Un banco minorista tenía un contrato exhaustivo con su socio de procesamiento de pagos, un contrato elaborado por el equipo jurídico con una aportación significativa del área de seguridad. El contrato incluía requisitos de seguridad concretos: MFA para todo acceso a los entornos de datos de pago, pruebas de penetración anuales, cifrado de los datos en tránsito y en reposo, y notificación de incidentes en un plazo de veinticuatro horas. El contrato también incluía una cláusula de derecho de auditoría que permitía al banco verificar el cumplimiento de estos requisitos. En tres años de relación, el derecho de auditoría nunca se había ejercido. El cuestionario de seguridad que se enviaba cada año pedía al proveedor que confirmara el cumplimiento de los requisitos contractuales, y el proveedor lo confirmaba cada año. Durante la investigación de un incidente tras un fraude en los pagos, el análisis forense constató que los ingenieros de soporte del proveedor accedían al entorno de pagos a través de una vía VPN heredada que no aplicaba MFA: el requisito de MFA se aplicaba a la vía de acceso principal, y existía una excepción documentada para la VPN heredada a la espera de su migración. El contrato exigía MFA. La excepción existía. El equipo de seguridad del proveedor conocía la excepción. Se había confirmado cada año en el cuestionario como "MFA aplicada" porque la vía principal tenía MFA. El requisito contractual no se cumplía para todos los accesos. La confirmación del cuestionario era exacta para la vía principal. El derecho de auditoría nunca se había utilizado para verificar el panorama completo.
¿Qué es realmente el problema de los controles contractuales frente a los controles reales?
Los requisitos contractuales de seguridad definen la postura de seguridad que un proveedor debe mantener como condición de la relación comercial. Establecen obligaciones, definen estándares y crean vías de recurso legal si no se cumplen los estándares. No garantizan que los controles exigidos estén implantados, funcionen eficazmente o se apliquen de forma coherente en todos los sistemas y vías de acceso pertinentes. La brecha entre el requisito contractual y la implantación real del control es el espacio entre lo que la organización ha exigido y lo que el proveedor ha entregado, una brecha que es invisible sin verificación.
La brecha de verificación es el mecanismo operativo que permite que persistan las carencias respecto de los requisitos contractuales. La mayoría de los contratos con proveedores incluyen cláusulas de derecho de auditoría que permiten al cliente verificar el cumplimiento de los requisitos contractuales de seguridad. La mayoría de los clientes rara vez o nunca ejercen estos derechos, en parte porque las auditorías exigen una coordinación y una inversión de recursos considerables, en parte porque la relación comercial genera reticencia a parecer hostil y en parte porque las confirmaciones de los cuestionarios anuales dan la apariencia de una verificación sin exigirla. Un derecho de auditoría que nunca se ha ejercido es una capacidad de verificación que nunca se ha utilizado.
El problema de la confirmación mediante cuestionario es el mecanismo concreto por el que las carencias contractuales siguen siendo invisibles. Los cuestionarios anuales que piden a los proveedores que confirmen el cumplimiento de los requisitos contractuales reciben respuestas del proveedor que describen cómo entiende este su cumplimiento. Estas respuestas pueden ser exactas, inexactas o técnicamente exactas pero engañosas: confirman el cumplimiento del requisito declarado tal como se aplica a la vía principal sin divulgar excepciones, carencias de sistemas heredados ni interpretaciones restrictivas del texto del requisito. El cuestionario produce una confirmación. No produce una verificación.
- Derecho de auditoría nunca ejercido: derecho contractual de verificación disponible, pero no utilizado
- Cuestionario anual aceptado como verificación: la autoconfirmación del proveedor se acepta como evidencia de cumplimiento
- Carencias por excepciones no divulgadas: las excepciones conocidas a los requisitos contractuales no aparecen en las confirmaciones anuales
- Brechas en la interpretación técnica de los requisitos: el proveedor interpreta los requisitos de forma restrictiva para cubrir las vías principales y mantiene excepciones en las vías secundarias
- Ninguna metodología de verificación de los requisitos contractuales: contratos con requisitos, pero sin un proceso para confirmar su cumplimiento operativo
Por qué es importante
La diferencia entre los controles contractuales y los reales es importante para TPRM porque los marcos regulatorios esperan cada vez más que las organizaciones no solo incluyan requisitos de seguridad en los contratos con proveedores, sino que puedan demostrar que esos requisitos se cumplen. Las directrices de OCC sobre riesgo de terceros señalan expresamente que la supervisión continua debe incluir la verificación de que los terceros cumplen sus obligaciones contractuales, y no solo la confirmación de que los contratos contienen los requisitos adecuados. Un programa con requisitos contractuales sólidos pero sin mecanismo de verificación tiene requisitos sin garantía.
La dimensión de la investigación de incidentes es igual de directa. Cuando se produce una brecha a través de una carencia en un control que el contrato exigía tener implantado, la investigación del incidente preguntará por qué no se verificó el requisito contractual. La cláusula de derecho de auditoría del contrato proporciona el mecanismo de verificación. No ejercerla es una brecha de gobernanza que identificarán tanto los reguladores de la organización como su propio consejo. El contrato exigía el control. El control no estaba presente. No se realizó la verificación que habría detectado la carencia.
Dónde se equivocan la mayoría de los equipos
El fallo más constante es tratar los requisitos contractuales como sustituto de la verificación de los controles. Los requisitos especifican lo que debe hacerse. La verificación confirma que se hizo. Ambos son necesarios. Ninguno sustituye al otro.
- Tratar los requisitos contractuales como verificación de los controles
- Derecho de auditoría nunca ejercido para los requisitos contractuales críticos
- Cuestionario anual tratado como verificación en lugar de como autoconfirmación
- Ningún programa de verificación para los requisitos contractuales de mayor riesgo
- Divulgación de excepciones no exigida en las confirmaciones anuales
Cómo se ve una buena práctica
Los programas maduros de verificación de controles contractuales ejercen el derecho de auditoría para los requisitos contractuales críticos según un calendario definido, exigen a los proveedores que divulguen las excepciones a los requisitos contractuales y diseñan los cuestionarios anuales para sacar a la luz las carencias en lugar de recopilar confirmaciones.
- Ejerza el derecho de auditoría para los requisitos críticos según un calendario definido, no solo como un derecho, sino como un programa
- Exija la divulgación de excepciones: la confirmación anual debe incluir la divulgación de cualquier excepción conocida a los requisitos contractuales
- Verificación técnica de los requisitos de mayor riesgo: probar las configuraciones reales en lugar de aceptar las respuestas a los cuestionarios
- Cláusulas contractuales que especifiquen obligaciones de divulgación: no solo requisitos de cumplimiento, sino también la divulgación de las excepciones
- Programa de auditoría de proveedores alineado con el contrato: metodología de verificación diseñada en torno a los requisitos contractuales
Herramientas
Programas de auditoría de proveedores: marcos de auditoría de ISACA, encargos SSAE 18 SOC
Los programas estructurados de auditoría de proveedores aportan la metodología para ejercer eficazmente las cláusulas de derecho de auditoría: definen qué evidencia se solicita, qué controles se prueban y cómo se evalúan los hallazgos. Para los profesionales de TPRM, desarrollar un programa de auditoría ligero para los requisitos contractuales críticos aporta la estructura de verificación que requieren los ejercicios del derecho de auditoría.
Verificación técnica: pruebas de penetración, evaluación de la configuración, pruebas de control de acceso
La verificación técnica de requisitos contractuales concretos (pruebas de aplicación de MFA, verificación de la configuración del cifrado, pruebas del alcance del control de acceso) aporta evidencia independiente de la información que comunica el propio proveedor. Para los profesionales de TPRM, incluir pruebas técnicas de los requisitos contractuales de mayor riesgo en el ejercicio del derecho de auditoría aporta una verificación que las respuestas a los cuestionarios no pueden ofrecer.
Desafíos de gobernanza
El desafío de gobernanza de la verificación de los controles contractuales es la tensión entre los recursos y la relación. Ejercer el derecho de auditoría consume muchos recursos y puede generar fricciones en la relación. La solución de gobernanza es una programación de auditorías escalonada según el riesgo: ejercicios completos del derecho de auditoría para los proveedores de nivel 1 en un ciclo definido, verificación específica de determinados requisitos de alto riesgo para el nivel 2 y cuestionario más divulgación de excepciones para los niveles inferiores.
- Ejerza el derecho de auditoría con los proveedores de nivel 1 en un ciclo definido
- Exija la divulgación de excepciones en las confirmaciones anuales: deben divulgarse las carencias conocidas respecto de los requisitos contractuales
- Centre la verificación en los requisitos contractuales de mayor riesgo: MFA, cifrado, controles de acceso
- Incluya pruebas técnicas en los ejercicios del derecho de auditoría para los requisitos críticos
- Haga un seguimiento del historial de verificación: qué requisitos se han verificado técnicamente y cuándo
Si usted forma parte de un equipo pequeño
Elija los tres requisitos contractuales de seguridad que considere más críticos para su proveedor de mayor riesgo, aquellos en los que una carencia afectaría más directamente a su exposición al riesgo. Después pregunte al proveedor, para cada uno de ellos: ¿puede aportar la evidencia técnica que confirme que se cumple el requisito? No una confirmación de que el requisito figura en su política, sino la evidencia de configuración o de registros que demuestre que el requisito se aplica técnicamente. Esa solicitud de evidencia es un ejercicio ligero del derecho de auditoría que no requiere un programa de auditoría formal.
- Identifique los tres requisitos contractuales de seguridad más críticos
- Solicite evidencia técnica del cumplimiento, no la confirmación de un cuestionario
- Exija la divulgación de excepciones como parte del proceso de confirmación anual
- Programe un ejercicio del derecho de auditoría con el proveedor de mayor riesgo en los próximos doce meses
Qué exigir
Pregunte directamente:
"Respecto del requisito contractual [requisito concreto, p. ej., MFA para todo acceso a nuestro entorno de datos], ¿pueden aportar la evidencia de configuración técnica que confirme que este requisito se aplica? ¿Existe alguna excepción conocida o vía heredada en la que este requisito no se aplique actualmente?"
Evidencia que debe esperar
- Evidencia de configuración técnica para requisitos contractuales concretos
- Divulgación de excepciones: carencias conocidas respecto de los requisitos contractuales
- Evaluación de las vías heredadas frente a los requisitos contractuales
- Plan de corrección para cualquier excepción divulgada
A un proveedor que confirma anualmente el cumplimiento de los requisitos contractuales se le debe pedir evidencia técnica de los tres requisitos más críticos y preguntar si existe alguna excepción. La confirmación describe lo que el proveedor cree. La evidencia describe lo que la configuración aplica.
Cómo demostrarlo
- Registros del ejercicio del derecho de auditoría para los requisitos contractuales críticos
- Evidencia técnica recopilada para los requisitos de mayor riesgo
- Registros de divulgación de excepciones
- Documentación del programa de verificación
Conclusión clave
El contrato exigía MFA. El requisito se confirmaba cada año. La vía VPN heredada sin MFA existió durante dos años, el equipo de seguridad del proveedor la conocía, estaba documentada como una excepción a la espera de migración y nunca se divulgó en una confirmación anual. La cláusula de derecho de auditoría existió durante dos años y nunca se ejerció. El requisito contractual especificaba el estándar. La brecha de verificación permitió que el estándar se cumpliera parcialmente mientras se confirmaba cada año como plenamente cumplido. Los requisitos contractuales son requisitos. La verificación es la gobernanza que confirma que se cumplen. Ejerza el derecho de auditoría. Exija la divulgación de excepciones. Pruebe técnicamente lo que más importa. El contrato es la especificación. La verificación es la confirmación.