La Gestión de Riesgo de Terceros (TPRM — Third-Party Risk Management) es la disciplina de identificar, evaluar y monitorear los riesgos que proveedores, prestadores de servicio y socios introducen en una organización a lo largo de toda la relación. En el dominio cibernético, la TPRM reconoce que la postura de seguridad de un tercero pasa a integrar la exposición de la propia organización que lo contrata.
La frontera de seguridad de una organización dejó de coincidir con el perímetro que ella controla directamente. Los proveedores de nube, los procesadores de pago, los integradores, las plataformas de software como servicio y los prestadores de soporte mantienen acceso a datos, sistemas y credenciales. Cada una de esas relaciones amplía la superficie de ataque más allá de los activos propios. La gestión de riesgo de terceros es la respuesta estructurada a esa realidad, y en Brasil dejó de ser una práctica recomendada para convertirse en un requisito regulatorio.
Por qué la superficie de ataque incluye la cadena de proveedores
Un adversario busca el camino de menor resistencia. Cuando los controles directos de una organización son robustos, el vector de compromiso frecuentemente se desplaza hacia un proveedor con acceso privilegiado y una postura de seguridad inferior. El compromiso de un único prestador con conectividad a múltiples clientes puede propagarse por toda su cartera, lo que confiere a esas relaciones un riesgo de concentración.
Esa dinámica tiene tres consecuencias para la gestión de exposición:
- El acceso concedido es una extensión del privilegio. Un proveedor con credenciales de integración opera, en la práctica, dentro del entorno del contratante. Su postura de seguridad gobierna parte del riesgo del contratante.
- La visibilidad es asimétrica. La organización conoce bien sus propios activos y conoce mal los del proveedor. Esa asimetría es precisamente lo que la TPRM continua se propone reducir.
- La responsabilidad permanece con el contratante. Ante el regulador y ante el titular de los datos, la organización que contrató responde por los efectos de una falla originada en el proveedor, lo que convierte la diligencia sobre terceros en una obligación indelegable.
El monitoreo de la postura externa de los proveedores es, por lo tanto, parte integrante de cualquier programa de gestión de la superficie de ataque (ASM). La superficie relevante para el riesgo de la organización comprende los activos expuestos de sus proveedores críticos en la medida del acceso y de la integración que mantienen.
Las exigencias regulatorias brasileñas
Sector financiero: la regulación de seguridad cibernética del CMN y del BCB
El marco brasileño de seguridad cibernética para el sector financiero establece exigencias explícitas en cuanto a la contratación de servicios de procesamiento y almacenamiento de datos y de computación en la nube, incluyendo la responsabilidad de la institución sobre la diligencia de sus prestadores. La Resolución CMN nº 4.893/2021 dispone sobre la política de seguridad cibernética de las instituciones autorizadas a funcionar por el Banco Central y sobre los requisitos para la contratación de esos servicios. Resoluciones conjuntas y normativas correlativas del Banco Central extienden principios equivalentes a otros segmentos regulados, como las instituciones de pago.
Los elementos que ese marco torna exigibles, en lo que se refiere a terceros, incluyen de forma consistente:
- La verificación, previa a la contratación, de la capacidad del prestador de cumplir la legislación y de asegurar la confidencialidad, la integridad y la disponibilidad de los datos y sistemas.
- La previsión contractual de acceso de la institución y del regulador a la información y a la documentación pertinentes.
- El monitoreo y la gestión del servicio prestado a lo largo de toda la vigencia del contrato.
- La consideración del riesgo de concentración en prestadores relevantes.
La lectura conjunta de estos requisitos apunta a una expectativa que trasciende la evaluación en el momento de la contratación. El deber de monitorear el servicio durante toda la relación implica un seguimiento continuo de la postura del prestador, más allá de una verificación de puerta de entrada. Se recomienda consultar el texto vigente de las resoluciones aplicables al segmento específico, dado que el marco se actualiza periódicamente.
LGPD: operadores, suboperadores y responsabilidad
La Ley General de Protección de Datos (Ley nº 13.709/2018) estructura el tratamiento de datos personales en torno a las figuras del controlador — quien decide sobre el tratamiento — y del operador — quien realiza el tratamiento en nombre del controlador. Cuando un operador subcontrata parte de la actividad, surge la figura del suboperador, y la cadena de responsabilidad se extiende.
Dos puntos de la ley son determinantes para la TPRM:
La responsabilidad es solidaria en hipótesis relevantes. La LGPD prevé que el operador responde solidariamente por los daños causados cuando incumple las obligaciones de la legislación o cuando no ha seguido las instrucciones lícitas del controlador. El controlador, a su vez, responde por las decisiones de tratamiento. La consecuencia práctica es que la elección y la supervisión de un operador integran el deber de diligencia del controlador.
La seguridad es una obligación de ambos. La ley impone a los agentes de tratamiento la adopción de medidas de seguridad aptas para proteger los datos personales. Esa obligación recae sobre el operador y el controlador, lo que convierte la postura de seguridad del operador en un objeto legítimo y necesario de verificación por parte de quien lo contrata.
La Autoridad Nacional de Protección de Datos fiscaliza el cumplimiento de esas obligaciones y detenta competencia sancionatoria. La demostración de diligencia sobre la cadena de operadores es, así, un elemento de cumplimiento que la organización necesita poder evidenciar.
Evaluación puntual y monitoreo continuo
La práctica consolidada de gestión de riesgo de terceros nació apoyada en cuestionarios. El proveedor responde a un formulario de seguridad en la fase de contratación, la organización archiva las respuestas y la relación sigue. Ese enfoque presenta limitaciones estructurales que lo tornan insuficiente frente a las exigencias actuales.
El cuestionario de seguridad captura una autodeclaración referente a un instante. Describe lo que el proveedor afirma sobre su postura en el momento en que respondió. La postura efectiva de seguridad, sin embargo, varía continuamente: los certificados expiran, los servicios se publican con configuración inadecuada, los activos se exponen por error, las credenciales se filtran. Un cuestionario respondido al inicio del contrato nada informa sobre el estado del proveedor seis meses después.
El monitoreo continuo de la exposición del proveedor observa la postura externa del tercero de forma recurrente, a partir de su superficie públicamente observable, sin depender de la autodeclaración. Esa observación evidencia el estado actual de la postura del proveedor y señala las degradaciones a medida que ocurren. Los dos enfoques son complementarios y cumplen funciones distintas:
- Cuestionario puntual. Establece el entendimiento contractual, documenta compromisos y cubre aspectos internos no observables externamente, como políticas y procesos de gobernanza.
- Monitoreo continuo. Verifica, de forma independiente y a lo largo del tiempo, la adherencia de la postura observable del proveedor a aquello que declaró, y detecta la introducción de nuevas exposiciones.
La combinación de ambos responde a la expectativa regulatoria de seguimiento durante toda la vigencia del contrato y sustenta la demostración de diligencia tanto ante el Banco Central como ante la ANPD. Una organización que solo archiva cuestionarios dispone de evidencia de cumplimiento en el momento de la contratación; una organización que monitorea continuamente dispone de evidencia de cumplimiento en cualquier momento en que sea requerida.
Estructurando un programa de TPRM defendible
Un programa de gestión de riesgo de terceros a la altura del marco brasileño se organiza en torno a algunos principios operativos:
- Clasificación por criticidad. No todo proveedor introduce el mismo riesgo. La intensidad de la diligencia y del monitoreo debe ser proporcional al acceso, al volumen y a la sensibilidad de los datos y a la relevancia del servicio para la continuidad del negocio.
- Diligencia previa documentada. La verificación de la capacidad del prestador antes de la contratación debe quedar registrada sobre una base auditable, con previsión contractual de los derechos de acceso a la información exigidos por la regulación.
- Monitoreo continuo de la postura externa. El seguimiento de la superficie observable de los proveedores críticos a lo largo de la vigencia del contrato materializa el deber de gestión del servicio prestado.
- Ruta de tratamiento de las degradaciones. La detección de una exposición en un proveedor necesita desencadenar un flujo definido de comunicación y corrección, con plazos proporcionales a la criticidad.
La solución de riesgo de terceros de CSURFACE fue concebida para sostener ese programa, observando de forma continua la postura externa de los proveedores e integrando esa visión a la gestión de la superficie de ataque de la organización contratante. El objetivo es permitir que la organización mantenga, en cualquier momento, evidencia actual de la diligencia ejercida sobre su cadena de terceros — el estándar que BACEN y LGPD, cada uno en su dominio, tornaron exigible.
Preguntas frecuentes
¿Qué exige la legislación brasileña en relación con el riesgo de terceros?
En el sector financiero, el marco de seguridad cibernética del CMN y del Banco Central exige la verificación previa de la capacidad del prestador, la previsión contractual de acceso a la información y el monitoreo del servicio durante toda la vigencia del contrato. La LGPD, aplicable a cualquier sector, responsabiliza al controlador y al operador por la seguridad de los datos personales y prevé responsabilidad solidaria en hipótesis de incumplimiento, lo que convierte la diligencia sobre los operadores en parte del cumplimiento.
¿Un cuestionario de seguridad es suficiente para cumplir las exigencias?
El cuestionario documenta compromisos y cubre aspectos internos que escapan a la observación externa, aunque captura una autodeclaración referente a un único instante. La expectativa regulatoria de seguimiento del servicio a lo largo del contrato apunta a la necesidad de un monitoreo continuo de la postura del proveedor, que verifica de forma independiente y recurrente el estado actual de su exposición.
¿Qué diferencia el monitoreo continuo de la evaluación puntual?
La evaluación puntual describe lo que el proveedor declara en un momento específico. El monitoreo continuo observa la postura externa del proveedor de forma recurrente e independiente, evidenciando el estado actual de su superficie y señalando nuevas exposiciones a medida que surgen. Los dos enfoques son complementarios.
¿Cómo se relaciona el riesgo de terceros con la superficie de ataque?
Los proveedores con acceso a datos y sistemas extienden la superficie de ataque de la organización. Sus activos expuestos pasan a integrar el riesgo del contratante en la medida del acceso que mantienen. Por eso, el monitoreo de terceros es parte de la gestión de la superficie de ataque. Consulte el glosario para conocer los términos técnicos citados.