Plantilla gratuita de cuestionario de evaluación de riesgos de proveedores (2023)
Un cuestionario de gestión de riesgos de proveedores (también conocido como cuestionario de evaluación de riesgos de terceros o cuestionario de evaluación de riesgos de proveedores) está diseñado para ayudar a su organización a identificar posibles debilidades entre sus proveedores y socios externos que podrían dar lugar a una violación de datos, fuga de datos u otro tipo de ataque cibernético.
Descubra cómo UpGuard agiliza el proceso de los cuestionarios de seguridad >
Plantilla gratuita de evaluación de riesgos de proveedores para 2023
Estas son algunas preguntas que puede utilizar como modelo de plantilla de cuestionario de evaluación de riesgos de proveedores, divididas en cuatro secciones:
- Seguridad y privacidad de la información
- Seguridad física y del centro de datos
- Seguridad de aplicaciones web
- Seguridad de la infraestructura
Puede descargar una plantilla de evaluación de riesgos de proveedores editable y más completa aquí.
Para agilizar el proceso de evaluación de riesgos de los proveedores, se debe utilizar una herramienta de gestión de la evaluación de riesgos. UpGuard ofrece una biblioteca de plantillas de evaluación de riesgos de proveedores líderes en la industria que se asignan a regulaciones populares y marcos cibernéticos. UpGuard también ofrece una serie de integraciones y paneles para optimizar el ciclo de vida de VRM en múltiples industrias y casos de uso.
Realice un recorrido por las funciones de evaluación de riesgos de UpGuard >
Obtenga más información sobre las funciones de evaluación de riesgos de proveedores de UpGuard >
Preguntas sobre seguridad y privacidad de la información
- ¿Su organización procesa información de identificación personal (PII) o información de salud protegida (PHI)?
- ¿Su organización tiene un programa de seguridad? En caso afirmativo, ¿qué normas y directrices sigue?
- ¿Su programa de seguridad y privacidad de la información cubre todas las operaciones, servicios y sistemas que procesan datos confidenciales?
- ¿Quién es responsable de administrar su programa de privacidad y seguridad de la información?
- ¿Qué controles emplea como parte de su programa de seguridad y privacidad de la información?
- Proporcione un enlace a su política de privacidad y/o seguridad de la información pública
- ¿Hay algún detalle adicional que le gustaría proporcionar sobre su programa de seguridad y privacidad de la información?
- ¿Cuál es su proceso para la clasificación de datos? ¿Qué medidas de seguridad existen para proteger cada nivel de clasificación?
- ¿Cómo se asegura de que los datos confidenciales a los que se accede de forma remota (como los datos a los que se accede desde dispositivos móviles) estén protegidos?
- ¿Emplea alguna técnica de anonimato, como el enmascaramiento de datos? En caso afirmativo, describa los sistemas en los que se implementan estas técnicas.
- ¿Alguno de sus proveedores externos tiene acceso a sus datos confidenciales? En caso afirmativo, ¿a qué categorías de datos confidenciales tienen acceso?
- ¿Cómo se asegura de que los proveedores externos que procesan sus datos confidenciales cuenten con las medidas de ciberseguridad adecuadas?
- ¿Qué técnicas de autenticación de usuarios está implementando para evitar el acceso no autorizado?
- ¿Implementa alguna estrategia de prevención de pérdida de datos (DLP) para defenderse contra la exfiltración?
- ¿Cómo se asegura de que solo se recopile y procese el nivel mínimo de información personal requerida? ¿Cómo se define el "nivel mínimo"?
Aprenda a elegir el software de automatización de cuestionarios de seguridad >
Preguntas sobre la seguridad física y del centro de datos
- ¿Estás en una oficina compartida?
- ¿Revisa los riesgos físicos y ambientales?
- ¿Cuenta con procedimientos para la continuidad del negocio en caso de que su oficina sea inaccesible?
- ¿Tiene una política escrita para los requisitos de seguridad física para su oficina?
- ¿Su equipo de red está físicamente protegido?
- ¿Qué proveedores de centros de datos utiliza, si es que utiliza alguno?
- ¿Cuántos centros de datos almacenan datos confidenciales?
- ¿En qué países se encuentran los centros de datos?
- ¿Sus centros de datos están certificados por algún estándar de la industria (por ejemplo, ISO 27001, SSAE 16)?
- ¿Hay algún detalle adicional que le gustaría proporcionar sobre su programa de seguridad física y del centro de datos?
- ¿Dónde se almacena físicamente la información confidencial?
- ¿La información confidencial almacenada físicamente está segmentada desde las regiones de la red de acceso general?
- ¿Cómo se garantiza la seguridad de los datos personales transferidos entre dispositivos físicos?
- ¿Tienen cámaras de vigilancia instaladas? ¿Dónde se colocan y cuánto tiempo se conserva el metraje?
- ¿Alguno de sus dispositivos de vigilancia es IoT?
- ¿Con qué frecuencia se realizan auditorías de seguridad física?
Preguntas sobre la seguridad de las aplicaciones web
- ¿Cuál es el nombre de su aplicación? ¿Y qué hace?
- ¿Tiene un programa de recompensas por errores u otra forma de informar vulnerabilidades?
- ¿Su aplicación tiene un certificado SSL válido para evitar ataques de intermediario?
- ¿Su aplicación requiere credenciales de inicio de sesión?
- ¿Cómo obtienen los usuarios su contraseña inicial?
- ¿Tienen estándares mínimos de seguridad de contraseñas?
- ¿Cómo se almacenan las contraseñas?
- ¿Ofrecen inicio de sesión único (SSO)?
- ¿Cómo pueden los usuarios recuperar sus credenciales?
- ¿Su aplicación emplea una estrategia de defensa en profundidad? Si es así, ¿qué?
- ¿Cómo se analiza regularmente CVE en busca de vulnerabilidades conocidas?
- ¿Cómo se hace el aseguramiento de la calidad?
- ¿Cómo se asegura de que los datos se transfieran de forma segura entre las API y otras integraciones de terceros?
- ¿Tiene implementado un firewall de aplicaciones web (WAF)?
- ¿Cómo se rastrea el software de servidor web al final de su vida útil y las bibliotecas de desarrollo web obsoletas?
- ¿Emplea pruebas de penetración para probar la integridad de los controles de seguridad de datos confidenciales?
- ¿Con quién podemos ponernos en contacto para obtener más información relacionada con la seguridad de su aplicación web?
- ¿Cómo se garantiza la instalación oportuna de los parches de seguridad de las aplicaciones web?
- ¿Qué tipos de actividades de procesamiento de datos realizan para diferentes tipos de usuarios (visitantes, clientes, etc.)?
- ¿Cómo se garantiza la separación de funciones en los procesos de desarrollo e implementación de aplicaciones?
- ¿Cómo se recopila el consentimiento del usuario para el tratamiento de datos personales?
- ¿Qué medidas se han adoptado para evitar el secuestro de sesiones?
- ¿Implementa medidas de validación de entrada para evitar ataques basados en entradas, como inyección de código SQL, registro de teclas y secuencias de comandos entre sitios (XSS)?
Preguntas sobre la seguridad de la infraestructura
- ¿Tiene una política de seguridad de red por escrito?
- ¿Alguna vez has experimentado una violación de datos? De ser así, ¿cuál fue el impacto y cómo se abordó?
- ¿Usas una VPN?
- ¿Empleas el endurecimiento de servidores?
- ¿Cómo se mantienen parcheados los sistemas operativos de los servidores?
- ¿Registra eventos de seguridad?
- ¿Qué sistemas operativos se utilizan en sus servidores?
- ¿Haces una copia de seguridad de tus datos?
- ¿Cómo se almacenan las copias de seguridad?
- ¿Segmenta su red para ofuscar el acceso a recursos confidenciales?
- ¿Pruebas las copias de seguridad?
- ¿Quién gestiona tu infraestructura de correo electrónico?
- ¿Cómo evitan la suplantación de identidad por correo electrónico? p. ej., DMARC
- ¿Emplea sistemas de detección y prevención de intrusiones (IDPS)?
- ¿Cómo se gestiona el hardware al final de su vida útil y se garantiza que los datos se borren de forma segura?
- ¿Cómo se protegen los dispositivos de los empleados del ransomware y otros tipos de malware?
- ¿Qué sistemas operativos utilizan los dispositivos de los empleados?
- ¿Están encriptados los dispositivos de los empleados?
- ¿Los inicios de sesión de los usuarios se gestionan en una solución centralizada?
- ¿Cómo se garantizan las configuraciones seguras para todos los dispositivos de red, incluidos enrutadores, conmutadores y firewalls?
- ¿Cómo se supervisan las actividades sospechosas o las anomalías de la infraestructura?
- ¿Cuenta con un plan de respuesta a incidentes? ¿Con qué frecuencia se prueba?
- ¿Cuenta con un plan de recuperación ante desastres? ¿Con qué frecuencia se prueba?
- ¿Con qué frecuencia revisa y actualiza las reglas y configuraciones del firewall?
- ¿Contrata a un tercero para probar la seguridad de su infraestructura?
- ¿A quién podemos contactar en relación con la seguridad de las infraestructuras?
- ¿Qué medidas de seguridad existen para defenderse contra inyecciones de malware, ataques de ransomware y otras amenazas maliciosas?
Para obtener una guía paso a paso sobre cómo realizar una evaluación de riesgos del proveedor, lea esta publicación.
Mire el video a continuación para obtener una descripción general del flujo de trabajo de evaluación de riesgos de UpGuard.
Realice un recorrido por la plataforma de gestión de riesgos de proveedores de UpGuard >
¿Por qué son importantes los cuestionarios de evaluación de riesgos de los proveedores?
Los cuestionarios de seguridad de los proveedores son una ayuda inestimable durante la diligencia debida, ya que le ayudan a comprender los riesgos potenciales y los estándares de privacidad de los datos de los clientes de los nuevos proveedores antes de comprometerse con las asociaciones.
Ya sea que opere o no en una industria de alto riesgo de violación de datos, como la atención médica, la protección de datos es primordial y los cuestionarios de seguridad son muy efectivos para evaluar las posturas de seguridad de los proveedores como parte de un programa de gestión de riesgos de terceros (TPRM).
Esto es particularmente cierto si opera en una industria con controles regulatorios estrictos como PCI DSS, APRA CPS 234: Estándar prudencial de seguridad de la información o HIPAA.
Si a esto le sumamos la creciente dependencia de la tecnología de la información y la externalización, el número de vectores de ataque que podrían exponer datos confidenciales nunca ha sido tan alto.
Incluso si su organización tiene controles de seguridad estrictos y la mejor política de seguridad de la información, la gestión de riesgos de los proveedores debe estar en el centro de su programa de seguridad de la información (InfoSec). Esto significa gestionar el riesgo de ciberseguridad durante la incorporación hasta la salida de los proveedores.
Más información sobre la gestión de riesgos de proveedores cibernéticos >
Los cuestionarios de evaluación de la seguridad de los proveedores son una parte de la verificación de que los proveedores de servicios siguen las prácticas adecuadas de seguridad de la información y pueden ayudar con la planificación de la respuesta a incidentes y la recuperación ante desastres.
Otros métodos comunes son las calificaciones de seguridad, la garantía SOC 2 y la supervisión de la postura de seguridad de terceros en tiempo real.
Los cuestionarios para proveedores son una parte de la gestión de riesgos de proveedores: aprenda por qué VRM es importante.
¿Cuáles son las desventajas de los cuestionarios de evaluación de riesgos de los proveedores?
El problema con los cuestionarios de seguridad es que su administración es notoriamente laboriosa, por lo que muchas organizaciones están invirtiendo en herramientas para automatizar la gestión de riesgos de los proveedores para mitigar el riesgo de los proveedores (riesgo de terceros y riesgo de terceros).
Desafortunadamente, incluso el mejor cuestionario solo ofrece una instantánea de la postura de ciberseguridad de su proveedor.
La tecnología cambia, los procesos de negocio se externalizan, las políticas se actualizan, se renuevan y se descartan, por lo que el riesgo de seguridad que presenta su cadena de suministro digital está en constante cambio.
>Los cuestionarios de seguridad son autoevaluaciones, lo que significa que usted cree en lo que los proveedores le dicen sobre sus controles de seguridad. Para crear un marco sólido de evaluación de riesgos de terceros, su organización debe analizar algo más que cuestionarios.
Desarrolle un proceso para escalar su proceso de evaluación de riesgos de seguridad cibernética y realice un seguimiento de los proveedores actuales, existentes y potenciales.
Eduque a su equipo de riesgos de proveedores sobre las diferencias entre ciberseguridad y seguridad de la información, qué es el riesgo de ciberseguridad y los beneficios de la gestión de riesgos de la información.
Y lo que es más importante, busque formas de verificar las afirmaciones que hacen los proveedores sobre sus estándares de seguridad.
Aprenda a optimizar el proceso de cuestionarios para proveedores.
¿Cómo puede mi organización crear un sólido programa de gestión de riesgos de proveedores?
La mejor práctica estándar es usar un cuestionario estándar de la industria como punto de partida y luego adaptarlo en función de las necesidades de su organización. Esto se debe a que es difícil obtener una comprensión clara de la seguridad de la red interna, la seguridad de los datos y la seguridad de la información sin solicitar información adicional al proveedor. Por ejemplo, la mejor manera de comprender sus controles de acceso es preguntar a su proveedor.
Aquí hay cinco metodologías de evaluación de seguridad estándar de la industria con las que puede comenzar:
CIS Critical Security Controls (CIS First 5/CIS Top 20): El Centro para la Seguridad en Internet (CIS) es una entidad sin ánimo de lucro que quiere salvaguardar a las organizaciones privadas y públicas contra las amenazas cibernéticas. Los 20 controles de CIS son un conjunto priorizado de acciones para proteger los sistemas y datos críticos de los ataques cibernéticos comunes. Se trata de controles de alta prioridad y altamente eficaces que reducen el riesgo de ciberseguridad y se asignan a la mayoría de los principales marcos, como el Marco de Ciberseguridad del NIST, el NIST 800-53, la serie ISO 27000 y normativas como PCI DSS, HIPAA, NERC CIP y FISMA.
Más información sobre los controles CIS >
Cuestionario de la Iniciativa de Evaluaciones de Consenso (CAIQ): CAIQ proviene de la Alianza de Seguridad en la Nube (CSA), una organización dedicada a definir y crear conciencia sobre las mejores prácticas para la computación en la nube segura. El cuestionario proporciona formas aceptadas por la industria para documentar los controles de seguridad en las ofertas de IaaS, PaaS y SaaS. Hay una serie de preguntas que debes hacerle a tu proveedor de servicios en la nube.
Más información sobre el CAIQ >
NIST 800-171: El Instituto Nacional de Estándares y Tecnología (NIST, por sus siglas en inglés) implementa orientación sobre ciberseguridad y privacidad para los EE. UU. a través de las mejores prácticas y estándares. El propósito de NIST 800-171 es ayudar a proteger la información no clasificada controlada (CUI) en sistemas y organizaciones no federales. Contiene 14 objetivos de seguridad específicos con una variedad de controles y se asigna a NIST 800-53 e ISO 27001. Si su organización ofrece productos, soluciones o servicios al Departamento de Defensa (DoD), la Administración de Servicios Generales (GSA) o la Administración Nacional de Aeronáutica y del Espacio (NASA), debe cumplir con NIST 800-171.
Más información sobre NIST 800-171 >
Cuestionario estandarizado de recopilación de información (SIG/SIG-Lite): SIG y SIG-Lite fueron creados por el Programa de Evaluaciones Compartidas, una fuente confiable de recursos de gestión de riesgos de terceros, incluidas herramientas y mejores prácticas para administrar el riesgo de los proveedores. El cuestionario SIG es una herramienta para evaluar la ciberseguridad, la informática, la privacidad, la seguridad de los datos y la resiliencia empresarial. SIG-Lite es una compilación de preguntas de alto nivel de SIG y generalmente se usa para proveedores de bajo riesgo.
Más información sobre el cuestionario SIG >
Cuestionario VSA (VSAQ): La Vendor Security Alliance (VSA) es una coalición de empresas comprometidas con la mejora de la seguridad en Internet. VSAQ se publicó por primera vez en 2016 y está diseñado específicamente para ayudar a las empresas a monitorear las prácticas de seguridad de sus proveedores. Contiene seis secciones: protección de datos, política de seguridad, medidas de seguridad preventivas y reactivas, gestión de la cadena de suministro y cumplimiento.
Más información sobre el VSAQ >
Puede extraer miles de posibles preguntas de estos marcos y adaptarlas para alinearlas con las necesidades y prioridades de su organización. Sin embargo, los cuestionarios de seguridad son solo una parte de la solución.
Considere invertir en una herramienta para monitorear a sus proveedores y las calificaciones de seguridad de sus proveedores en tiempo real. Esto permitirá a su organización optimizar el proceso de evaluación de proveedores, supervisar los cambios en la postura de seguridad y solicitar la corrección de problemas clave en los proveedores de alto riesgo.
Estas herramientas pueden monitorear problemas relacionados con DMARC, vulnerabilidades y exploits enumerados por CVE, ataques de ingeniería social como phishing y spear phishing, malware (ransomware y otros tipos de malware), suplantación de identidad por correo electrónico, typosquatting, secuestro de dominios, SSL, DNSSEC, ataques de intermediario y otras amenazas cibernéticas.
Dado que el coste medio de una violación de datos alcanza los 4,45 millones de dólares, las organizaciones deben centrarse en prevenir las filtraciones de datos.
Una vez que los datos han sido expuestos, puede ser casi imposible limpiarlos debido a la reproducibilidad de los datos. No confíe en técnicas forenses digitales como la atribución de IP, que son defectuosas.
Conozca las mejores prácticas de gestión de riesgos de proveedores >
Por qué debería considerar el uso de calificaciones de seguridad junto con los cuestionarios de seguridad
Las calificaciones de seguridad proporcionan a los equipos de seguridad y gestión de riesgos la capacidad de supervisar continuamente la postura de seguridad de sus proveedores.
La ventaja de las calificaciones de seguridad junto con los cuestionarios de seguridad es que se generan automáticamente, se actualizan con frecuencia y proporcionan un lenguaje común para las partes interesadas técnicas y no técnicas.
La clave que hay que entender es que las calificaciones de seguridad llenan el gran vacío que dejan las técnicas tradicionales de evaluación de riesgos, como el cuestionario SIG o el cuestionario VSA. El envío de cuestionarios a terceros requiere mucho compromiso, tiempo y, francamente, no siempre es preciso.
Las calificaciones de seguridad pueden complementar y garantizar los resultados informados en los cuestionarios de seguridad, ya que son verificables externamente, siempre actualizados y proporcionados por una organización independiente.
Según Gartner, las calificaciones de ciberseguridad serán tan importantes como las calificaciones crediticias a la hora de evaluar el riesgo de las relaciones comerciales existentes y nuevas... Estos servicios se convertirán en una condición previa para las relaciones comerciales y formarán parte de la norma de diligencia debida para los proveedores y compradores de servicios.
Obtenga más información sobre las calificaciones de seguridad de UpGuard >
UpGuard es uno de los proveedores de calificaciones de seguridad más populares. Generamos nuestras calificaciones a través de algoritmos patentados que toman y analizan fuentes de amenazas comerciales y de código abierto confiables, y métodos de recopilación de datos no intrusivos para evaluar cuantitativamente el riesgo cibernético.
Basamos nuestras calificaciones en el análisis de 70+ vectores, que incluyen:
- Susceptibilidad a los ataques de intermediario
- Certificados SSL/TLS inseguros
- Ajustes de SPF, DKIM y DMARC
- Seguridad de transporte estricta HTTP (HSTS)
- Riesgo de suplantación de identidad y phishing por correo electrónico
- Vulnerabilidades
- Susceptibilidad al malware
- Puertos innecesarios de administración abierta, bases de datos, aplicaciones, correo electrónico y uso compartido de archivos
- Exposición a filtraciones de datos y filtraciones de datos conocidas
- Software vulnerable
- Accesibilidad HTTP
- Configuración segura de cookies
- Resultados de los cuestionarios de seguridad inteligente
Si tiene curiosidad sobre otros servicios de calificación de seguridad, consulte nuestra guía sobre SecurityScorecard vs BitSight aquí.
Mire el video a continuación para obtener una descripción general de la plataforma UpGuard.