Cumplimiento del SSPA de Microsoft
Si presta servicios a Microsoft y tiene acceso a sus datos, a sus sistemas o a los datos de sus clientes, es probable que deba someterse al programa de Garantía de Seguridad y Privacidad para Proveedores (SSPA). Es la forma en que Microsoft extiende sus propios estándares de seguridad y privacidad a lo largo de su cadena de suministro: usted debe aceptar los requisitos de protección de datos, completar el perfil correspondiente en la herramienta de evaluación y, en función de las actividades que realice para Microsoft, es posible que necesite una evaluación independiente además de la autodeclaración.
Donde esto se complica
Lo más complicado de la SSPA no suele ser ningún control en concreto, sino determinar qué requisitos de protección de datos se aplican realmente a su proyecto específico y, a continuación, poder respaldar sus respuestas con evidencia tangible en lugar de buenas intenciones. El DPR abarca un amplio abanico de aspectos: tratamiento y clasificación de datos, control de acceso, respuesta a incidentes, gestión de subcontratistas y obligaciones en materia de privacidad que se ajustan estrechamente a los requisitos al estilo del RGPD. Si se equivoca al definir el alcance, o bien responderá a preguntas que no le conciernen o, lo que es peor, pasará por alto aquellas que sí le conciernen y será objeto de una señalización.
Mi enfoque
Empiezo por determinar exactamente qué tipo de datos y accesos implica realmente su contrato con Microsoft, ya que eso determina qué partes del DPR entran en el ámbito de aplicación y si se trata de una autoevaluación o de una auditoría independiente. A partir de ahí, comparo los requisitos con lo que realmente hace en la actualidad —no con lo que dice su documento de políticas— y elaboro el registro de evidencia que un evaluador o la propia revisión de Microsoft querrán ver: registros de acceso, acuerdos con subcontratistas, registros de respuesta a incidentes y procedimientos de tratamiento de datos.
Si se requiere una evaluación independiente, le ayudo a prepararse para ella tal y como yo me prepararía para cualquier auditoría formal: subsanando primero las deficiencias conocidas, asegurándome de que las personas que vayan a ser entrevistadas conozcan lo que realmente se ha implementado y garantizando que sus respuestas en la herramienta de evaluación coincidan con lo que el evaluador encontrará al examinar el sistema.
A quién va dirigido
Empresas que mantengan una relación activa o potencial con Microsoft como proveedor y que implique datos o sistemas de Microsoft, así como equipos de compras o de seguridad a los que se les haya asignado un requisito del SSPA con un plazo de cumplimiento y que necesiten a alguien que haya gestionado el DPR anteriormente.
Si tiene una fecha límite de la SSPA en su calendario, póngase en contacto con nosotros y preparémonos con antelación.