Qué evidencias pedir al contratar un servicio de ciberseguridad
Contrata con evidencias del alcance y del trabajo que recibirás, incluyendo límites y responsabilidades comprobables.
Equipo enginerIT· 2 min de lectura
Pide evidencias del servicio que vas a contratar: alcance de cobertura, ejemplo de trabajo entregado, responsabilidades y una prueba de escalado. Certificados y presentaciones ayudan a evaluar al proveedor, pero no demuestran por sí solos qué hará con tus sistemas, en qué horario ni con qué autoridad.
Pide una propuesta que pueda verificarse
Entrega tu inventario relevante y solicita qué activos, identidades y servicios quedarán incluidos o excluidos. Exige que las dependencias y supuestos estén escritos: agentes instalados, fuentes disponibles, acceso del proveedor y participación interna. NIST recomienda comunicar requisitos de seguridad a los suministradores; conviértelos en resultados que puedas revisar. Una frase como vigilancia de todos los sistemas no es verificable si no hay lista ni procedimiento para actualizarla.
Revisa muestras sin datos de otros clientes
Solicita informes anonimizados o ejemplos sintéticos de alta, alerta, investigación, cambio y cierre. Observa si muestran fuente, tiempo, contexto, responsable y acción recomendada. No pidas evidencias que expongan información ajena. Pregunta cómo obtendrías tus propios registros y quién conserva los originales. Distingue una muestra de formato de una prueba de calidad: una plantilla bien diseñada todavía debe rellenarse correctamente durante el piloto.
Comprueba capacidad y límites de respuesta
Pide horario, contactos, aceptación del caso, escalado y diferencia entre tiempo de aviso y tiempo de resolución. Aclara qué acciones ejecuta el proveedor, cuáles requieren tu aprobación y qué ocurre si no respondes. Verifica el procedimiento con un caso de ensayo y un suplente interno. No confundas personal disponible con autoridad para aislar tu servidor o bloquear una cuenta: esas decisiones necesitan un acuerdo explícito sobre alcance e impacto.
Contrasta credenciales y condiciones de salida
Si se presenta una certificación, comprueba entidad, vigencia y alcance del servicio cubierto. Revisa subproveedores, manejo de datos, incidentes propios, cambios y retirada de accesos al terminar. Guarda respuestas con referencia a la propuesta contractual; separa lo demostrado de lo prometido y lo pendiente. Fija requisitos eliminatorios y condiciones para aceptar el piloto. Si una evidencia no está disponible, pide una alternativa concreta y decide con su limitación visible, sin rellenar el hueco con reputación comercial.
Comprobaciones para cerrar la tarea
- ✓ Cobertura y exclusiones listas para contrastar
- ✓ Muestra sintética y escalado de ensayo revisados
- ✓ Acciones autorizadas y salida contractual claras
Fuentes y documentación
- NIST SP 1305 · Supply chain risk management — Requisitos y responsabilidades de proveedores durante el ciclo de relación.
Aplicarlo en tu empresa
Podemos revisar el entorno y acordar qué actuaciones, validaciones y mantenimiento necesitas.
Conocer el servicio relacionado →