Según el informe de 2026 de Verizon sobre violaciones de datos, las violaciones con participación de algún proveedor o socio crecieron 60% en un año y ya representan el 48% del total registrado en el mundo — casi la mitad. No suele ser un proveedor malintencionado entrando por su cuenta: en la mayoría de los casos, es la propia puerta que la empresa dejó abierta para él, usada por otra persona.
Todo negocio tiene proveedores con acceso a la red, y eso es normal: el soporte del sistema de gestión entra para resolver un ticket, la contabilidad recibe la base de datos cada mes, la empresa de cámaras deja un equipo conectado a la misma red que las computadoras. Ninguno de esos accesos es un error por sí solo — el error es no saber, hoy, cuántos existen, qué alcanza cada uno y desde cuándo esa contraseña no cambia.
Para quien aprueba el presupuesto de TI, este es el punto ciego más común: la empresa puede tener antivirus, firewall y un equipo capacitado, y aun así tener una llave de su propia red en manos de otra empresa — sin contrato que diga qué puede acceder, sin plazo para ese acceso, sin registro de cuándo se usó por última vez.
Quién tiene la llave sin que lo note
La lista suele ser más larga de lo que parece cuando alguien se detiene a contarla: el sistema de gestión o el ERP, con acceso remoto directo al servidor para dar soporte; la contabilidad, que recibe exportaciones completas de la base financiera; la empresa de cámaras o de monitoreo, con un equipo conectado a la misma red que las computadoras; el proveedor de nómina; y, con frecuencia, el proveedor de TI anterior, cuya credencial nadie recordó desactivar cuando terminó el contrato.
Según el Panorama de Amenazas 2025 de la agencia europea de ciberseguridad ENISA, el 10,6% de las categorías de amenaza mapeadas en el período llegaron por caminos indirectos — ataques que explotan a los proveedores y otras dependencias de la empresa, en lugar de apuntarle directamente. Es una porción menor que el phishing o el malware, pero crece porque es un camino más fácil: en vez de atacar a una empresa con defensas organizadas, el atacante apunta al proveedor con defensas más débiles y entra por la puerta que ese proveedor dejó abierta.
Un relevamiento de 2026 de Sophos con equipos de TI de 17 países apunta en la misma dirección: el punto de entrada más común en un ataque de secuestro de datos fue un sistema o aplicación expuesta en internet (38% de los casos), por delante del equipo de un empleado (30%) y del equipo de red (21%). Las herramientas de acceso remoto para soporte técnico, los paneles de administración de sistemas y las conexiones abiertas para proveedores entran justo en esa categoría — es infraestructura pensada para facilitar el trabajo de quien es externo, y por eso también facilita el de quien no debería entrar.
El problema no es la cantidad de proveedores. Es la falta de un inventario simple: quién tiene acceso, a qué, desde cuándo, y si ese acceso todavía tiene sentido hoy.
Por qué confiar no reemplaza controlar
La forma común de tratar con un proveedor es confiar y no volver a revisarlo. La contraseña del sistema de gestión es la misma desde que se instaló. El acceso remoto queda abierto todo el año, no solo durante el ticket. Nadie escribió, en el contrato, qué puede o no acceder ese proveedor dentro de la red.
Buena parte de la confusión viene de una idea equivocada: si el problema ocurrió del lado del proveedor, es problema del proveedor. La legislación de protección de datos no lo ve así. Según la orientación de la autoridad brasileña de protección de datos, quien trata los datos en nombre de la empresa — el llamado encargado del tratamiento — solo tiene la obligación de avisar a la empresa contratante sin demora al descubrir un incidente. La obligación legal de comunicar el incidente a los titulares de los datos y a la propia autoridad, dentro del plazo de tres días hábiles, es de quien contrató el servicio. El proveedor comete el error; la cuenta y el plazo llegan a la empresa dueña de los datos.
Eso cambia la pregunta que vale la pena hacer. No es "este proveedor es confiable" — probablemente lo es. Es "si algo sale mal de su lado, ¿mi empresa puede probar a qué tenía acceso y cuándo dejó de tenerlo?". Sin ese registro, responder a un incidente se convierte en reconstruir de memoria bajo presión, corriendo contra un plazo legal que ya empezó a correr.
Lo que tiene que existir en la práctica
Trabajar de forma segura con proveedores no depende de desconfiar de ellos. Depende de mecanismos que funcionan igual sin importar quién esté del otro lado de la pantalla.
Acceso por tiempo determinado, no permanente. El proveedor entra durante la atención y la puerta se cierra sola después — no queda abierta esperando el próximo ticket, meses más tarde.
Un inicio de sesión individual por proveedor, nunca una contraseña genérica compartida. Cada empresa que accede a la red tiene su propia credencial, que puede cambiarse o desactivarse sin afectar a las demás.
Segundo paso de confirmación además de la contraseña, también para quien es externo. La misma regla que vale para un empleado vale para un proveedor — la contraseña sola nunca alcanza.
Registro de quién entró, cuándo y a qué. No es desconfianza: es lo que permite probar, después de un incidente, qué pasó, en lugar de reconstruirlo de memoria.
Cada proveedor alcanzando solo lo que necesita. La empresa de cámaras no circula por la red financiera; la contabilidad no entra al servidor de archivos del equipo de ventas.
Revisión periódica de quién todavía tiene acceso. El proveedor cuyo contrato terminó hace dos años y nunca tuvo la contraseña desactivada es la puerta más fácil de encontrar, y nadie la busca hasta que es tarde.
Así es como trabaja Skills IT: acceso de proveedor con plazo definido, inicio de sesión individual y registro de quién entró y a qué, revisado antes de que se convierta en un olvido.
Lo que cambia cuando el acceso está controlado
La ganancia aparece primero en el momento de apuro. Cuando un proveedor avisa que tuvo un incidente — y eso pasa incluso con un proveedor serio — la empresa que tiene inventario y registro sabe en minutos qué alcanzaba ese acceso y puede cortarlo de inmediato. La empresa sin ese control pasa días tratando de descubrir si el problema llegó hasta ella.
La segunda ganancia es para quien decide el presupuesto: con plazo y alcance definidos por proveedor, cada renovación de contrato ya viene con la pregunta correcta — ¿este acceso todavía es necesario, tal como está? — en vez de renovar por inercia un acceso que nadie vuelve a revisar.
También hay una ganancia legal directa. Cuando una auditoría, un cliente más grande o la propia autoridad pregunta quién tenía acceso a determinado dato, la respuesta ya existe en un informe, no depende de que alguien la recuerde. Eso acorta el tiempo entre la pregunta y la respuesta — y, si algo ya salió mal, también acorta el tiempo hasta que la empresa puede actuar, en lugar de gastar los primeros días solo entendiendo su propio entorno.
Nada de esto promete cero incidentes. Lo que cambia es el tamaño del daño cuando un proveedor — el propio o el de otra empresa en la misma cadena — resulta ser el eslabón que falló.
Tres preguntas para llevar a la próxima reunión
Antes de firmar el próximo contrato con un proveedor, vale la pena preguntar qué existe hoy:
- ¿Cuántos proveedores tienen acceso a nuestra red ahora mismo, y alguien tiene esa lista por escrito? Si la respuesta es "no estoy seguro", la lista probablemente es más larga que la memoria de cualquiera.
- ¿Alguno de esos accesos es permanente, abierto todo el año, en vez de solo durante la atención? Cada acceso permanente es una puerta que queda en pie incluso cuando nadie la está usando.
- Si un proveedor avisara hoy que sufrió un incidente, ¿cuánto tardaríamos en saber qué alcanzaba en nuestra red? Si la respuesta no es minutos, eso es lo primero para corregir antes del próximo contrato.
