Reevaluación Periódica de Proveedores Críticos

Una evaluación de seguridad realizada al inicio de la relación con un proveedor solo refleja su postura en ese momento, y esa postura puede deteriorarse con el tiempo por cambios organizacionales, rotación de personal clave, adquisiciones o simple relajación de controles que nadie audita si no se exige de nuevo. La reevaluación periódica, con una frecuencia definida según la criticidad del proveedor, permite detectar este deterioro antes de que se traduzca en un incidente, y debe considerar también eventos disparadores fuera del ciclo regular, como un cambio significativo en el servicio prestado, una fusión del proveedor con otra empresa, o un incidente de seguridad reportado públicamente que lo involucre. Un patrón de riesgo frecuente es el de proveedores aprobados hace varios años que nunca volvieron a evaluarse porque la relación funcionaba bien operativamente, hasta que un incidente revela que sus controles de seguridad quedaron obsoletos frente a las amenazas actuales.