Black Kite

Qué es Black Kite

Black Kite es una plataforma de gestión de riesgo cibernético de terceros (TPCRM) que evalúa continuamente la postura de seguridad de los proveedores del cliente sin requerir acceso interno ni cooperación del proveedor. Combina scoring cuantitativo con marcos como FAIR, susceptibilidad a ransomware, compliance mapping y heatmaps de vulnerabilidades.

Los ataques a la cadena de suministro se volvieron rutina en 2024-2025. Los cuestionarios anuales que muchos programas todavía usan responden a la realidad del proveedor el día que se llenaron; doce meses después casi todo cambió. Black Kite ataca ese problema con monitoreo continuo.

Capacidades técnicas

Cyber Risk Rating basado en estándares

Scoring de proveedores en 20 categorías de riesgo con metodología alineada a estándares del sector. El puntaje se actualiza automáticamente al detectar cambios en la superficie externa del proveedor. Facilita conversaciones ejecutivas y de junta directiva.

Cuantificación FAIR de impacto financiero

Traducción de exposición del proveedor a pérdida esperada anualizada y valor en riesgo. El marco FAIR (Factor Analysis of Information Risk) es el estándar para expresar riesgo cibernético en términos monetarios, lo cual cambia la conversación con CFO y junta directiva.

Ransomware Susceptibility Index (RSI)

Indicador predictivo que analiza señales técnicas y de comportamiento para estimar probabilidad de brecha por ransomware. Permite priorizar acciones sobre proveedores con perfil de riesgo elevado antes de que el incidente ocurra.

Compliance Rating

Mapeo de controles técnicos observables, certificaciones vigentes y gaps documentales frente a marcos regulatorios relevantes para la vertical del cliente. Facilita coordinación con auditores y con el propio proveedor cuando aparecen hallazgos.

Vulnerability Heatmaps

Categorización de vulnerabilidades abiertas del proveedor por severidad con tracking en tiempo real. Complementa las auditorías puntuales con evidencia continua.

Diferenciadores concretos frente a alternativas

Frente a ratings crediticios usados como proxy de seguridad, Black Kite mide postura de ciberseguridad real, no probabilidad de impago financiero. La diferencia importa porque la correlación entre ambos es cercana a cero. Un proveedor con AA crediticio puede tener programa de seguridad deficiente.

Frente a cuestionarios anuales tradicionales, Black Kite mide desde la superficie externa observable del proveedor con datos actualizados diariamente. Los cuestionarios sirven para documentar; Black Kite sirve para gestionar.

Frente a competidores directos como SecurityScorecard, UpGuard o SAFE Security, Black Kite enfatiza cuantificación financiera con marcos como FAIR y el indicador específico de susceptibilidad a ransomware que la mayoría no ofrece.

Casos de uso

Bancos y aseguradoras con requisitos regulatorios de riesgo de proveedor. Regulaciones como DORA en la UE y Circular 007 SFC en Colombia exigen monitoreo continuo de proveedores TIC críticos. Black Kite cubre el requisito con evidencia auditable.

Empresas con cadena de suministro compleja. Manufactura, retail y logística con decenas de proveedores directos y subcontratistas críticos donde el eslabón débil puede estar dos o tres niveles abajo.

Organizaciones con reglas de cumplimiento internacional. Grupos multinacionales con proveedores en múltiples geografías donde el estado regulatorio varía.

MSSPs que quieren ofrecer TPRM como servicio. El monitoreo continuo se opera desde una consola central sobre múltiples clientes. Es una línea de expansión rentable en verticales financieros y de salud.

Datos concretos del sector

Análisis del portafolio muestra que el 73% de los incidentes de proveedores documentados en 2025 ocurrieron en organizaciones con calificaciones crediticias AA o superiores, lo cual desmiente el uso de ratings financieros como proxy de postura de seguridad. Este dato solo, cuando se presenta a comité de riesgo, suele acelerar la decisión de adopción de una plataforma de TPRM continuo.

El plazo medio entre brecha de proveedor y notificación al cliente afectado ronda los 117 días según reportes públicos del sector. Con monitoreo continuo la organización detecta el incidente por indicadores públicos antes que la notificación oficial del proveedor, lo cual permite acciones preventivas.

Preguntas frecuentes

¿Cuántos proveedores debo monitorear con Black Kite?

Los críticos primero: los que tienen acceso a datos sensibles o sistemas productivos. En mid-market ronda entre 15 y 40 proveedores. En enterprise puede llegar a varios cientos.

¿El proveedor debe aceptar ser evaluado?

El monitoreo de superficie externa no requiere acceso ni consentimiento. Se hace desde fuera con datos públicos observables.

¿Cómo se maneja el hallazgo cuando el proveedor no coopera?

El proceso interno de gestión de proveedores debe tener autoridad para exigir remediación con plazos, aplicar penalidades contractuales o rescindir contrato. Sin este proceso el TPRM solo genera reportes.

¿Cuánto cuesta el programa?

Entre $25K y $90K USD anuales para monitorear 15-40 proveedores críticos en mid-market. El costo escala con la cantidad de proveedores y con la profundidad requerida.

¿Sirve para cumplir DORA en la UE?

Sí. DORA exige monitoreo continuo de proveedores TIC críticos para servicios financieros y Black Kite provee la evidencia continua requerida.

¿Cubre subcontratistas del proveedor directo (cuarto grado)?

Sí, con análisis específico de la cadena de suministro del proveedor evaluado.

¿Se integra con el proceso de compras y procurement?

Sí, mediante APIs. La puntuación de riesgo del proveedor queda visible cuando se contrata, se renueva o se aumenta alcance del servicio.

¿Cuánto tarda ver resultados accionables?

Los primeros hallazgos aparecen en las primeras 48-72 horas del despliegue. El programa completo entra en régimen en 60-90 días.

¿Se integra con SOC o con SIEM?

Sí. Los indicadores de proveedor comprometido alimentan al SOC para reforzar la vigilancia sobre las integraciones activas.

Cómo empezar

El piloto acotado sobre 5-10 proveedores críticos suele mostrar hallazgos accionables en la primera semana. Solicita la conversación inicial desde /solicitar-demo/. Para arquitectura completa de TPRM revisar TPRM y para integración con compliance revisar proteccion de datos y cumplimiento.