Cómo evaluar a un proveedor tecnológico con cinco preguntas

Comprar software también es entregar confianza. El proveedor puede guardar clientes, procesar pagos, instalar actualizaciones o entrar a sistemas importantes. El 8 de julio de 2026, NIST publicó la versión final de SP 1326. Es una guía rápida para revisar proveedores de tecnología antes de adquirir un producto o servicio. No exige que una pyme monte una auditoría enorme. Propone cinco áreas para hacer preguntas razonables y guardar evidencia. Son influencia extranjera, procedencia del producto, estabilidad del proveedor, prácticas básicas de ciberseguridad y riesgos en niveles posteriores de la cadena. Aquí traducimos esas áreas a una decisión cotidiana en México.

Primera pregunta: ¿quién controla al proveedor?

Conocer al proveedor no significa desconfiar de cada empresa extranjera. Significa saber la razón social, país de operación, propietarios relevantes y terceros que prestarán el servicio. También conviene revisar si enfrenta sanciones, conflictos o condiciones que puedan afectar el contrato. Para una compra pequeña basta con documentos públicos, contrato, factura y una respuesta firmada. Para un sistema que maneja nómina, pagos o secretos comerciales, la revisión debe ser más profunda. La guía de NIST llama a esta área propiedad, control o influencia extranjera. La idea práctica es sencilla: no contrates a una empresa que no puedes identificar ni responsabilizar.

Segunda pregunta: ¿de dónde viene el producto?

La procedencia incluye quién desarrolla, distribuye, actualiza y da soporte. Una plataforma conocida puede depender de complementos creados por otras empresas. Pregunta qué componentes críticos usa, cómo verifica actualizaciones y si puede avisarte de una vulnerabilidad. No necesitas recibir todo el código. Necesitas entender la ruta de confianza. CISA recomienda incorporar preguntas de seguridad durante la adquisición de software. NIST SP 1305 también propone definir requisitos y responsabilidades entre quien compra y quien suministra. Si el vendedor responde “eso lo ve otro proveedor”, pide el nombre, el alcance y quién responde cuando ese tercero falla.

Tercera pregunta: ¿podrá seguir atendiendo?

La resiliencia del proveedor es su capacidad para continuar, recuperarse y comunicar. Pregunta por respaldos, pruebas de restauración, soporte, tiempo objetivo de recuperación y plan si desaparece una región de nube. Revisa también su estabilidad operativa. No hace falta pedir estados financieros completos a cada aplicación. Sí conviene observar años de operación, clientes comparables, condiciones de servicio y forma de exportar datos. Una promesa de disponibilidad no sirve si no explica créditos, comunicación ni recuperación. Pide un ejemplo de incidente reciente y qué cambió después. La respuesta muestra más madurez que una frase como “nunca nos ha pasado”.

Cuarta pregunta: ¿practica la seguridad básica?

Busca controles concretos: autenticación multifactor, permisos por función, cifrado, registro de accesos, gestión de vulnerabilidades, desarrollo seguro y respuesta a incidentes. Una certificación puede ayudar, pero no reemplaza preguntas sobre tu servicio. Confirma qué controles vienen incluidos y cuáles cuestan más. La FTC aconseja a negocios pequeños limitar acceso, actualizar software, proteger cuentas y exigir seguridad a proveedores. Si una aplicación administra información sensible y no ofrece doble factor, esa ausencia pesa más que muchas funciones vistosas. Pide evidencia vigente, no una presentación sin fecha.

Quinta pregunta: ¿quién está detrás de él?

Tu contrato puede ser con una empresa, pero el servicio depende de nube, correo, pagos, soporte y bibliotecas de terceros. NIST llama a esto niveles de la cadena. Pide una lista de subprocesadores importantes y un mecanismo de aviso cuando cambien. Pregunta si el proveedor evalúa a sus propios suministradores. No necesitas bloquear toda dependencia. Casi ningún software moderno funciona solo. Necesitas saber qué dependencia podría detenerte o exponer tus datos. También define si puedes objetar un cambio grave, exportar información y terminar el contrato sin perder la operación.

Decide con evidencia y fecha

Asigna un nivel de riesgo según los datos, el dinero y la dependencia. Después califica cada respuesta como suficiente, corregible o bloqueante. Una brecha corregible puede resolverse con doble factor obligatorio o una cláusula de aviso. Una brecha bloqueante puede ser no poder exportar, no identificar a la empresa o negarse a explicar dónde están los datos. Documenta quién acepta el riesgo y revisa al proveedor cada año o cuando cambie el servicio. La debida diligencia no garantiza que nada falle. Reduce sorpresas y demuestra que la compra fue razonada.

No conviertas el cuestionario en un trámite automático. Una respuesta debe cambiar la decisión, el contrato o el control. Si no cambia nada, la pregunta sobra. Para proveedores pequeños, permite evidencia proporcional, como una demostración de respaldo o una captura de permisos. Para un servicio crítico, pide documentos y una reunión técnica. Revisa también noticias y avisos oficiales, pero da oportunidad de explicar. El resultado debe ser una decisión entendible: qué aceptas, qué corriges antes de iniciar y qué condición impediría continuar.