Cómo elegir y gestionar un proveedor de TI: selección, el SLA en palabras sencillas, cuentas a su nombre y un plan de salida

Elegir un proveedor de TI parece una compra de horas de soporte, pero lo que se decide es quién tendrá las llaves de su empresa. Cuando el sistema de pedidos se caiga en la semana de más trabajo del año, el SLA marcará cuánto tarda alguien en ayudarle. Cuando quiera cambiar de proveedor, contará quién guarda las contraseñas de administrador, a nombre de quién está el dominio y qué dice el contrato sobre la entrega. Las dos cosas se deciden al firmar.

Las preguntas sirven igual para una empresa que externaliza toda su TI y para un grupo con departamento de TI propio que contrata especialistas. Solo cambia el número de partes.

• Referencias: dos clientes de su tamaño y sector a los que pueda llamar. Pregunte cómo fue la última caída grave.
• Continuidad: al menos dos personas que conozcan su entorno, y condiciones claras si el proveedor se vende.
• Personas: quién atiende el teléfono, quién hace el trabajo y cuánto se subcontrata.
• Encaje: la experiencia con sus aplicaciones principales cuenta más que una larga lista de logotipos.

• Cuentas de administrador: las de máximo nivel pertenecen a su empresa. En Microsoft Entra ID, el servicio de identidades de Microsoft 365, Microsoft recomienda dos o más cuentas de acceso de emergencia, para no quedarse fuera si, por ejemplo, se va la última persona con rol de administrador global (fuente: Microsoft, junio de 2026). Guarde estas cuentas de emergenciaCuenta de emergenciaCuenta de administrador sellada que solo se usa si falla el acceso normal, para no quedarse fuera de los propios sistemas. En inglés, break-glass account. bajo su propio control y pruébelas con regularidad, por ejemplo cada trimestre (fuente: Microsoft, junio de 2026).
• Dominios: registrados con su empresa como titular, en una cuenta del registrador que usted controle. En los dominios genéricos como .com, el registrador debe darle el código de autorización para la transferencia en un plazo de cinco días calendario desde que lo pida (fuente: ICANN, noviembre de 2026).
• Licencias: a nombre de su empresa, con constancia de quién las revende y cómo se transfieren.
• Documentación y contraseñas: esquema de red, configuraciones y lista de sistemas donde usted pueda consultarlos, con las contraseñas en un gestor de su empresa.

Los dominios de país siguen las reglas de su registro. En .es, el código de autorización llega a la persona de contacto administrativo, que acepta o cancela la transferencia, y vale 10 días (fuente: Red.es, junio de 2026). En .cl vale 30 días, y el titular o el contacto administrativo pueden oponerse durante cinco días corridos (fuente: NIC Chile, noviembre de 2026). Los registros de .mx, .co y .ar son NIC México, el Ministerio TIC de Colombia y NIC Argentina (fuente: IANA, noviembre de 2026). En todos, el contacto administrativo debe ser alguien de su empresa, no del proveedor.

La política de INCIBE sobre relación con proveedores propone nueve controles, que aquí se agrupan en cuatro fases (fuente: INCIBE, noviembre de 2026). Si sus clientes le envían cuestionarios sobre sus proveedores, las respuestas salen de aquí; vea cuestionarios de seguridad.

1. 1Requisitos y contratoRequisitos de seguridad, cláusulas contractuales y responsabilidades concretas de cada parte.
2. 2SLA y controlesEl SLA, con escalado y aviso de incidentes; qué información puede ver el proveedor y con qué método de acceso.
3. 3Certificación y auditoríaServicio certificado y derecho a auditar y controlar lo pactado, con pruebas y no con promesas.
4. 4Fin de la relaciónActivos devueltos, permisos retirados e información borrada de los sistemas del proveedor.

INCIBE pide extender estas prácticas a toda la cadena de suministro y dar al proveedor acceso solo a la información imprescindible para el servicio (fuente: INCIBE, noviembre de 2026). En la práctica, cada técnico entra con su propia cuenta y MFAMFAAutenticación multifactor: iniciar sesión con un segundo paso, aparte de la contraseña, como un código o una aplicación en el teléfono., para que cada acción tenga nombre, y el contrato fija en cuántas horas le avisa el proveedor de un incidente. En la nube de Microsoft, los permisos de administrador delegados a un partner (GDAP) son granulares y limitados en el tiempo, y no pueden ser permanentes (fuente: Microsoft, agosto de 2026).

Si el proveedor trata datos personales por cuenta de su empresa, actúa como encargado del tratamientoEncargado del tratamientoLa empresa que trata datos personales por cuenta de otra, la responsable. Un proveedor de TI que administra sus sistemas suele serlo., y el RGPD obliga a firmar un contrato de encargo (fuente: INCIBE, noviembre de 2026). Fuera de la UE, compruebe qué exige la ley de protección de datos de su país; vea protección de datos.

Pida un informe mensual breve y coméntelo cada trimestre. Una vez al año, ponga el rumbo sobre la mesa: qué hay que sustituir, qué viene y cuánto costará. Así el proveedor pasa de taller de reparaciones a asesor.

1. 1Antes de firmarPreaviso, ayuda en la transición y su tarifa, formato de devolución de los datos y borrado confirmado.
2. 2PreavisoAviso en la forma pactada, con una lista de entrega y un calendario.
3. 3TransiciónDocumentación, cuentas y licencias entregadas; el nuevo proveedor observa antes de tomar el mando.
4. 4CierreAccesos antiguos retirados, contraseñas compartidas cambiadas y borrado confirmado por escrito.

Guarde una copia reciente de sus datos que no dependa del proveedor; vea copias de seguridad.