Al examinar a una empresa que presta servicios digitales —ya sean plataformas, aplicaciones, proveedores de software como servicio o integradores— no resulta suficiente valorar sus funcionalidades y su costo, pues la seguridad de la información y la gestión de datos personales influyen directamente en los riesgos legales, reputacionales y económicos. Una evaluación deficiente puede dejar expuestos tanto a los usuarios como a la propia organización a filtraciones de datos, incumplimientos regulatorios y perjuicios financieros. Este texto presenta un enfoque práctico y minucioso para analizar estos elementos mediante ejemplos, pautas técnicas y un listado de verificación utilizable.
Aspectos iniciales: gobernanza y cumplimiento
- Responsabilidad y roles: comprobar si la empresa identifica a un responsable de seguridad y a un delegado de protección de datos o figura similar. La presencia de políticas internas, un comité de seguridad y procedimientos formales suele ser un buen indicio.
- Cumplimiento normativo: pedir pruebas que acrediten la conformidad con la normativa vigente: Reglamento General de Protección de Datos (RGPD) en la Unión Europea, legislaciones nacionales de protección de datos y requisitos sectoriales específicos (como las regulaciones sanitarias correspondientes en cada país). Verificar si han llevado a cabo evaluaciones de impacto en protección de datos (EIPD o DPIA).
- Políticas públicas: revisar la política de privacidad y la política de seguridad publicadas en su sitio web. Deben explicar de forma transparente la finalidad del tratamiento, la base jurídica, los periodos de conservación, los derechos de los usuarios y cualquier transferencia internacional de datos.
Seguridad técnica: controles esenciales
- Cifrado en tránsito y en reposo: verificar que emplean cifrado TLS 1.2/1.3 para las comunicaciones y un esquema sólido de cifrado en el almacenamiento, como AES-256, además de solicitar información sobre cómo administran y rotan las claves.
- Gestión de credenciales y autenticación: evaluar si disponen de autenticación multifactor tanto para cuentas administrativas como para las de los clientes, junto con políticas de contraseñas y mecanismos de bloqueo frente a intentos reiterados.
- Control de acceso e identidad: analizar el sistema de permisos basado en el principio de mínimo privilegio, el uso de accesos por roles, la separación de responsabilidades y la necesidad de aprobar accesos con privilegios elevados.
- Seguridad de la infraestructura: determinar si trabajan con proveedores de nube reconocidos, cómo aplican configuraciones seguras, la segmentación de la red y las medidas implementadas contra ataques de denegación de servicio.
- Protección de datos sensibles: comprobar si recurren a la pseudonimización o la anonimización y si incluyen cifrado especializado para datos especialmente delicados, como identificadores personales, información financiera o datos sanitarios.
- Registro y auditoría: confirmar que generan y mantienen registros de accesos, modificaciones y eventos de seguridad con una sincronización horaria adecuada y una política de conservación claramente definida.
Gestión de riesgos, pruebas y respuesta a incidentes
- Evaluaciones periódicas: solicitar informes recientes de pruebas de penetración y análisis de vulnerabilidades; en lo posible, contar con auditorías externas anuales y ensayos internos cada trimestre.
- Programa de gestión de vulnerabilidades: verificar que exista un procedimiento claro para aplicar parches, priorizar riesgos y reducir hallazgos dentro de plazos establecidos.
- Plan de respuesta a incidentes: comprobar la presencia de un plan documentado, equipos designados, flujos de comunicación —incluida la notificación a autoridades y personas afectadas— y la realización de simulacros.
- Historial de incidentes: solicitar información sobre incidentes previos, sus causas, las acciones correctivas aplicadas y los tiempos empleados para su resolución; la franqueza en estos datos suele ser un buen signo.
Proveedores, subcontrataciones y transferencias
- Cadena de suministro: reconocer a los terceros esenciales, incluidos proveedores de nube, servicios de pago y plataformas de análisis, verificando sus métodos de auditoría y las cláusulas contractuales aplicables.
- Contratos y acuerdos: solicitar el modelo vigente del contrato de tratamiento de datos, con sus cláusulas de resguardo, obligaciones ante incidentes y los acuerdos de nivel de servicio correspondientes.
- Transferencias internacionales de datos: validar los fundamentos jurídicos utilizados, como las cláusulas contractuales tipo, decisiones de adecuación u otras medidas adicionales que garanticen una protección apropiada.
Privacidad por diseño y derechos de los interesados
- Minimización y limitación de finalidad: verificar que la recopilación de información se reduce a lo imprescindible y que existen fundamentos debidamente registrados.
- Medidas técnicas de privacidad: inclusión de procesos de seudonimización, anonimización reversible, entornos segregados por cliente y mecanismos que impidan cualquier reidentificación.
- Atención a derechos ARCO/LOPD o equivalentes: disponibilidad de procedimientos para acceso, rectificación, eliminación, objeción y portabilidad, junto con plazos y vías definidos para que los interesados gestionen sus solicitudes.
- Consentimiento y comunicaciones: analizar la forma en que se administra el consentimiento cuando aplica, los registros correspondientes y un método sencillo para anularlo.
Certificaciones, auditorías y métricas
- Certificaciones útiles: ISO/IEC 27001, ISO/IEC 27701 (gestión de privacidad), certificaciones sectoriales como PCI DSS para pagos, o certificaciones de seguridad específicas del país. La posesión de certificaciones no sustituye auditorías, pero aporta confianza.
- Informes y auditorías: solicitar informes SOC 2 tipo II o equivalentes si están disponibles. Evaluar alcance temporal y alcance de los informes.
- Métricas operativas: tiempos medios de parcheo, tiempo medio de detección (MTTD) y tiempo medio de recuperación (MTTR), porcentaje de pruebas de penetración con vulnerabilidades críticas corregidas en X días.
Ejercicios prácticos que un revisor tiene la posibilidad de efectuar
- Revisión documental: examinar políticas, contratos, EIPD y conclusiones derivadas de auditorías previas.
- Revisión técnica superficial: verificar los certificados TLS de sus servicios web, las cabeceras HTTP orientadas a la seguridad, la caducidad de las sesiones y el modo en que el navegador almacena la información.
- Solicitar pruebas en entorno de demostración: requerir un acceso limitado para comprobar los controles de acceso, los distintos niveles de permisos y la trazabilidad de las acciones.
- Revisión de código o dependencias: cuando resulte viable, evaluar las prácticas de seguridad dentro del ciclo de desarrollo (CI/CD), las revisiones de código y el tratamiento de dependencias con posibles vulnerabilidades.
Ejemplos y situaciones demostrativas
- Configuración errónea en almacenamiento en la nube: empresas con buckets sin autenticación han dejado millones de registros expuestos. Lección: revisar políticas de acceso y logging en recursos de almacenamiento.
- Acceso privilegiado sin control: filtraciones internas suelen originarse por cuentas administrativas con demasiados privilegios y sin MFA. Implementar control de acceso basado en roles y registro de sesiones administrativas reduce riesgo.
- Falta de anonimización adecuada: conjuntos de datos supuestamente anonimizados pueden reconstruirse mediante enlaces con fuentes públicas. Emplear técnicas robustas y valorar riesgos de reidentificación.
Checklist práctica para una revisión rápida
- ¿Existe responsable de seguridad y delegado de protección de datos?
- ¿Publican políticas de privacidad y seguridad claras y actualizadas?
- ¿Cifran datos en tránsito y en reposo? ¿Cómo gestionan las claves?
- ¿Ofrecen autenticación multifactor y control de acceso granular?
- ¿Realizan pruebas de penetración y auditorías externas periódicas?
- ¿Tienen plan de respuesta a incidentes documentado y ejercitado?
- ¿Gestionan terceros con contratos y auditorías? ¿Hay cláusulas para transferencias internacionales?
- ¿Aplican privacidad por diseño y permiten ejercer derechos de los interesados?
- ¿Cuentan con certificaciones relevantes y métricas operativas divulgadas?
Herramientas y recursos para evaluar
- Análisis de cabeceras y certificados TLS mediante navegadores y herramientas en línea.
- Solicitar informes de auditoría (SOC, ISO) y revisar su alcance y fechas.
- Revisar políticas públicas y textos contractuales en busca de cláusulas sobre responsabilidad, indemnizaciones y notificación de brechas.
- Uso de matrices de riesgo y plantillas de EIPD para evaluar impacto sectorial y por tipo de dato.
Errores comunes a detectar
- Falta de separación de entornos de desarrollo y producción.
- Retención indefinida de datos sin justificación.
- Subcontratación sin controles contractuales ni revisiones periódicas.
- Ausencia de pruebas periódicas o corrección lenta de vulnerabilidades críticas.
Una evaluación rigurosa combina revisión documental, comprobaciones técnicas y verificación contractual. Más allá de cumplir normas o poseer certificaciones, se debe valorar la capacidad operativa de la empresa para detectar, responder y aprender de incidentes, su transparencia y su enfoque proactivo hacia la privacidad por diseño. Adoptar una lista de verificación adaptada al contexto y pedir evidencias concretas permite diferenciar proveedores que sólo prometen seguridad de aquellos que la demuestran en prácticas y resultados.
