Cláusulas de contratación y aviso de vulnerabilidades

Una cláusula de aviso responde tres preguntas antes de que ocurra el problema: qué debe avisar el proveedor (por ejemplo, una vulnerabilidad crítica en lo que entrega o un incidente que afecte tus datos), en cuánto tiempo y desde cuándo se cuenta ese plazo. Sin ella, el cliente se entera cuando el proveedor quiere, o cuando lo cuenta la prensa. NIST SP 800-161 Rev. 1 trata los requisitos al proveedor como parte del proceso de adquisición y propone controles de la familia de cadena de suministro; la redacción exacta la deciden Compras y Jurídico.

Los plazos de las salas (5 días, 72 horas) son una regla interna de la empresa ficticia, no los de una norma.

La política exige a críticos e importantes un máximo de 5 días hábiles para avisar de una vulnerabilidad crítica. La columna aviso_de_vulnerabilidad_dias dice qué plazo firmó cada proveedor. Un plazo menor o igual al exigido cumple; uno mayor no. Un contrato estándar no tiene esta exigencia y su «—» no cuenta.

La política exige a críticos e importantes la entrega de una SBOM al contratar y en cada versión mayor. Sin esa entrega, la empresa no puede mantener el inventario de componentes que se vio en las salas anteriores y los avisos que llegan después no se pueden cruzar con nada. El contrato estándar queda fuera de la exigencia.

El derecho a pedir evidencia y a auditar se exige solo a los contratos críticos, porque es el que más cuesta al proveedor y el que más protege al cliente. Que un contrato importante no lo tenga es correcto según la política; que uno crítico no lo tenga es un hallazgo.

Una revisión de contratos termina con un número para el comité: cuántos contratos no cumplen la política. Para contarlos hay que aplicar a cada contrato solo lo que su nivel exige: no contar la falta de auditoría en un importante, ni nada en un estándar. Un contrato con dos faltas cuenta una sola vez.