Glosario
Criticidad de proveedor
Clasificación que determina cuánta profundidad de evaluación y vigilancia merece un tercero, en función del daño que causaría su fallo.
- Tiering de proveedores
Aplicar el mismo proceso a los ciento ochenta proveedores del registro garantiza que se haga mal en todos. La criticidad existe para repartir el esfuerzo, y se deriva razonablemente bien de tres preguntas.
Qué función soporta: si sostiene una función esencial o importante, hereda esa criticidad. A qué datos accede: no es lo mismo procesar datos personales que no verlos nunca. Y cómo de reversible es: un proveedor sustituible en dos semanas y otro que exigiría dieciocho meses de migración no son el mismo riesgo aunque hagan el mismo trabajo.
La tercera pregunta es la que más se olvida y la que más pesa. La sustituibilidad no aparece en los cuestionarios de seguridad y sin embargo determina qué opciones reales tienes el día que el proveedor incumple. DORA la convierte en obligación al exigir estrategias de salida para los servicios TIC que soportan funciones esenciales.