Gestión de proveedores de equipos

Un contrato de soporte de equipos de red tiene partes de seguridad que se negocian al firmar y que cuestan mucho después: un plazo de aviso cuando el proveedor conoce una vulnerabilidad de su producto, la lista de componentes de cada versión, el plazo de parches (hasta cuándo se corrigen fallos) y las condiciones del acceso remoto de soporte. Sin ellas, la empresa depende de lo que el proveedor decida contar y cuándo.

El mantenimiento remoto del proveedor es una puerta al núcleo de la red. Lo defendible es un acceso por sesión, solicitado con un ticket, con inicio y fin, y registrado. Un acceso permanente deja esa puerta abierta incluso cuando no hay trabajo, y su cuenta es un objetivo constante.

Lee el resumen de contratos y busca el proveedor con acceso permanente.

Si un contrato no obliga a entregar la lista de componentes, el operador no puede contestar con rapidez cuando aparece un aviso grave, y depende de preguntar al proveedor y esperar. Es una carencia contractual, no técnica: se arregla en la renovación o con un anexo.

El registro de sesiones remotas se cruza con los tickets: cada sesión debe tener una solicitud que la justifique. Una sesión sin ticket no prueba una intrusión (puede ser un trabajo urgente que se olvidó anotar), pero es una sesión que nadie puede explicar.

La GSMA y el 3GPP definieron un esquema de aseguramiento de equipos de red (NESAS, con las especificaciones de pruebas SCAS): evalúa los procesos de desarrollo del proveedor y los productos contra pruebas de seguridad. Un informe de evaluación es evidencia útil, pero describe una versión concreta probada en condiciones de laboratorio; no certifica la versión que corre hoy ni la configuración que se usa en la red del operador.