Al revisar una empresa que ofrece servicios digitales —plataformas, aplicaciones, proveedores de software como servicio o integradores— no basta evaluar funcionalidades y precio. La seguridad de la información y la protección de datos personales determinan riesgos legales, reputacionales y económicos. Una mala valoración puede exponer a usuarios o a la propia organización a fugas de datos, incumplimientos normativos y pérdidas financieras. Este texto ofrece un marco práctico y detallado para evaluar esos aspectos con ejemplos, criterios técnicos y un listado de comprobación aplicable.
Consideraciones preliminares: gestión y cumplimiento normativo
- Responsabilidad y roles: comprobar si la empresa identifica a un responsable de seguridad y a un delegado de protección de datos o figura similar. La presencia de políticas internas, un comité de seguridad y procedimientos formales suele ser un buen indicio.
- Cumplimiento normativo: pedir pruebas que acrediten la conformidad con la normativa vigente: Reglamento General de Protección de Datos (RGPD) en la Unión Europea, legislaciones nacionales de protección de datos y requisitos sectoriales específicos (como las regulaciones sanitarias correspondientes en cada país). Verificar si han llevado a cabo evaluaciones de impacto en protección de datos (EIPD o DPIA).
- Políticas públicas: revisar la política de privacidad y la política de seguridad publicadas en su sitio web. Deben explicar de forma transparente la finalidad del tratamiento, la base jurídica, los periodos de conservación, los derechos de los usuarios y cualquier transferencia internacional de datos.
Protección técnica: medidas fundamentales
- Cifrado en tránsito y en reposo: verificar que emplean cifrado TLS 1.2/1.3 para las comunicaciones y un esquema sólido de cifrado en el almacenamiento, como AES-256, además de solicitar información sobre cómo administran y rotan las claves.
- Gestión de credenciales y autenticación: evaluar si disponen de autenticación multifactor tanto para cuentas administrativas como para las de los clientes, junto con políticas de contraseñas y mecanismos de bloqueo frente a intentos reiterados.
- Control de acceso e identidad: analizar el sistema de permisos basado en el principio de mínimo privilegio, el uso de accesos por roles, la separación de responsabilidades y la necesidad de aprobar accesos con privilegios elevados.
- Seguridad de la infraestructura: determinar si trabajan con proveedores de nube reconocidos, cómo aplican configuraciones seguras, la segmentación de la red y las medidas implementadas contra ataques de denegación de servicio.
- Protección de datos sensibles: comprobar si recurren a la pseudonimización o la anonimización y si incluyen cifrado especializado para datos especialmente delicados, como identificadores personales, información financiera o datos sanitarios.
- Registro y auditoría: confirmar que generan y mantienen registros de accesos, modificaciones y eventos de seguridad con una sincronización horaria adecuada y una política de conservación claramente definida.
Gestión de riesgos, pruebas y respuesta a incidentes
- Evaluaciones periódicas: solicitar resultados de pruebas de penetración y análisis de vulnerabilidades recientes. Idealmente, auditorías externas anuales y pruebas internas trimestrales.
- Programa de gestión de vulnerabilidades: existencia de proceso para parcheo, priorización y mitigación de hallazgos con plazos definidos.
- Plan de respuesta a incidentes: evaluar si existe un plan documentado, equipos responsables, procesos de comunicación (incluyendo notificación a autoridades y afectados), y ejercicios de simulación.
- Historial de incidentes: preguntar por incidentes pasados, causas, medidas correctoras y tiempos de resolución. La transparencia en la comunicación es un buen indicador.
Proveedores, tareas subcontratadas y transferencias
- Cadena de suministro: reconocer a los terceros esenciales, incluidos proveedores de nube, servicios de pago y plataformas de análisis, verificando sus métodos de auditoría y las cláusulas contractuales aplicables.
- Contratos y acuerdos: solicitar el modelo vigente del contrato de tratamiento de datos, con sus cláusulas de resguardo, obligaciones ante incidentes y los acuerdos de nivel de servicio correspondientes.
- Transferencias internacionales de datos: validar los fundamentos jurídicos utilizados, como las cláusulas contractuales tipo, decisiones de adecuación u otras medidas adicionales que garanticen una protección apropiada.
Privacidad desde el diseño y facultades de los interesados
- Minimización y limitación de finalidad: verificar que la recopilación de información se reduce a lo imprescindible y que existen fundamentos debidamente registrados.
- Medidas técnicas de privacidad: inclusión de procesos de seudonimización, anonimización reversible, entornos segregados por cliente y mecanismos que impidan cualquier reidentificación.
- Atención a derechos ARCO/LOPD o equivalentes: disponibilidad de procedimientos para acceso, rectificación, eliminación, objeción y portabilidad, junto con plazos y vías definidos para que los interesados gestionen sus solicitudes.
- Consentimiento y comunicaciones: analizar la forma en que se administra el consentimiento cuando aplica, los registros correspondientes y un método sencillo para anularlo.
Certificaciones, procesos de auditoría y medidas de rendimiento
- Certificaciones útiles: ISO/IEC 27001, ISO/IEC 27701 (gestión de privacidad), certificaciones sectoriales como PCI DSS para pagos, o certificaciones de seguridad específicas del país. La posesión de certificaciones no sustituye auditorías, pero aporta confianza.
- Informes y auditorías: solicitar informes SOC 2 tipo II o equivalentes si están disponibles. Evaluar alcance temporal y alcance de los informes.
- Métricas operativas: tiempos medios de parcheo, tiempo medio de detección (MTTD) y tiempo medio de recuperación (MTTR), porcentaje de pruebas de penetración con vulnerabilidades críticas corregidas en X días.
Pruebas prácticas que puede realizar un revisor
- Revisión documental: analizar políticas, contratos, EIPD y resultados de auditorías.
- Revisión técnica superficial: comprobar certificados TLS en sus servicios web, cabeceras HTTP de seguridad, expiración de sesiones y prácticas de almacenamiento en navegadores.
- Solicitar pruebas en entorno de demostración: pedir acceso controlado para verificar controles de acceso, niveles de permiso y trazabilidad de operaciones.
- Revisión de código o dependencias: cuando sea posible, verificar prácticas de seguridad en el ciclo de desarrollo (CI/CD), revisiones de código y gestión de dependencias vulnerables.
Casos y ejemplos ilustrativos
- Configuración incorrecta en servicios de almacenamiento en la nube: en ocasiones, empresas han dejado buckets sin protección adecuada, exponiendo millones de datos. La lección es clara: verificar de forma periódica las reglas de acceso y los registros de actividad en los recursos de almacenamiento.
- Privilegios excesivos sin supervisión: muchas filtraciones internas surgen cuando cuentas administrativas acumulan permisos innecesarios y carecen de MFA. Establecer un control de acceso por roles y auditar las sesiones con privilegios ayuda a disminuir este tipo de amenazas.
- Anonimización insuficiente de la información: incluso bases de datos que parecen anónimas pueden reconstruirse mediante cruces con fuentes públicas. Es esencial usar métodos sólidos y evaluar con detenimiento las posibilidades de reidentificación.
Checklist práctica para una revisión rápida
- ¿Existe un responsable de seguridad junto con un delegado de protección de datos designado formalmente?
- ¿Difunden políticas de privacidad y seguridad que sean claras y estén actualizadas?
- ¿Implementan cifrado para los datos en tránsito y almacenados, y de qué manera administran las claves?
- ¿Proporcionan autenticación multifactor y un control de acceso detallado?
- ¿Efectúan pruebas de penetración y auditorías externas con regularidad?
- ¿Disponen de un plan documentado de respuesta a incidentes que se haya puesto en práctica?
- ¿Supervisan a proveedores externos mediante contratos y auditorías, incluyendo cláusulas sobre transferencias internacionales?
- ¿Incorporan privacidad desde el diseño y facilitan el ejercicio de los derechos de los interesados?
- ¿Poseen certificaciones pertinentes y comparten métricas operativas?
Herramientas y recursos para evaluar
- Análisis de cabeceras y certificados TLS mediante navegadores y herramientas en línea.
- Solicitar informes de auditoría (SOC, ISO) y revisar su alcance y fechas.
- Revisar políticas públicas y textos contractuales en busca de cláusulas sobre responsabilidad, indemnizaciones y notificación de brechas.
- Uso de matrices de riesgo y plantillas de EIPD para evaluar impacto sectorial y por tipo de dato.
Fallas habituales que conviene identificar
- Carencia de una separación clara entre los entornos de desarrollo y de producción.
- Conservación prolongada de información sin una razón documentada.
- Uso de subcontratistas sin garantías contractuales ni evaluaciones regulares.
- Falta de pruebas recurrentes o demora en la corrección de fallas críticas.
Una evaluación exhaustiva integra revisión documental, análisis técnicos y verificación contractual. Más allá de respetar normativas o mostrar certificaciones, es esencial apreciar cómo la empresa gestiona su operación para identificar incidentes, reaccionar ante ellos y extraer aprendizajes, así como su nivel de transparencia y su compromiso activo con la privacidad desde el diseño. Contar con una lista de verificación contextualizada y solicitar pruebas tangibles ayuda a distinguir a los proveedores que sólo afirman ofrecer seguridad de aquellos que realmente la respaldan con acciones y resultados.
