Abrir menú Cerrar menú
Volver a los recursos

Checklist Taller 4 · Ciberataques a través de proveedores: protege tu negocio

Checklist de seguridad en proveedores

Seis áreas para revisar la seguridad de tus proveedores y de todo lo que entra desde fuera, unas pocas preguntas en cada una y tres respuestas posibles: Implantado, Parcial o No implantado. Al terminar sabrás qué tienes en verde, en ámbar o en rojo, y qué decidir primero.

5 min de lectura

Descargar en Word (editable) Descargar en Excel (editable)

Puedes adaptarlo a tu empresa. También puedes imprimir esta página o guardarla como PDF desde tu navegador.

Cómo funciona

Tu programa de gestión, el correo en la nube, la asesoría, el transportista o la plataforma de pedidos de la distribuidora también forman parte de tu seguridad: puedes tener la casa cerrada y verte afectado por un tercero. Estas son las medidas que trabajamos en el Taller 4 para reducir tus vulnerabilidades externas: casi todas son organización y contratos, no tecnología.

Responde cada pregunta con «Implantado», «Parcial» o «No implantado», pensando en tu empresa tal y como está hoy. Ante la duda, elige la respuesta más baja: un rojo reconocido es justo lo que te dice por dónde empezar.

Proveedores tecnológicos y no tecnológicos

  • ¿Tenemos una lista de nuestros proveedores, tecnológicos y no tecnológicos: programa de gestión, correo, mantenimiento informático, asesoría, transportistas y plataformas de la distribución?
  • ¿Sabemos de cada uno qué datos trata, a qué sistemas llega y si nos pararía en caso de fallar?
  • ¿Hemos marcado como críticos los que reúnen las tres cosas (datos, sistemas y dependencia) y empezamos por ellos?
  • ¿Antes de contratar un proveedor tecnológico le preguntamos dónde guarda los datos, qué medidas aplica y cómo avisa de un incidente?

Accesos externos

  • ¿Cada técnico o proveedor que entra en nuestros sistemas lo hace con su propia cuenta, sin claves compartidas como «soporte_erp»?
  • ¿Los accesos desde fuera, como el acceso remoto o la VPN, piden doble factor?
  • ¿Cada acceso externo tiene un responsable en la empresa y solo el permiso que su tarea necesita?
  • ¿Retiramos los accesos el mismo día que termina la relación y los revisamos al cerrar cada campaña?

Correo, ofimática y nube

  • ¿Todas las cuentas de correo y de la nube tienen doble factor, también las genéricas como la de pedidos?
  • ¿Revisamos qué aplicaciones tienen permiso sobre nuestras cuentas y desconectamos las que nadie usa?
  • ¿Las carpetas y los enlaces compartidos en la nube van a personas concretas, caducan y tienen un responsable?
  • ¿El equipo sabe que no debe «habilitar contenido» (macros) en un documento que no esperaba?

Plataformas compartidas, logística y EDI

  • ¿Sabemos en qué plataformas compartidas trabajamos: el sistema de pedidos común, los portales de transportistas o la plataforma EDI de la distribución?
  • ¿En cada plataforma cada persona tiene su propio usuario, con doble factor si la plataforma lo permite?
  • ¿Cada usuario tiene solo el permiso que necesita, como ver y confirmar entregas sin poder editar pedidos, y las bajas se hacen el mismo día?
  • ¿Un cambio de dirección de entrega o de datos de un cliente en la plataforma se comprueba antes de darlo por bueno?

Intercambio de documentos y pagos

  • ¿Tenemos un canal acordado con cada proveedor, asesoría y cliente para pedidos, albaranes, facturas y nóminas?
  • ¿Tenemos una norma de pagos: un cambio de cuenta bancaria nunca se acepta por correo y se confirma por teléfono, al número de siempre?
  • ¿Evitamos enviar documentos sensibles por mensajería o correo personal?
  • ¿Comprobamos un adjunto o una factura inesperados antes de abrirlos o pagarlos, aunque vengan de un proveedor conocido?

Contratos y plan B

  • ¿Tenemos firmado un contrato de encargado del tratamiento (RGPD, artículo 28) con cada proveedor que trata datos personales por nosotros, como la asesoría o el programa de gestión en la nube?
  • ¿Los contratos con los proveedores críticos fijan por qué canal y en cuánto tiempo nos avisan de un incidente, y tenemos ese contacto a mano?
  • ¿Tenemos una copia propia de nuestros datos fuera del sistema del proveedor, como los pedidos que viven en su programa?
  • ¿Para cada proveedor crítico sabemos cómo seguir trabajando si cae, en papel o en una hoja de cálculo, y qué alternativa tenemos si tarda días en volver?

Cómo sale el color de cada área

Mira las respuestas de cada área por separado. Sé exigente: una medida solo está implantada si funciona hoy, no si está prevista.

  • Verde (cubierto): todas las respuestas del área son «Implantado».
  • Ámbar (a medias): hay algún «Parcial» y ningún «No implantado».
  • Rojo (sin cubrir): hay al menos un «No implantado».

Por dónde empezar

No hace falta arreglarlo todo a la vez. Ponle un plazo a cada color, de lo que más daño evita a lo que menos:

  1. En los próximos 7 días, los rojos que no cuestan dinero: la norma de pagos y los accesos de fuera que ya no necesita nadie. Empieza hoy por los cambios de cuenta, que se confirman por teléfono.
  2. En 15 días, el resto de los rojos, empezando por tus proveedores críticos: el contrato de encargado, el aviso de incidentes y el plan B.
  3. En 30 días, los ámbares, cuando los rojos estén en marcha.

Tus decisiones

Con los colores delante, elige entre 3 y 5 decisiones a 30 días y ponle un responsable a cada una. Para tus proveedores, rellena la plantilla «Mapa de proveedores y plan B»; para el contrato de encargado, la AEPD publica un modelo de cláusulas gratuito, enlazado en «Guías oficiales para gestionar el riesgo de tus proveedores». Cuando pase el plazo, vuelve a pasar este checklist y comprueba qué colores han cambiado.

Programa presencial · Región de Murcia · 2026

Quiero participar