Proveedores y subcontratación

La entidad tiene un contrato con el contratista principal, pero los datos pasan por los subcontratistas. Para que las obligaciones de seguridad lleguen hasta el último eslabón, el contrato debe obligar al contratista a trasladarlas a quien subcontrate, de modo que cada empresa cumpla las mismas reglas con los mismos plazos. Sin esa cláusula, la entidad responde ante los ciudadanos de algo que no puede exigir a quien lo hace.

Lo declarado y lo observado deben coincidir. El contratista entrega una lista de subcontratistas aprobados; el registro de accesos a los sistemas dice quién entra de verdad. Una empresa que aparece en el registro y no en la lista es un hallazgo: o se subcontrató sin aprobación, o la lista está desactualizada.

Saber que alguien sin aprobación entró es la mitad del hallazgo; la otra mitad es qué hizo. No es lo mismo un acceso de lectura que una exportación de datos: la exportación saca información fuera del sistema y es lo que más importa en la evaluación del daño posible.

El contrato con el contratista principal se compara con la lista de cláusulas que la alcaldía exige en contratos con datos de ciudadanos. Las faltas se anotan como brechas contractuales: si algo sale mal, la entidad no tiene un texto al que acudir.

Lee la lista e identifica la brecha que permite a la empresa no declarada trabajar con datos sin las obligaciones de seguridad del contrato principal.

Con un acceso no declarado y exportaciones recientes, la tentación es actuar rápido: cortar todo o dejar pasar. La secuencia sensata empieza por conocer el alcance: pedir al contratista que aclare quién es esa empresa y con qué base accede, suspender sus cuentas mientras tanto y revisar qué se exportó, antes de decidir sanciones o ampliar el contrato.