectura e ingeniería
Estos sectores también dependen fuertemente de terceros.
Por ejemplo:
- Autodesk;
- almacenamiento cloud;
- NAS;
- backup;
- Microsoft 365;
- aplicaciones técnicas.
Además de datos personales, pueden existir:
- proyectos;
- planos;
- propiedad intelectual;
- presupuestos.
Por tanto, la protección debe contemplar tanto privacidad como continuidad empresarial.
El acceso remoto de proveedores merece especial atención
Muchos proveedores técnicos necesitan acceso remoto.
Esto puede ser completamente legítimo.
Sin embargo, deberían existir medidas como:
- cuentas individuales;
- MFA;
- acceso temporal;
- restricciones;
- logs;
- revisión periódica.
Una cuenta remota permanente que nadie revisa durante años puede convertirse en un riesgo innecesario.
Las cuentas antiguas deben eliminarse
Imaginemos que una empresa cambia de proveedor.
¿Se eliminan todas sus cuentas?
¿Se revocan las VPN?
¿Se retiran permisos?
¿Se eliminan aplicaciones?
A veces quedan accesos olvidados durante años.
Por eso el proceso de baja de un proveedor debería incluir también una revisión técnica.
Proveedores tecnológicos y ciberseguridad: monitorizar lo que ocurre
La prevención nunca es perfecta.
Por eso también necesitamos capacidad para detectar comportamientos anómalos.
Por ejemplo:
- accesos fuera de horario;
- nuevos administradores;
- cambios de configuración;
- inicios desde países inesperados;
- descargas masivas;
- nuevas aplicaciones.
Microsoft 365, firewalls, servidores y otras plataformas generan información que puede ayudar a investigar estas situaciones.
SIEM: centralizar las evidencias
Una empresa puede tener logs repartidos entre:
- Microsoft 365;
- firewall;
- Windows;
- Linux;
- NAS;
- antivirus;
- switches.
Un SIEM permite centralizar esa información.
Después pueden aplicarse:
- búsquedas;
- reglas;
- correlaciones;
- alertas.
Puede conocer nuestro servicio de SIEM Wazuh para empresas.
El SOC aporta análisis sobre los eventos
Las herramientas generan eventos.
Sin embargo, alguien debe analizarlos.
Por ejemplo:
Nuevo administrador creado.
Eso puede ser legítimo.
O puede ser el inicio de un incidente.
Acceso desde otra ubicación.
Puede tratarse de un viaje.
O puede ser un robo de credenciales.
Nuestro SOC analiza el contexto disponible para determinar qué actividad necesita revisión o actuación.
Los logs del proveedor también importan
No todo puede investigarse desde nuestra infraestructura.
Si el incidente ocurre dentro del proveedor, necesitamos que este conserve suficientes evidencias.
Por eso, antes de contratar una plataforma crítica, conviene preguntar:
¿qué logs conserváis?
¿durante cuánto tiempo?
¿podéis proporcionarlos ante una incidencia?
Estas preguntas rara vez aparecen en una contratación comercial normal.
Pero son muy importantes cuando algo ocurre.
Hasta 400 días de histórico propio
En nuestros servicios de monitorización mantenemos hasta 400 días de logs de las fuentes integradas.
Esto puede ayudar a investigar:
- accesos;
- conexiones;
- cambios;
- alertas;
- correlaciones.
Naturalmente, no podemos conservar aquello que un proveedor externo no expone.
Por eso la integración y disponibilidad de registros debe estudiarse previamente.
Proveedores tecnológicos y ciberseguridad: continuidad de negocio
También debemos preguntar:
¿Qué hacemos si el proveedor deja de funcionar?
Puede ser por:
- ciberataque;
- avería;
- fallo eléctrico;
- problema cloud;
- error operativo.
Por tanto, la estrategia de proveedores también debe incluir continuidad.
Por ejemplo:
- conexión secundaria a Internet;
- copias independientes;
- procedimientos manuales;
- alternativas de comunicación.
La seguridad y la disponibilidad están relacionadas.
Dependencia excesiva de un único proveedor
Centralizar puede reducir complejidad.
Sin embargo, también puede crear dependencia.
Si correo, documentos, comunicaciones y autenticación dependen de la misma plataforma, una incidencia puede tener un impacto muy amplio.
No significa que debamos duplicarlo todo.
Pero sí debemos conocer:
- qué servicios son críticos;
- cuánto tiempo podemos estar sin ellos;
- qué alternativas existen.
El caso Vodafone y la identificación de clientes
La segunda sanción está relacionada con otro problema muy diferente: la verificación de identidad.
Según la información publicada sobre el expediente, se produjeron situaciones en las que los mecanismos aplicados no permitieron acreditar adecuadamente la identidad antes de realizar determinadas operaciones y entregar documentación con información personal.
Esto demuestra que la ciberseguridad no consiste únicamente en:
firewalls y antivirus.
Los procedimientos también son controles de seguridad.
Un procedimiento débil puede anular una buena tecnología
Podemos implementar MFA.
Pero si un operador telefónico puede modificar ciertos datos tras una verificación insuficiente, aparece otra vía.
Este tipo de problema se conoce normalmente como riesgo de:
ingeniería social
o fallo de proceso.
Por eso una empresa debe proteger:
personas + procesos + tecnología
Las tres capas son necesarias.
Verificar identidad antes de entregar información
Esto afecta a casi cualquier empresa.
Antes de proporcionar:
- facturas;
- contratos;
- datos personales;
- cambios de cuenta;
- contraseñas;
- documentos;
deberíamos saber quién los solicita.
Una simple pregunta como:
“¿Cuál es su DNI?”
puede no ser suficiente si esa información es fácilmente accesible.
Los procesos deben ajustarse al riesgo de la operación.
Proveedores externos de atención al cliente
La situación se complica cuando el soporte está externalizado.
El proveedor necesita:
- formación;
- procedimientos claros;
- controles;
- supervisión;
- permisos limitados.
Además, la empresa que contrata debe verificar que estas medidas realmente se cumplen.
De nuevo:
externalizar la operación no significa dejar de supervisarla.
Proveedores tecnológicos y ciberseguridad: qué debería incluir un contrato
Desde una perspectiva técnica, conviene definir elementos como:
- medidas de seguridad;
- MFA;
- cifrado;
- control de accesos;
- logs;
- copias;
- gestión de incidentes;
- plazos de notificación;
- destrucción de datos;
- subcontratación.
Desde la perspectiva de protección de datos también deben contemplarse las obligaciones correspondientes al tratamiento realizado.
Cuanto más crítico sea el proveedor, más detalle debería existir.
No basta con revisar al proveedor el día de la contratación
Una empresa puede contratar hoy una plataforma excelente.
Pero dentro de tres años:
- la arquitectura puede haber cambiado;
- los permisos pueden haber aumentado;
- pueden existir nuevos subcontratistas;
- los contactos pueden ser diferentes.
Por tanto, los proveedores críticos deberían revisarse periódicamente.
Cómo clasificar proveedores por riesgo
No todos necesitan el mismo nivel de control.
Podemos diferenciarlos según:
Datos
¿Maneja información sensible?
Acceso
¿Puede entrar en nuestra infraestructura?
Criticidad
¿Podemos trabajar sin él?
Privilegios
¿Tiene cuentas administrativas?
Dependencia
¿Cuántos sistemas dependen del servicio?
A mayor impacto potencial, mayor debería ser la supervisión.
Un proveedor de limpieza y un proveedor cloud no tienen el mismo riesgo
Los dos son proveedores.
Pero el análisis debe ser diferente.
Un proveedor con acceso administrativo a:
- Microsoft 365;
- servidores;
- copias;
necesita controles mucho más estrictos.
Por eso una lista genérica de proveedores no es suficiente.
Necesitamos saber qué función desempeña cada uno.
Proveedores tecnológicos y ciberseguridad: preguntas para una auditoría básica
Una empresa puede comenzar con preguntas muy sencillas:
¿Qué proveedores tienen acceso a nuestros datos?
¿Qué proveedores tienen acceso remoto?
¿Utilizan MFA?
¿Qué cuentas tienen?
¿Podemos ver sus accesos?
¿Cuánto tiempo guardan logs?
¿Cómo nos avisarán de una brecha?
¿Quiénes son sus subcontratistas?
Si muchas respuestas son desconocidas, existe trabajo por hacer.
La cadena de suministro es también una cuestión de confianza
Una empresa entrega parte de su información a un proveedor porque confía en él.
Pero en ciberseguridad la confianza debería apoyarse en controles verificables.
Por eso hablamos cada vez más de Zero Trust.
La idea no es desconfiar de todo el mundo.
Es evitar depender únicamente de la confianza.
En cambio:
verificar + limitar + registrar
Zero Trust aplicado a proveedores
Un proveedor remoto puede necesitar acceder a un servidor.
En lugar de:
VPN abierta permanentemente
podemos plantear:
- cuenta individual;
- MFA;
- acceso únicamente cuando se necesita;
- permiso al recurso concreto;
- registro de actividad.
Así se reduce el impacto si sus credenciales son comprometidas.
Proveedores tecnológicos y ciberseguridad: una lección para las pymes
El caso Vodafone es grande.
Pero la enseñanza es completamente aplicable a pequeñas empresas.
Una pyme quizá no tenga 60.000 clientes.
Sin embargo, puede depender de un único proveedor para:
- copias;
- correo;
- ERP;
- contabilidad.
Si ese proveedor tiene una incidencia, la empresa también puede sufrir las consecuencias.
Por eso la gestión de terceros debe formar parte de la seguridad.
Siete controles que conviene revisar
Para cualquier proveedor crítico recomendamos revisar al menos:
- MFA
- Mínimo privilegio
- Cifrado
- Logs
- Copias
- Notificación de incidentes
- Revisión periódica de accesos
Estos controles no eliminan todos los riesgos.
Pero reducen considerablemente la exposición.
¿Qué puede hacer hoy una empresa?
No hace falta comenzar con un proyecto enorme.
Primer paso:
hacer una lista de proveedores tecnológicos.
Después marcar:
- qué datos manejan;
- qué accesos tienen;
- qué servicios prestan;
- si son críticos.
A continuación pueden priorizarse los de mayor riesgo.
Este inventario sencillo ya suele descubrir situaciones que nadie recordaba.
Conclusión: externalizar tecnología no significa externalizar el riesgo
La relación entre proveedores tecnológicos y ciberseguridad se ha convertido en una pieza fundamental de cualquier estrategia de protección empresarial.
El caso de Vodafone España vuelve a demostrarlo.
Una de las sanciones analizadas está relacionada con una brecha sufrida por la plataforma de un proveedor tecnológico utilizado en el servicio Super WiFi, que afectó aproximadamente a 60.000 usuarios españoles. La AEPD cuestionó determinadas medidas de autenticación y cifrado aplicadas en ese entorno.
La otra resolución muestra un riesgo completamente diferente:
los procedimientos de verificación de identidad también forman parte de la seguridad.
Vodafone ha recurrido las sanciones y sostiene que los incidentes son atribuibles a terceros. Por tanto, conviene distinguir entre las conclusiones de la AEPD y la posición de la compañía mientras continúan los procedimientos judiciales.
Para cualquier empresa, las principales enseñanzas son claras:
externalizar no elimina responsabilidad.
MFA y cifrado siguen siendo fundamentales.
los proveedores necesitan mínimo privilegio.
los accesos deben registrarse.
los incidentes deben comunicarse rápidamente.
los proveedores críticos deben revisarse periódicamente.
En GHM Soluciones Informáticas ayudamos a empresas a mejorar su ciberseguridad, proteger Microsoft 365, administrar firewalls y endpoints y disponer de mayor visibilidad mediante SIEM Wazuh y análisis SOC.
¿Sabes actualmente cuántos proveedores externos tienen acceso a los sistemas o datos de tu empresa y qué medidas de seguridad utilizan?
Solicitar una revisión de ciberseguridad
Preguntas frecuentes sobre proveedores tecnológicos y ciberseguridad
¿Qué relación existe entre proveedores tecnológicos y ciberseguridad?
Los proveedores pueden alojar datos, administrar sistemas o disponer de accesos privilegiados. Por tanto, una incidencia en su infraestructura puede afectar también a sus clientes.
¿Qué ocurrió en el caso Super WiFi de Vodafone?
Una brecha sufrida en 2023 por la plataforma tecnológica gestionada por Plume derivó en la exposición de información de aproximadamente 60.000 usuarios de Vodafone en España.
¿Qué datos estuvieron expuestos?
Según la información publicada sobre la resolución, figuraban nombres, apellidos, correos electrónicos, información del dispositivo, operador, ubicación aproximada y versión del sistema operativo.
¿Cuál fue el origen del incidente?
La información publicada indica que la brecha se produjo después de un acceso no autorizado a infraestructura del proveedor mediante credenciales comprometidas.
¿Vodafone acepta las sanciones?
Vodafone ha recurrido las resoluciones ante la Audiencia Nacional y sostiene que los incidentes fueron consecuencia de actuaciones de terceros.
¿Externalizar un servicio elimina la responsabilidad de la empresa?
No necesariamente. La responsabilidad depende del papel de cada entidad y de las circunstancias del tratamiento. La externalización no significa que la empresa pueda dejar de supervisar cómo se protegen los datos.
¿Qué debería exigirse a un proveedor crítico?
MFA, mínimo privilegio, cifrado, registro de actividad, gestión de vulnerabilidades, copias, procedimientos de respuesta y comunicación rápida de incidentes.
¿Por qué es importante el MFA?
Porque reduce el riesgo de que una contraseña comprometida sea suficiente para acceder a un sistema.
¿Por qué es importante el cifrado?
Porque ayuda a proteger la información tanto durante las comunicaciones como durante su almacenamiento, dependiendo de la implementación.
¿Qué es la cadena de suministro tecnológica?
Es el conjunto de proveedores, plataformas y subcontratistas de los que depende una empresa para prestar sus servicios.
¿Un proveedor cloud puede sufrir una brecha?
Sí. El uso de cloud reduce determinados riesgos y aporta controles avanzados, pero no elimina la posibilidad de errores, credenciales comprometidas o configuraciones inseguras.
¿Qué es el principio de responsabilidad compartida?
Significa que el proveedor protege determinadas partes de la infraestructura mientras el cliente sigue siendo responsable de aspectos como identidades, permisos y configuración.
¿Por qué deben revisarse los accesos de proveedores?
Porque una cuenta externa antigua o con permisos excesivos puede convertirse en una vía de entrada si sus credenciales son comprometidas.
¿Un SIEM ayuda a controlar proveedores?
Puede ayudar a centralizar y analizar los logs disponibles de accesos, cambios y actividad, siempre que las fuentes utilizadas proporcionen esa telemetría.
¿Por qué conservar logs durante meses?
Porque algunos incidentes se detectan mucho después. Un histórico amplio facilita reconstruir accesos y cambios anteriores.
¿Qué debería hacer primero una pyme?
Inventariar sus proveedores tecnológicos y determinar cuáles acceden a información, sistemas o servicios críticos.
