22 de octubre de 2026 - Tiempo de lectura 4 min
Por qué la gestión del riesgo de terceros ya es responsabilidad de toda la organización
Por Roberto Lara
Aprovechando que estamos en el Mes Europeo de la Ciberseguridad quiero hacer una reflexión sobre algo con lo que nos encontramos a diario cuando analizamos el nivel de riesgo de algunas organizaciones. Lo normal es que los responsables de esa organización consideren que están a salvo por haber implementado firewalls de última generación y otras soluciones avanzadas. Tienen su infraestructura corporativa fortificada y se sienten relativamente invulnerables. Y, dejando a un lado la realidad de que no existe el riesgo cero, sino la confianza cero y el esfuerzo constante, tu ciberseguridad no depende solo de ti, sino de todos los que integran tu cadena de suministro.
Una parte importante de los ciberataques actuales, incluidos algunos de los que han provocado mayores daños en grandes empresas y administraciones públicas, no se dirige contra sus sistemas mejor protegidos, sino que aprovecha las vulnerabilidades de terceros que forman parte de su cadena de suministro. Proveedores de software, empresas de mantenimiento informático, operadores logísticos, servicios en la nube y consultoras externas constituyen una vía de entrada especialmente delicada, ya que necesitan conectarse a los sistemas de sus clientes para prestar sus servicios y, en muchos casos, cuentan con accesos privilegiados o conexiones directas a la red corporativa, pese a disponer de medidas de seguridad menos exigentes que las organizaciones a las que prestan servicio.
Esta realidad cobra especial importancia en un entorno empresarial cada vez más interconectado, donde cualquier proveedor externo con credenciales válidas y acceso a los sistemas de una organización pasa a formar parte, en la práctica, de su perímetro de seguridad. Los ciberdelincuentes son conscientes de ello y aprovechan estas relaciones de confianza para acceder a infraestructuras que, de otro modo, resultarían mucho más difíciles de comprometer.
Tanto es así, que cuando un atacante busca infiltrarse en una gran corporación, la vía más eficiente rara vez es el ataque directo. Resulta tácticamente mucho más sencillo identificar a un proveedor secundario que gestione la facturación, mantenga los sistemas de climatización industrial, desarrolle código bajo demanda o preste soporte técnico remoto. Si ese proveedor sufre una brecha, las credenciales robadas permiten al intruso acceder a la infraestructura corporativa de manera aparentemente legítima y sin levantar sospechas en los controles tradicionales. Por eso son necesarias estrategias específicas de ciberseguridad como las que a diario desplegamos en nuestra Unidad.
La gestión del riesgo de terceros es una de estas estrategias. Lo que denominamos Third-Party Risk Management o TPRM debe convertirse, a mí juicio, en una responsabilidad estratégica y transversal de toda la organización y no un mero trámite del departamento de TI.
En una estrategia TPRM deben involucrarse de forma coordinada los Equipos de Compras y Contratación, evaluando el nivel de madurez digital de los proveedores antes de la homologación e incorporando exigencias mínimas de ciberseguridad en los pliegos. También los Departamentos Legales y Compliance deberían garantizar cláusulas contractuales con derecho a auditoría, obligaciones estrictas de reporte de incidentes y delimitación clara de responsabilidades. Por su parte, los responsables de Recursos Humanos serían responsables de promover la concienciación y gestionar el ciclo de vida de los accesos concedidos a personal externo.
Al tratarse pues de una responsabilidad compartida y transversal, parece inevitable que los Comités Ejecutivos y Consejos de Administración asuman la supervisión directa del riesgo de la cadena de valor como un pilar del gobierno corporativo y la continuidad del negocio. Máxime cuando, más allá de una precaución extra, en realidad es una exigencia legal.
Los mandatos regulatorios en materia de ciberseguridad en Europa son bastante claros. Desde la Directiva NIS2 que marca un punto de inflexión al situar la supervisión de la cadena de suministro como una obligación explícita, al Esquema Nacional de Seguridad (ENS) e ISO 27001 / ISO 27110 que exigen el control y la verificación continua de las entidades colaboradoras para asegurar que cualquier tercero que acceda a información corporativa mantenga un nivel de protección equivalente al exigido internamente. Otras normas más concretas también lo exigen, como el Reglamento DORA (sector financiero) y RGPD.
La responsabilidad sobre la ciberseguridad no termina en los límites de la organización. Un incidente originado en un proveedor puede comprometer directamente sus operaciones y, en función del marco normativo aplicable, generar responsabilidades legales. Por ello, la supervisión de terceros no puede reducirse a cuestionarios que se cumplimentan una vez al año y quedan archivados hasta la siguiente revisión. Requiere un modelo de vigilancia y control continuo, sustentado en principios como Zero Trust ("nunca confiar, siempre verificar"), la microsegmentación de redes, la gestión rigurosa de los accesos, la monitorización permanente, las auditorías técnicas y las evaluaciones periódicas de madurez en ciberseguridad.
Emprender esa tarea y asumir esa responsabilidad que va más allá de nuestros límites corporativos no es fácil, y por eso la respuesta también puede estar en un tercero. En la Unidad de Ciberseguridad de Vodafone Empresas acompañamos a las empresas y administraciones públicas con una propuesta integral diseñada para proteger todo el ecosistema digital con soluciones como el CREC (Centro de Resiliencia y Excelencia en Ciberseguridad), Red Nacional de SOCs Federados, la figura del Service Security Manager (SSM) y herramientas concretas como el Análisis Forense Móvil o la Consultoría GRC.
Como suelo destacar ante las presentaciones a clientes o en eventos donde participamos, nuestra misión es convertir la ciberseguridad en parte del core de cualquier organización y que ésta llegue a todos los rincones de la misma, dentro o fuera de ella si hace falta. Porque, la ciberseguridad, es cosa de todos.
Roberto Lara
Director de Ciberseguridad de Vodafone Business
Director de la unidad de negocio de Ciberseguridad en Vodafone Business, con más de 15 años de experiencia en la protección digital y la gestión de riesgos en entornos corporativos. Ha desarrollado su carrera en compañías líderes como S21sec, SIA Group y Telefónica, consolidando una visión estratégica sobre ciberseguridad aplicada a negocios. En Vodafone, lidera la definición e implementación de soluciones avanzadas que permiten a las organizaciones anticiparse a amenazas, proteger su identidaddigital y garantizar la resiliencia frente a riesgos híbridos.
Colabora activamente con el Grupo de Trabajo del Departamento de Seguridad Nacional (DSN) en la lucha contra campañas de desinformación y participa en foros especializados como ENISE, CCN-STIC, ISMS Forum, entre otros. Además, es colaborador habitual en medios de comunicación (El Español, El Mundo, El País, La Razón, Red Seguridad, SIC, entre otros), radio (SER, COPE, etc.) y televisión (RTVE, Cuatro, Telemadrid, entre otros), aportando análisis experto sobre ciberseguridad, IA y amenazas emergentes.
