96 red seguridad segundo trimestre 2025 monográfico cadena de suministro Antes de la contratación del servicio, DORA exige la realización de un proceso de due diligence que permita evaluar a los proveedores de servicios y garantizar la selección de proveedores con elevados niveles de madurez en materia de ciberseguridad y de continuidad de negocio. Se requiere también evaluar el riesgo de concentración de proveedores y considerar el establecimiento de planes de salida, actualizados y probados de forma periódica. Contratación del servicio En el marco de la contratación del servicio, es imprescindible que la gestión de la seguridad de la información se considere como parte integral del servicio. Los contratos de prestación de servicios, además de la descripción de los servicios, ubicaciones asociadas y acuerdos de nivel de servicio, deben incluir cláusulas que especifiquen las medidas de seguridad que deben ser implantadas por el proveedor para garantizar la confidencialidad, integridad y disponibilidad de la información objeto de tratamiento en el marco del servicio. Se debe requerir al proveedor disponer de políticas y procedimientos de seguridad, de medidas de control, de acceso lógico y físico a los sistemas, medidas de gestión de redes, monitorización de sistemas, gestión de incidentes de seguridad, seguridad ligada al personal, etc. En definitiva, se deben requerir medidas de seguridad similares a las implantadas por la propia organización. Adicionalmente, se debe involucrar al proveedor en los planes de contingencia y continuidad de negocio asociados a la prestación del servicio, estableciendo responsabilidades claras y garantizando la existencia de planes documentados, actualizados y debidamente probados, imprescindibles para garantizar la resiliencia operacional. Por otra parte, con relación al período de prestación del servicio propiamente dicho, ya no será suficiente con la solicitud de certificados de seguridad a los proveedores (certificados del sistema de gestión de seguridad de la información, cumplimiento de PCI DSS, SOC2, etc.), sino que se deberán realizar auditorías que permitan verificar la efectiva implantación, por parte del proveedor, de las medidas de seguridad y continuidad exigidas en el contrato de prestación de servicios. La frecuencia de las auditorías e inspecciones se deberá establecer basándose en la criticidad del proveedor y de los servicios prestados, en línea con la estrategia de gestión establecida por la organización. Resulta indudable que el cumplimiento de los requerimientos establecidos en relación con la gestión de proveedores exigirá un importante esfuerzo para las organizaciones obligadas al cumplimiento de DORA, en especial para aquellas en las que el nivel de madurez en materia de seguridad no se eleve y para aquellas organizaciones con un gran volumen de proveedores de servicios. La implantación de estos requerimientos exige la coordinación entre las diferentes áreas de la organización implicadas (seguridad, continuidad de negocio, compras, servicios jurídicos…), puede suponer negociaciones complejas con los proveedores para la inclusión de determinadas cláusulas en los contratos y probablemente requerirá el refuerzo de los equipos de auditoría de terceros. Impacto positivo A pesar de que el esfuerzo de implantación puede ser elevado, considero que normativas como DORA tendrán un impacto positivo, al exigir la implantación de requerimientos comunes por parte de todos los proveedores que operan en el ecosistema actual, algunos de los cuales no estaban aplicando la debida diligencia. Para finalizar, únicamente destacar que para lograr el objetivo perseguido con estas nuevas regulaciones es imprescindible que las medidas de seguridad implantadas respondan a criterios de proporcionalidad, que se aplique un enfoque de gestión de riesgos y, sobre todo, que la regulación se considere como una oportunidad para detectar aspectos susceptibles de mejora en la estrategia de ciberseguridad de la organización.
RkJQdWJsaXNoZXIy MTI4MzQz