Cumplimiento para empresas IT con subencargados y cadenas de suministro
Cuando gestionas servicios digitales, tu cumplimiento no termina en tu contrato. La trazabilidad legal debe llegar a subencargados, proveedores y la cadena de suministro que participa en el tratamiento, la prestación o el acceso a datos.
1) Mapa de implicados y “rutas” de datos
El primer paso es identificar quién hace qué, con qué finalidad y bajo qué base contractual o regulatoria. Sin este mapa, los controles no se pueden probar ni auditar.
- Lista de subencargados y proveedores que participan en el servicio (desarrollo, soporte, hosting, integraciones, NOC/SOC, QA, etc.).
- Modelo de responsabilidades: qué parte realiza tratamiento, qué parte solo opera infraestructura, y qué parte presta servicios auxiliares.
- Rutas de datos: origen, destino, tipos de datos, finalidad, y puntos de acceso (incluye entornos de prueba y copias).
- Dependencias críticas: cuentas, APIs, llaves, accesos privilegiados y flujo de incidencias.
2) Contratación y control de subencargos
Documenta el marco contractual antes de escalar. El objetivo es que los subencargados estén obligados a cumplir estándares verificables, y que tú mantengas capacidad de control.
- Cláusulas de subencargo/encargo con contenido mínimo: finalidad, instrucciones, confidencialidad, medidas de seguridad y apoyo ante solicitudes.
- Obligación de tratamiento bajo instrucciones documentadas, con trazabilidad de cambios.
- Mecanismo de autorización previa o control de cambios para nuevas cadenas de suministro.
- Régimen de auditoría y/o evidencias: qué se entrega, con qué periodicidad, y cómo se revisa.
- Responsabilidad y asignación de costes en caso de incidencias, incluyendo cooperación y gestión de reclamaciones.
3) Seguridad, segregación de funciones y acceso
La cadena de suministro suele introducir “zonas grises”. Define controles mínimos y exige pruebas. Para que sea útil, que sea medible.
- Control de acceso: mínimos privilegios, cuentas individuales, y revisión periódica de accesos.
- Segregación: entornos por cliente/proyecto y separación de datos cuando sea aplicable.
- Gestión de vulnerabilidades: plazos de parcheo y reporte de hallazgos.
- Cifrado en tránsito y en reposo, y controles sobre llaves y rotación.
- Log y evidencias: qué se conserva, durante cuánto tiempo y quién tiene acceso a revisarlos.
4) Transferencias, subprocesadores y ubicaciones
Si hay componentes fuera de tu jurisdicción o fuera del alcance geográfico acordado, documenta el tratamiento y evalúa el encaje legal.
Mantén un registro actualizado de países/ubicaciones, y un inventario de proveedores con su rol (operador, subencargado, o apoyo técnico).
- Inventario por componente: hosting, CDN, mensajería, analítica, soporte y herramientas internas de operación.
- Cláusulas contractuales para transferencias cuando proceda y soporte de evidencias.
- Revisión de cambios: si un proveedor cambia infraestructura o añade subprocesadores, activas una verificación.
5) Subencargados “de verdad”: evidencias y gobernanza
La gobernanza es lo que evita que el papel gane a la práctica. Define un ciclo de verificación que puedas sostener con recursos razonables.
Evidencias mínimas
- Políticas y procedimientos de seguridad aplicables al servicio.
- Certificaciones o resultados de auditoría relevantes, cuando existan.
- Resultados de revisiones de accesos y segmentación.
- Procedimientos de gestión de incidencias y comunicaciones.
Ciclo de control
- Alta: verificación contractual y de seguridad antes de operar en producción.
- Mantenimiento: revisión periódica y actualización de inventario.
- Cambio: control específico cuando se introducen nuevos subprocesadores o se modifica el flujo.
- Salida: devolución/borrado y evidencias de finalización del servicio.
6) Incidencias, notificación y cooperación
En una crisis, lo contractual marca el ritmo. Asegura un canal de comunicación claro y plazos realistas para aportar información.
- Definición de incidencias y umbrales de escalado entre tú y subencargados.
- Plazos de notificación internos y externos, y contenido mínimo del primer reporte.
- Cooperación: acceso a evidencias, cronología técnica y soporte documental.
- Plan de respuesta: procedimientos, contactos y pruebas (table-top) cuando aplique.
7) Entrega, borrado y fin del servicio
Planifica el cierre desde el inicio. Sin un “exit plan”, la cadena de suministro puede prolongar la retención de datos y documentación.
- Criterios de devolución y transferencia segura de activos (incluye backups si corresponde).
- Borrado seguro o anonimización según el rol y los plazos acordados.
- Certificados o evidencias de finalización del servicio.
- Revisión post-cierre: lecciones aprendidas y actualización del inventario.
Resumen para usar en auditoría interna
Si necesitas una lista rápida para reuniones de cumplimiento, utiliza esta secuencia. Es la que suele reducir incidencias y “sorpresas” durante inspecciones o reclamaciones.