El riesgo de terceros es la exposición que una empresa hereda de las organizaciones a las que le abre la puerta: proveedores de tecnología, servicios en la nube, integradores, contratistas, socios y el software que instala sin leer del todo. No es el riesgo de que ellos tengan un problema. Es el riesgo de que su problema se convierta en el tuyo, con tus datos y tu operación dentro.
Casi la mitad de los ataques ya entra por ahí. El informe DBIR 2026 de Verizon encontró un tercero involucrado en el 48% de las brechas analizadas, un 60% más que el año anterior. Y según el informe de cadena de suministro de SecurityScorecard de marzo de 2026, el 78% de las organizaciones vigila menos de la mitad de su ecosistema de proveedores.
Los dos datos juntos explican por qué el atacante eligió esa puerta: es la más transitada y la menos vigilada.
¿Qué cuenta como un tercero?
Más cosas de las que suelen aparecer en el inventario. Un tercero es cualquier organización externa que toca tus sistemas, tus datos o tu operación:
- El proveedor de TI o el MSSP que administra tu infraestructura y suele tener cuentas con privilegios.
- Las aplicaciones en la nube donde vive la nómina, el CRM, la facturación o los expedientes de tus clientes.
- Consultoras e integradores que entran por un proyecto y a veces se quedan con el acceso mucho después.
- Contratistas, freelancers y personal temporal con equipo propio.
- Socios comerciales conectados a tu red o a tu ERP para intercambiar información.
- El software mismo: actualizaciones, librerías, plugins y dependencias que llegan firmadas y confiables.
Y hay un nivel más, el que casi nunca está en ninguna lista: los proveedores de tus proveedores. En inglés se llama fourth-party risk, riesgo de cuarto nivel. Tu proveedor de nómina subcontrata el envío de correos, ese servicio se compromete y el correo con los recibos de tu gente sale de una empresa que no aparece en ninguno de tus contratos.
¿Por qué el ataque entra por el proveedor?
Por cuatro razones que tienen poco de técnicas y mucho de lógica de negocio.
La primera es que el tercero entra con permiso. Tiene credenciales válidas, una VPN aprobada, a veces una cuenta de administrador. El atacante que se apodera de ese acceso no tiene que romper nada, solo usarlo. Para tus controles es un día normal de trabajo.
La segunda es la confianza implícita. El día que se firmó el contrato alguien revisó al proveedor. Después nadie volvió a preguntar. Ese “ya está aprobado” es el permiso más duradero que existe en cualquier empresa, y es exactamente lo que el modelo Zero Trust viene a discutir.
La tercera es economía. Comprometer a una empresa da acceso a una empresa. Comprometer al proveedor que la atiende da acceso a decenas o cientos, todas configuradas de forma parecida, todas con la misma herramienta de administración remota. Visto desde el otro lado del teclado, es la mejor relación entre esfuerzo y resultado del mercado.
La cuarta es la más incómoda: la llave que nadie revocó. El proyecto terminó, el contrato venció, la persona cambió de trabajo, y la cuenta sigue activa. No hay ataque sofisticado detrás. Hay una tarea administrativa que nadie tenía asignada.
¿Cuántos tipos de riesgo de terceros hay?
Conviene separarlos, porque cada uno se controla distinto y mezclarlos es la razón por la que muchos programas de proveedores no reducen nada.
| Tipo | De qué se trata | Ejemplo típico |
|---|---|---|
| Riesgo de acceso | El tercero entra a tus sistemas | Un proveedor de soporte con cuenta de administrador y sin doble factor |
| Cadena de suministro de software | El código que instalas trae el problema | Una actualización legítima, firmada, con una puerta trasera dentro |
| Datos en custodia | El tercero guarda información tuya o de tus clientes | La brecha ocurre en el SaaS de nómina y los datos expuestos son los de tu gente |
| Dependencia operativa | No te roban nada, te detienen | Un proveedor de nube o de logística fuera de servicio dos días |
| Cumplimiento heredado | El error es del tercero y la responsabilidad sigue siendo tuya | Un subcontratista trata datos personales sin las medidas que exige la ley |
Los dos últimos son los que más sorprenden a los directores. Ante tus clientes y ante el regulador, delegar la operación no delega la responsabilidad.
¿Cómo se gestiona el riesgo de terceros?
La disciplina que se ocupa de esto se llama TPRM, por third-party risk management, gestión de riesgo de terceros. Y no es un cuestionario que se responde una vez: es un ciclo de cuatro momentos. El marco de referencia más usado, el NIST SP 800-161, lo plantea igual.
Antes de firmar. Inventario completo y clasificación por criticidad. No todos los proveedores merecen el mismo esfuerzo: primero los que tienen acceso remoto, los que guardan datos personales y los que, si se detienen, te detienen. Si un proveedor cumple las tres, ahí empieza el programa.
En el contrato. Es el único momento en que tienes poder de negociación real. Cuatro cláusulas que deberían estar siempre: qué sistemas y datos puede tocar, en cuánto tiempo debe notificarte un incidente (72 horas es el estándar razonable), derecho a pedir evidencia o auditoría, y obligación de avisarte si subcontrata a alguien más.
Durante la relación. Acceso mínimo y temporal en lugar de permanente, doble factor administrado por ti y no por el proveedor, cuentas nominales en lugar de compartidas, y actividad monitoreada por tu SOC igual que la de un empleado. Un acceso de proveedor que nadie observa es un punto ciego con contrato.
A la salida. El paso que casi todo el mundo se salta. Revocar credenciales, cerrar cuentas, retirar accesos de red, confirmar por escrito la devolución o el borrado de los datos. Esto no lo resuelve ninguna herramienta: lo resuelve alguien que tenga la tarea asignada y una fecha.
¿Y por qué la lista de proveedores crece más rápido que la capacidad de revisarla?
Porque contratar tecnología dejó de ser una decisión del área de sistemas. Hoy cualquier equipo resuelve un problema en una tarde con una tarjeta corporativa y un registro por correo. Casi siempre es una buena noticia para el negocio, y siempre es un tercero nuevo que nadie evaluó. Es el mismo fenómeno que ya vimos con la IA que los empleados usan sin aprobación, y se gobierna igual: no prohibiendo, sino haciendo que el camino aprobado sea el más fácil de recorrer.
Seis preguntas antes de darle acceso a un proveedor
- ¿A qué sistemas y a qué datos va a entrar exactamente, y quién autorizó ese alcance?
- ¿El acceso es permanente o se abre cuando hace falta y se cierra al terminar?
- ¿En cuánto tiempo se compromete a avisarnos de un incidente, y está por escrito?
- ¿Subcontrata alguna parte del servicio? ¿A quién, y nos avisa si eso cambia?
- ¿Qué evidencia de seguridad puede mostrar hoy, sin preparar nada?
- Cuando termine el contrato, ¿quién de nuestro lado tiene la tarea de cerrarle la puerta?
La sexta es la que casi nunca tiene dueño, y es la que aparece en los informes forenses.
Preguntas frecuentes
¿Es lo mismo riesgo de terceros que riesgo de cadena de suministro?
¿Qué es el riesgo de cuarto nivel o fourth-party?
¿A cuántos proveedores hay que revisar?
¿Basta con que el proveedor llene un cuestionario de seguridad?
Si el proveedor pierde los datos de mis clientes, ¿quién responde?
Una firma también es una puerta
Cada proveedor nuevo resuelve algo y abre algo. La pregunta útil no es cuántos proveedores tienes, es cuántos de ellos podrían apagarte mañana o entrar a tus sistemas esta noche, y cuál de esos dos grupos alguien está mirando.
Nuestro SOC 24/7 gestionado monitorea la actividad de los accesos de terceros igual que la de cualquier usuario interno, porque para un atacante esa es la diferencia que no existe. Si todavía no tienes el inventario de quién tiene acceso a qué, el diagnóstico de seguridad sin costo es la forma más rápida de armarlo. Los demás términos que aparecen en este artículo están explicados en nuestro glosario de ciberseguridad.
Un proveedor no se evalúa el día que firma. Se vigila todos los días que sigue teniendo acceso.
