Vigilar y salir

La vigilancia tiene dos motores. El calendario repite lo previsible: el informe SOC 2 cada año, el certificado cuando vence, el cuestionario anual, la carta de la prueba de intrusión. Los sucesos son lo imprevisto: un aviso de cambio de subcontratista, una brecha, una venta de la empresa. Los dos se necesitan; el calendario solo no ve nada entre fechas y los sucesos solos no detectan al proveedor que simplemente deja de renovar su certificado.

El ritmo del calendario sigue el nivel: los proveedores altos se revisan cada año con evidencia; los medios, con una declaración; los bajos, casi nada. La norma ISO/IEC 27002:2022 recoge la idea en el control 5.22, «Seguimiento, revisión y gestión de cambios en los servicios de proveedores», y el marco NIST CSF 2.0 la sitúa en su categoría de cadena de suministro dentro de la función Gobernar (GV.SC).

Consulta SELECT * FROM calendario_vigilancia y después SELECT * FROM calendario_vigilancia WHERE estado = 'sin recibir'. Un elemento está vencido cuando su fecha límite es anterior a hoy, 2026-09-22, y no se recibió. No todos los vencidos son igual de graves, pero el que lleva más tiempo es el que más indica que nadie vigila: pasó una fecha, luego otra, y nadie reclamó.

El orden de reclamo se decide por riesgo y por antigüedad; empezar por el más viejo es razonable cuando los demás son comparables.

Los avisos que llegan de los proveedores hay que clasificarlos por lo que cambian, no por la etiqueta que traen. Un mantenimiento programado o un ajuste de tarifa se archivan. Un incidente se analiza por lo que alcanzó. Pero hay cambios que alteran la evaluación hecha: quién trata los datos, dónde y con qué controles. Si eso cambia en un proveedor crítico, la evaluación anterior ya no describe la realidad y se reabre.

Lee SELECT * FROM avisos_de_proveedores y distingue entre los cuatro.

Salir de un proveedor son tres cosas distintas: datos (que vuelvan a Nogal y que el proveedor borre los suyos, con un certificado), acceso (cerrar las cuentas y las claves que usa o que se le dieron) y papeles (cerrar el contrato por escrito). Se hacen en ese orden de urgencia: lo que sigue abierto técnicamente es lo que más riesgo da, porque nadie lo mira ya.

Con SELECT * FROM plan_salida_cobralia WHERE estado = 'pendiente' ves lo que falta. Dos de los tres pasos no cierran ningún acceso; uno sí.

Cuando los envíos ya corren con el nuevo proveedor, Cobralia aún tiene copia de la base de cobranza de Nogal. Nogal no puede borrarla: está en los sistemas de Cobralia. Lo único que se puede hacer es pedir una constancia de eliminación, firmada, con fecha y con el alcance (qué datos, en qué sistemas, incluidas las copias de respaldo y los subencargados). El contrato de Cobralia, el de la sala anterior (cláusula K-08), le da 180 días para borrar y no exige certificado: por eso hay que pedirlo ahora, no esperar.

Un «ya lo borramos» dicho por teléfono no es evidencia; un documento firmado, sí.