Kit de iniciación a la ciberseguridad: Sección 8
En esta sección, aprenderás a:
Hacer las preguntas adecuadas a los proveedores
Es posible que tu organización sin ánimo de lucro recurra a otras entidades para servicios de correo electrónico, almacenamiento en la nube, recaudación de fondos, contabilidad, alojamiento web o asistencia técnica. Estos servicios pueden ofrecerte capacidades que tu equipo no podría gestionar por sí solo.
Además, pasan a formar parte de tus medidas de seguridad. Elegir un proveedor implica comprender qué es lo que protegen, qué debe hacer tu organización y cómo recibirás ayuda cuando sea necesario.
No es necesario que realices una auditoría técnica. Empieza por plantear preguntas claras sobre la información, el acceso y los servicios en cuestión.
Descubre qué proveedores son los más importantes
Un proveedor o prestador de servicios puede ser una empresa de software, un consultor, un contratista o una organización que gestione un servicio en tu nombre. Incluye en tu análisis los servicios gratuitos y los donados.
Utiliza tu inventario para dar prioridad a los proveedores que:
El nivel de revisión debe reflejar el posible impacto. Una herramienta utilizada para crear material gráfico para eventos públicos requiere un enfoque diferente al de una plataforma que almacena datos confidenciales de clientes.
Comprender la responsabilidad compartida
Un proveedor puede proteger su infraestructura, mientras que tu organización sin ánimo de lucro sigue siendo responsable de los permisos, la recuperación de cuentas y la forma en que se comparte la información.
Por ejemplo, un servicio en la nube podría ofrecer autenticación multifactorial (MFA) y el uso compartido restringido, pero es posible que tu organización tenga que activar esas funciones y decidir quién tiene acceso. Pregunta: “¿Qué gestionas, qué tenemos que gestionar y dónde está documentado?”
En lo que respecta a la asistencia técnica, aclara si el contrato incluye actualizaciones de seguridad, revisiones de acceso, comprobaciones de copias de seguridad y asistencia en caso de incidentes. El concepto general de “asistencia informática” no garantiza que todas las tareas de seguridad estén cubiertas.
Utiliza una lista de comprobación práctica para proveedores
Pide que te den respuestas en un lenguaje sencillo y, siempre que sea posible, que te lo confirmen en la documentación del servicio o en el contrato.
|
Pregunta que hay que hacer
|
Por qué es importante
|
Qué hay que aclarar
|
|---|---|---|
|
¿Qué información recibirás o a qué información tendrás acceso? |
Te ayuda a valorar si el servicio es adecuado para el tipo de información de que se trata. |
Incluye los archivos subidos, las cuentas vinculadas y el acceso por parte del personal de asistencia técnica. |
|
¿Cómo podemos proteger los inicios de sesión y controlar el acceso? |
Tu equipo necesita medidas de seguridad eficaces para las cuentas. |
MFA, cuentas individuales, permisos de administrador y supresión del acceso |
|
¿Cómo se utilizará nuestra información? |
Es posible que la prestación del servicio no sea su único uso. |
Publicidad, análisis de datos, entrenamiento de modelos de IA y cualquier opción de exclusión o restricción pertinente |
|
¿Dónde se almacena la información y qué otras empresas colaboran en su tratamiento? |
Otras ubicaciones y proveedores pueden afectar a tu privacidad y a tus requisitos contractuales. |
Opciones disponibles y cómo se comunican los cambios; el mero hecho de que el almacenamiento se realice en Canadá no garantiza la seguridad ni el cumplimiento normativo. |
|
¿Qué se puede recuperar tras un borrado, un daño o un problema con la cuenta? |
Las funciones de recuperación varían considerablemente. |
Cobertura de copias de seguridad, límites de recuperación, pruebas de restauración, tiempo necesario y cargos adicionales |
|
¿Cómo nos informarás de un incidente que afecte a nuestra información o a nuestro servicio? |
Es posible que su organización tenga que actuar con rapidez. |
Forma de contacto, obligaciones de notificación e información que recibirás |
|
¿Qué ayuda hay disponible si se produce un incidente? |
Es posible que la asistencia ordinaria no incluya la investigación de incidentes ni la recuperación. |
Horario de atención, contactos de emergencia, responsabilidades y costes |
|
¿Podemos exportar nuestra información en un formato que se pueda utilizar? |
Es posible que tengas que cambiar de empresa o seguir trabajando en otro sitio. |
Qué incluye una exportación y si conserva la información necesaria para tu trabajo |
|
¿Qué ocurre cuando finaliza el servicio? |
Es posible que al cerrar una cuenta no se elimine de inmediato toda la información almacenada. |
Acceso a la eliminación, el borrado, las copias de seguridad conservadas y la confirmación de la destrucción |
|
¿Qué medidas de seguridad tienen un coste adicional? |
Las características esenciales pueden variar en función del plan. |
Gestión de MFA, controles de acceso, copias de seguridad, asistencia técnica y tarifas para organizaciones sin ánimo de lucro |
Asegúrate de que la información que facilites sea adecuada
Es posible que un proveedor te pregunte por tus sistemas para elaborar una propuesta o prestarte asistencia. Facilítale la información necesaria a través del canal adecuado.
Para una primera toma de contacto, normalmente basta con que describas tus necesidades sin necesidad de enviar registros reales de clientes, contraseñas ni una lista completa de las medidas de seguridad internas.
Antes de conceder acceso técnico:
- Confirma la identidad de la persona y el trabajo a través de tu canal de contacto habitual.
- Acordar a qué pueden acceder y qué pueden modificar.
- Utiliza el acceso individual y limitado cuando sea posible.
- Establece una fecha de finalización o un punto de revisión.
- Retira el acceso una vez finalizado el trabajo.
Evita conceder acceso sin restricciones simplemente porque resulte más cómodo.
Comprender las afirmaciones sobre seguridad
Es posible que te encuentres con expresiones como “seguridad de nivel bancario”, “totalmente seguro” o “que cumple con la normativa de privacidad”. Pregunta qué significan esas afirmaciones en relación con el servicio que vas a utilizar.
Las certificaciones y las evaluaciones independientes pueden aportar pruebas útiles, pero comprueba lo siguiente:
- ¿Qué servicio o parte de la organización se evaluó?.
- Si las pruebas están actualizadas.
- Qué es lo que cubre realmente.
- ¿Qué responsabilidades siguen recayendo en tu organización sin ánimo de lucro?.
Una certificación no garantiza que no pueda producirse un incidente. El cifrado es útil, pero no resuelve todas las cuestiones relacionadas con el acceso, el uso, la recuperación o la eliminación.
El objetivo es adaptar las garantías que ofrece el proveedor a tus necesidades reales.
Utiliza las herramientas que ya tienes
Revisa los servicios que ya tienes antes de contratar otros nuevos. Es posible que ya dispongas de medidas de protección útiles que no estén activadas o de funciones incluidas que tu equipo aún no haya explorado.
Los planes gratuitos y con descuento para organizaciones sin ánimo de lucro pueden resultar muy útiles. Comprueba sus límites y qué ocurre si cambian los requisitos de acceso, los precios o las condiciones.
Revisa también los servicios introducidos de manera informal por el personal o los voluntarios. Una herramienta útil puede convertirse en una dependencia de la organización, incluso cuando nadie haya aprobado su uso ni haya registrado quién controla la cuenta.
Utiliza una lista de comprobación práctica para proveedores
Pide que te den respuestas en un lenguaje sencillo y, siempre que sea posible, que te lo confirmen en la documentación del servicio o en el contrato.
|
Conclusión
|
Una respuesta práctica
|
|---|---|
|
Existe una medida de seguridad útil, pero no está activada. |
Encarga a alguien que lo active y compruebe que funciona. |
|
Esta función solo está disponible en otro plan. |
Evalúa si los beneficios justifican el coste o si existe otra solución que satisfaga esa necesidad. |
|
La recuperación es limitada. |
Decide si se necesitan copias de seguridad adicionales u otro servicio. |
|
El proveedor no puede explicar cómo se gestiona la información confidencial. |
Pide aclaraciones y evita subir esa información mientras la cuestión siga sin resolverse. |
|
El servicio no cumple un requisito importante. |
Plantéate recurrir a otro proveedor o buscar otra forma de realizar el trabajo. |
Deja constancia de la decisión, de cualquier laguna que quede por resolver y de quién se encargará del seguimiento. La dirección debe aprobar los riesgos importantes que queden sin resolver, en lugar de dejar que un solo miembro del personal tome esa decisión por su cuenta.
Prepárate para los cambios y las suspensiones de servicios
Mantén actualizados los datos de la entidad responsable, los contactos de facturación y los datos de recuperación. Los servicios esenciales no deben depender exclusivamente de la cuenta personal de una persona que abandona la empresa.
Antes de dar por finalizado un servicio:
- Exporta y comprueba la información que necesites.
- Transfiere las tareas y los permisos de acceso necesarios.
- Elimina las integraciones y los accesos de proveedores que ya no sean necesarios.
- Confirma las medidas relativas a la cancelación, la conservación y la supresión.
Revisa los proveedores cuando cambie el uso que les das. Por ejemplo, cuando una herramienta que antes se utilizaba para comunicaciones públicas empiece a almacenar información de los clientes. Los cambios importantes en las condiciones, las funciones o la titularidad del proveedor también pueden justificar una revisión.
Una propuesta de norma de política
Los servicios utilizados para las tareas organizativas deben ser aprobados a un nivel adecuado a su acceso, al tratamiento de la información y a su importancia operativa. Deben registrarse las responsabilidades, la titularidad de las cuentas, el soporte técnico y las disposiciones de salida. Los proveedores solo deben recibir el acceso y la información necesarios para el trabajo aprobado. Las deficiencias significativas deben remitirse al responsable de la toma de decisiones designado.
Antes de adoptar esta norma, hay que determinar quién aprueba los servicios, dónde se guardan los contratos y quién revisa los acuerdos con los proveedores.
Analiza un proveedor importante
Elige un proveedor de tu inventario que posea información confidencial o que preste un servicio esencial.
Utiliza la lista de comprobación completa a la hora de seleccionar un nuevo servicio o de revisar uno ya existente que sea importante.
Lo que debes recordar
Al finalizar esta sección, deberías haber:
- Se han identificado los proveedores más importantes para tu información y tus operaciones.
- Se han aclarado las responsabilidades compartidas y las medidas de apoyo.
- Deficiencias detectadas y decisiones que requieren un seguimiento.
- Se ha comprobado que tu organización puede mantener el acceso y recuperar su información.
A continuación, te prepararás para hacer frente a posibles incidentes: a quién contactar, cómo limitar los daños y cómo evaluar si es necesario informar a otras personas.
Sección 9: Responder a los incidentes y evaluar la necesidad de notificarlos
Un plan de respuesta ante incidentes ayuda a tu organización sin ánimo de lucro a reaccionar con rapidez ante los incidentes de seguridad, ya que define las responsabilidades, los contactos clave y las medidas inmediatas que deben adoptarse para proteger a las personas y mantener las operaciones esenciales.
English 
French 
Chinese 
Spanish 
Ukrainian 