Si externalizas servicios y el subencargado incumple con la seguridad

¿Tienes razón?

La respuesta depende de tres elementos: el contenido del contrato con el subencargado, el grado de supervisión que usted ejerció y la naturaleza del incumplimiento. Un contrato bien redactado con cláusulas claras sobre seguridad, auditorías y obligaciones de notificación reduce su exposición. Si el proveedor incumplió pese a que usted exigió, supervisó y contrató garantías razonables, su posición es más sólida. Si, en cambio, el contrato era genérico, no hubo auditorías ni controles y el proveedor era un tercero no evaluado, la responsabilidad primaria es suya.

La tipología del incidente importa: una brecha de confidencialidad por fallo técnico tiene distinto tratamiento que un acceso indebido por negligencia operativa. La existencia de medidas de mitigación efectivas también influye en la valoración del daño.

Cómo se soluciona

1. Active su plan de respuesta a incidentes: identifique el alcance, sistemas afectados y usuarios potencialmente expuestos. Preservar evidencias desde el primer minuto es esencial.
2. Aísle y contenga: pida al proveedor que suspenda procesos afectados, cambie credenciales y aplique parches. Documente cada instrucción y la respuesta.
3. Reúna evidencias: logs, registros de acceso, tickets de soporte, contratos y pruebas de comunicación. Exporte y guarde copias en sitio seguro.
4. Exija cumplimiento contractual: notifique formalmente al subencargado la obligación de informar, mitigar y colaborar con la investigación. Reclame indemnizaciones si el contrato lo permite.
5. Informe a los titulares afectados según lo que exija la normativa aplicable: prepare comunicaciones claras sobre qué ocurrió y qué medidas se están tomando. Mantenga trazabilidad de los envíos.
6. Revise y remplace controles: fortaleza de contraseñas, cifrado, acceso mínimo, seudonimización y segmentación de derechos. Si el proveedor no puede mejorar, evalúe cambiar de socio.
7. Audite y actualice contratos: incluya cláusulas de seguridad técnicas, derechos de auditoría, SLAs y responsabilidad por subcontratación. Establezca revisiones periódicas.
8. Valore acciones legales: si el incumplimiento causó daño y el proveedor no responde, la vía contractual o judicial puede ser necesaria.

Qué puede hacer usted solo: contener el incidente, recopilar evidencias y comunicar a titulares. Cuándo necesita abogado: para exigir responsabilidades contractuales, coordinar notificaciones formales y en caso de procedimientos administrativos o demandas.

Qué puede pasar

1) Se arregla con medidas técnicas y subsanación: a menudo el proveedor aplica parches, restablece controles y los titulares quedan informados. Esto suele ser la solución práctica más frecuente.

2) Acuerdo con el proveedor: se negocia una compensación, refuerzo de controles y un plan de mejoras. Un acuerdo puede ser ventajoso para evitar litigios largos.

3) Procedimientos administrativos, sanciones o demanda: si hubo negligencia grave o incumplimiento contractual que afectó a muchas personas, puede abrirse una investigación. Si pierde en un proceso, puede haber obligaciones de reparación y costos. Reconocer la responsabilidad y cooperar puede mitigar consecuencias; si el proveedor es insolvente, ejecutar condenas puede resultar difícil.

Si gana, ¿cobro? Incluso con sentencia favorable, el cobro depende de la solvencia del proveedor y de garantías contractuales existentes.

Errores que arruinan el caso

1) No preservar logs ni comunicaciones: sin evidencia técnica es muy difícil demostrar el alcance. 2) No notificar o coordinar formalmente: soluciones informales no prueban cumplimiento. 3) No auditar proveedores antes de contratarlos. 4) Permitir subcontrataciones sin autorización ni cláusulas claras. 5) Firmar contratos sin cláusulas de indemnización y auditoría.