Modelos y registros · ISO 27001 · Apartado A.5.19 a A.5.22
Modelo de evaluación de seguridad de proveedores ISO 27001
La ficha de cada proveedor que toca información o sistemas de la empresa: qué acceso tiene, qué se le exige por contrato y cómo se comprueba que lo cumple.
En una frase
La evaluación de seguridad de proveedores clasifica a cada proveedor según el acceso que tiene a la información, fija los requisitos de seguridad del contrato y deja constancia de su seguimiento; responde a los controles 5.19 a 5.22 de ISO/IEC 27001:2022, que piden gestionar los riesgos de proveedores, acordar requisitos, cuidar la cadena de suministro TIC y supervisar sus servicios.
- Dónde lo pide la norma
- ISO 27001 · Apartado A.5.19 a A.5.22 Los apartados siguen ISO/IEC 27001:2022; los que empiezan por «A.» son controles del Anexo A, exigibles en la medida en que la declaración de aplicabilidad los incluya.
- Tipo de información
- Buena práctica Evidencia de los controles 5.19 a 5.22 del Anexo A
- Quién lo rellena
- Compras con el responsable de seguridad El propietario del servicio contratado participa en la revisión
- Cuándo
- Antes de contratar y periódicamente Revisión según criticidad y ante cambios en el servicio o incidentes del proveedor
- Cuánto se conserva
- Lo fija la organización ISO/IEC 27001 no da plazos: pide decidir la conservación y la eliminación de la información documentada (7.5.3). Cubrir el ciclo de certificación de tres años permite enseñar el histórico en la renovación.
Qué pide la norma
Lo que exige ISO 27001 y lo que deja a tu criterio
Los controles 5.19 a 5.22 cubren el ciclo completo: definir cómo se gestionan los riesgos de los proveedores, acordar con cada uno los requisitos de seguridad, extenderlos a la cadena de suministro TIC y supervisar, revisar y evaluar sus prácticas, incluidos sus cambios. El 5.23 añade los servicios en la nube.
No es la evaluación de proveedores de ISO 9001, que mira calidad, plazo y precio: aquí la pregunta es qué daño podría causar el proveedor a la información y qué garantías da.
El esfuerzo se gradúa por riesgo: un proveedor de alojamiento con datos de clientes pide cuestionario, cláusulas y revisión anual; el de material de oficina, ninguna.
Estructura
Campos que debe tener el modelo
- Proveedor y servicio prestado
- Tipo de acceso: datos, sistemas, instalaciones
- Criticidad para la seguridad
- Requisitos exigidos y cláusulas firmadas (confidencialidad, aviso de incidentes, subcontratación, auditoría)
- Evidencias aportadas: certificados, informes, cuestionario
- Fecha de evaluación y resultado
- Incidentes del proveedor y cambios en su servicio
- Próxima revisión
Ejemplo
Ejemplo: proveedor de alojamiento en la nube
Empresa, personas y cifras inventadas: el ejemplo solo enseña cómo queda un registro bien cumplimentado.
| Campo | Contenido |
|---|---|
| Proveedor | Proveedor de nube (ficticio) · alojamiento de la plataforma SaaS |
| Acceso | Infraestructura donde residen los datos de clientes |
| Criticidad | Alta |
| Cláusulas | Confidencialidad, datos en la UE, aviso de incidentes en 24 h, lista de subencargados |
| Evidencias | Certificado ISO/IEC 27001 vigente y su alcance revisado |
| Evaluación | 3 de marzo de 2026 · apto |
| Seguimiento | Incidente de disponibilidad de 2 h el 12 de agosto: informe recibido y revisado |
| Próxima revisión | Marzo de 2027 |
En la auditoría
Errores que suelen señalar los auditores
- Se pide el certificado del proveedor sin comprobar que su alcance cubre el servicio contratado.
- Contratos sin cláusula de aviso de incidentes.
- Nadie revisa a los proveedores después de la contratación.
- Servicios en la nube contratados por un departamento sin pasar por seguridad.
En Kimobox
Cómo se lleva este registro en Kimobox
- 1Cada proveedor se da de alta con sus cláusulas de seguridad desde el portal de proveedores.
- 2Las evidencias del proveedor quedan en su ficha, con fecha de caducidad y aviso.
- 3La evaluación continua del proveedor convive con su documentación: si un certificado caduca, deja de estar homologado antes de emitirle un pedido.
Preguntas frecuentes
Lo que nos preguntan antes de empezar
¿Basta con que el proveedor esté certificado en ISO 27001?
Ayuda mucho, pero hay que leer el alcance del certificado: si no incluye el servicio que se contrata, no lo cubre. Y el certificado no sustituye a las cláusulas del contrato.
¿Se puede usar la misma ficha que para ISO 9001?
La misma ficha de proveedor, sí; la misma evaluación, no. Conviene añadir a la ficha general un bloque de seguridad con su propio criterio y su propia frecuencia.
Lleva los registros de ISO 27001 sin plantillas sueltas
Te enseñamos el módulo funcionando con datos parecidos a los tuyos.
Sigue explorando
Páginas relacionadas
Modelo de evaluación de proveedores ISO 9001
Qué pide ISO 9001 (8.4) para evaluar, seleccionar, seguir y reevaluar proveedores, qué criterios usar y cómo…
Modelo de due diligence de terceros para compliance
Cómo documentar la due diligence de socios, agentes y proveedores en un sistema ISO 37301: riesgo del…
Operación
La operación traduce el análisis de riesgos en controles reales: accesos, cifrado, copias de seguridad y un…
Modelo de declaración de aplicabilidad ISO 27001
Qué debe recoger la declaración de aplicabilidad de ISO 27001 (6.1.3 d): controles necesarios…
Fuentes
De dónde sale cada dato
Referencias al texto oficial vigente. Si una norma se revisa, esta página se actualiza y la fecha de revisión lo refleja.
- ISO/IEC 27001:2022 — Sistemas de gestión de la seguridad de la información. Requisitos ISO/IEC · 25 de octubre de 2022
- ISO/IEC 27002:2022 — Controles de seguridad de la información ISO/IEC · Febrero de 2022