Riesgos de subcontratación y control de contratistas

1) Por qué outsourcing = aumento del riesgo

La externalización acelera el lanzamiento y reduce los costos, pero amplía la superficie de riesgo: los equipos externos y sus subcontratistas tienen acceso a sus procesos, datos y clientes. La gestión de riesgos es una combinación de medidas contractuales, organizativas y técnicas con medición y capacidad de audiencia.

2) Mapa de riesgos (tipología)

Legal: falta de licencias adecuadas, garantías contractuales débiles, derechos IP/copyright, conflictos jurisdiccionales.
Regulador/Cumplimiento: discrepancia GDPR/AML/PCI DSS/SOC 2, etc.; Ausencia de DPA/SCC; Violaciones de los plazos de presentación de informes.
Seguridad de la información: fugas/exfiltración, control de acceso débil, sin registro y cifrado.
Privacidad: exceso de procesamiento de PI, violación de retención/eliminación, ignorar Legal Hold y DSAR.
Operativo: baja estabilidad del servicio, BCP/DR débil, falta de 24 × 7, violaciones de SLO/SLA.
Finanzas: precariedad del proveedor, dependencia de un solo cliente/región, costos ocultos de salida.
Reputacional: incidentes/escándalos, conflicto de intereses, marketing tóxico.
Cadena de suministro: subprocesadores opacos, ubicaciones de almacenamiento no controladas.

3) Roles y Responsabilidades (RACI)

(R — Responsible; A — Accountable; C — Consulted; I — Informed)

4) Ciclo de vida de los contratistas de control

1. Planificación: objetivo de externalización, criticidad, categorías de datos, jurisdicciones, evaluación de alternativas (build/buy/partner).
2. Due Diligence: cuestionarios, artefactos (certificados, políticas), verificaciones técnicas/RoS, cribado de riesgos y lista gap.
3. Contrato: DPA/SLA/derecho de auditoría, responsabilidad y multas, subprocesadores, plan de salida (exit) y plazos de eliminación de datos.
4. Onboarding: SSO y roles (los privilegios más pequeños), directorios de datos, aislamiento de entornos, registro y alertas.
5. Operaciones y monitoreo: KPI/SLA, incidentes, cambios en subprocesadores/ubicaciones, revisiones anuales y control de evidencia.
6. Revisión/remediación: corrección de haps con deadline, procedimientos de waiver con fecha de caducidad.
7. Offboarding: revocación de accesos, exportación, eliminación/anonimización, confirmación de destrucción, archivo de evidence.

5) Tratado «must-have»

DPA (anexo al contrato): roles (controller/processor), objetivos de procesamiento, categorías de datos, retén/eliminación, Legal Hold, asistencia con DSAR, lugares de almacenamiento y transmisión (SCC/BCR donde sea necesario).
SLA/SLO: niveles de disponibilidad, tiempo de reacción/eliminación (niveles sev), crédito/penalización por infracciones, RTO/RPO, 24 × 7/Follow-the-sun.
Anexo de seguridad: encriptación en tránsito, administración de claves (KMS/HSM), gestión de secretos, registro (WORM/Object Lock), pentests/escáneres, gestión de vulnerabilidades.
Audit & Assessment Rights: cuestionarios regulares, suministro de informes (SOC 2/ISO/PCI), derecho a auditorías/sitio/rugido de registros.
Subprocuradores: lista, notificación/negociación de cambios, responsabilidad de la cadena.
Breach Notification: plazos (por ejemplo, ≤24 -72 h), formato, interacción en la investigación.
Exit/Deletion: formato de exportación, plazos, confirmación de destrucción, soporte de migración, cap por valor de salida.
Liability/Indemnity: límites, excepciones (fugas de PI, multas regulatorias, infracciones IP).
Control de cambios: notificaciones de cambios sustanciales en el servicio/ubicaciones/controles.

6) Controles técnicos y organizativos

Acceso e identidades: SSO, principio de los menos privilegiados, SoD, campañas de re-certificación, JIT/accesos temporales, MFA obligatoria.
Aislamiento y redes: tenant-isolation, segmentación, canales privados, allow-lists, restricción egress.
Encriptación: TLS obligatorio, encriptación en medios, administración de claves y rotación, prohibición de criptografía casera.
Registro y pruebas: registros centralizados, WORM/Object Lock, confirmación de informes hash, catálogos de evidence.
Datos y privacidad: enmascaramiento/seudonimización, control de retención/TTL, Legal Hold override, control de exportación de datos.
DevSecOps: SAST/DAST/SCA, secreto-escaneado, SBOM, licencias OSS, gates en CI/CD, política de lanzamientos (azul-verde/canario).
Sostenibilidad: pruebas DR/BCP, objetivos RTO/RPO, planificación de capacidad, monitoreo de SLO.
Operaciones: incidentes de playbooks, on-call, tickets ITSM con SLA, change-management.
Formación y admisiones: cursos obligatorios del proveedor sobre IB/privacidad, verificación del personal (where lawful).

7) Monitoreo continuo del proveedor

Performance/SLA: disponibilidad, tiempo de reacción/eliminación, créditos.
Certificaciones/informes: relevancia de SOC/ISO/PCI, scope y excepciones.
Incidentes y cambios: frecuencia/gravedad, lecciones, cambios en los subprocesadores/ubicaciones.
Derivación de controles: desviaciones de los requisitos contractuales (cifrado, registro, pruebas DR).
Sostenibilidad financiera: señales públicas, M&A, cambio de beneficiarios.
Jurisdicciones y sanciones: nuevas restricciones, lista de países/nubes/centros de datos.

8) Métricas y dashboards Vendor Risk & Outsourcing

Dashboards: Heatmap Risks by Provider, SLA Center, Incidents & Findings, Evidence Readiness, Subprocessor Map.

9) Procedimientos (SOP)

SOP-1: Conexión del contratista

1. Clasificación de riesgos del servicio → 2) DD + PoC → 3) aplicaciones contractuales → 4) acceso/registro/encriptación → 5) métricas de inicio y dashboards.

SOP-2: Gestión de cambios en el contratista

1. Tarjeta de cambio (ubicación/subprocesador/arquitectura) → 2) Evaluación de riesgo/abogado → 3) Actualización de DPA/SLA → 4) Comunicación y plazos de implementación → 5) Verificación de prevencion.

SOP-3: Incidente del contratista

Detect → Triage (sev) → Notify (ventanas temporales del contrato) → Contain → Eradicate → Recover → Post-mortem (lecciones, actualizaciones de control/contrato) → Evidence en WORM.

SOP-4: Offboarding

1. Integraciones libres → 2) exportación de datos → 3) eliminación/anonimización + confirmación → 4) revocación de todos los accesos/claves → 5) informe de cierre.

10) Gestión de excepciones (waivers)

Solicitud formal con fecha de caducidad, evaluación de riesgos y controles compensatorios.
Visibilidad en GRC/dashboards, recordatorios automáticos, prohibición de excepciones «eternas».
Escalar por comité en caso de retraso/riesgo crítico.

11) Ejemplos de plantillas

Lista de comprobación del contrato

• DD completado; puntuación/categoría de riesgo aprobado
• DPA/SLA/audit rights firmados; Anexo de seguridad negociado
• Se ha obtenido una lista de subprocesadores; lugares de almacenamiento confirmados
• SSO/MFA configurados; los roles se minimizan; SoD verificado
• Los registros están conectados; WORM/Object Lock está configurado; alertas establecidas
• Se acuerdan objetivos DR/BCP; fecha de prueba asignada
• Los procedimientos DSAR/Legal Hold están integrados
• Dashboards y métricas de vigilancia incluidas

Requisitos de mini plantilla para SLA

Tiempo de reacción: Sev1 ≤ 15 min, Sev2 ≤ 1 h, Sev3 ≤ 4 h

Tiempo de recuperación: Sev1 ≤ 4 h, Sev2 ≤ 24 h

Disponibilidad: ≥ 99. 9 %/mes; préstamos en caso de infracción

Notificación de incidentes: ≤ 24 horas, actualizaciones intermedias cada 4 horas (Sev1)

12) Antipatternas

Control «en papel» sin registros, telemetría y derechos de auditoría.
No hay plan de salida: exportación cara/larga, dependencia de formatos propietarios.
Los accesos eternos del contratista, la falta de re-certificación.
Ignore los subprocesadores y las ubicaciones de almacenamiento.
KPI sin propietario/escaladas y zonas verdes con hechos rojos.
La ausencia de WORM/immutability para la evidencia es una controversia en la auditoría.

13) Modelo de madurez de la gestión de outsourcing (M0-M4)

M0 Dispares: verificaciones puntuales, un contrato «como el de todos».
Catálogo M1: registro de contratistas, SLA básicos y cuestionarios.
M2 Administrado: DD de riesgo, DPA/SLA estándar, logs y dashboards conectados.
M3 Integrado: monitoreo continuo, policy-as-code, auto-evidence, pruebas regulares de DR.
M4 Assured: «audit-ready on the botón», riesgos predictivos de la cadena de suministro, escaladas automáticas y scripts off-ramp.

14) Artículos relacionados wiki

Due Diligence al seleccionar proveedores

Automatización del cumplimiento y los informes

Monitoreo continuo de cumplimiento (CCM)

Legal Hold y congelación de datos

Ciclo de vida de políticas y procedimientos

KYC/KYB y cribado de sanciones

Plan de continuidad (BCP) y DRP

Resultado

El control de outsourcing es un sistema, no una lista de verificación: selección orientada al riesgo, garantías contractuales estrictas, accesos mínimos y observables, monitoreo continuo, offboarding rápido y base de pruebas. En un sistema como este, los contratistas aumentan la velocidad del negocio sin aumentar su vulnerabilidad.