Evaluar proveedores críticos por niveles

Una organización tiene decenas o cientos de proveedores y un equipo pequeño para evaluarlos. NIST SP 800-161 Rev. 1 pide al análisis de criticidad que priorice sistemas, componentes y funciones según su importancia para la misión, y remite al informe NISTIR 8179 para el método. Con esa idea, cada empresa define sus propios criterios: cuántos niveles, qué factores y cada cuánto se revisa cada uno. Los criterios son decisión de la empresa, no una cifra de la norma.

Un buen criterio se puede aplicar dos veces y da lo mismo: usa datos que están en el registro, no impresiones.

La regla de Telar Norte usa tres factores que se leen en el registro: (a) sostiene un proceso crítico, (b) accede a datos sensibles, (c) no se puede sustituir en menos de 60 días. Cumplir dos o tres factores es nivel Crítico; uno, Importante; ninguno, Estándar. El factor (c) se calcula con la columna sustituto_en_dias: un sustituto que tarda 60 días o más cumple el factor.

Aplica la regla a cada fila de proveedores y compara el resultado con nivel_asignado. Hay un solo proveedor cuyo nivel asignado es más bajo que el que da la regla.

El número de proveedores críticos fija la carga de trabajo del programa: cada uno exige una evaluación con evidencia cada 12 meses. Si el registro tiene los niveles mal asignados, la carga está mal calculada y el equipo se quedará corto sin saberlo.

Un proveedor crítico se evalúa con evidencia cada 12 meses. El corte del escenario es el 30 de abril de 2027; una evaluación anterior al 30 de abril de 2026 está vencida. Solo cuentan los proveedores que la regla marca como críticos, no los de otros niveles, que tienen otro plazo.

Un nivel no es para siempre. Un proveedor Estándar al que mañana se le da acceso a datos sensibles ya cumple un factor y, según su servicio, quizá dos. La clasificación se rehace cuando cambia lo que el proveedor hace para ti, no solo en la revisión anual.