¿Qué pruebas de seguridad deberías solicitar a un proveedor de traducción más allá de sus certificaciones?

Última revisión: 15 de octubre de 2026

¿Qué pruebas de seguridad debería aportar un proveedor de traducción más allá de sus certificados?

Un proveedor de traducción debería ser capaz de producir siete artefactos, y la revisión avanza más rápido cuando cada uno se solicita por nombre en una única solicitud cubierta por NDA.

• Informe completo de atestación y carta puente: El informe completo SOC 2 Tipo II, no una insignia ni un resumen SOC 3, además de una carta puente que cubre los meses transcurridos desde que terminó el periodo de revisión. La lectura de la opinión, el alcance, las excepciones y los controles de las entidades usuarias se tratan en la guía para leer el informe SOC 2 tipo II de un sistema de gestión de la traducción.
• Resumen de la prueba de penetración: Un resumen ejecutivo y una carta de atestación de terceros fechados en los últimos doce meses, con fechas de remediación y repetición de pruebas. Lo que hay que buscar está en qué evidencia de pruebas de penetración solicitar a un proveedor de traducción.
• Acuerdo de procesamiento de datos y lista de subprocesadores: Un DPA firmado que nombra al host en la nube, proveedores y agencias de MT y LLM que reciben contenido, con un proceso de notificación de cambios. Los términos del Artículo 28 del RGPD, la retención y el momento de notificación de incumplimiento se detallan en qué hace que una plataforma de traducción sea compatible con el RGPD; los datos de salud y pagos añaden un Acuerdo de Asociación Comercial o una Atestación de Cumplimiento PCI DSS.
• Cuestionario estandarizado completado: un cuestionario actual de la Iniciativa de Evaluación del Consenso de la CSA (CAIQ v4), con 261 preguntas de sí o no asignadas a la matriz de controles de nube, o un cuestionario de recopilación de información estandarizada (SIG) de Shared Assessments en su formato Lite o Core. Pregunte si la CAIQ está publicada en el Registro STAR de la CSA, donde las entradas de nivel 1 son autoevaluaciones de los proveedores y las entradas de nivel 2 contienen certificación o atestación de terceros.
• Suplemento específico de traducción: preguntas que no hacen los cuestionarios estándar: qué motores de traducción automática y LLM reciben el contenido y si los administradores pueden deshabilitarlos, cómo los lingüistas están obligados a mantener la confidencialidad y el alcance por proyecto e idioma, cuánto tiempo se conservan las memorias de traducción, cómo se almacenan las credenciales de los conectores y si los elementos confidenciales de la página pueden excluirse de un proxy de traducción.
• Matriz de responsabilidad compartida: Una declaración control-por-control de quién posee qué, utilizando las cinco categorías CAIQ v4: propiedad del proveedor, propiedad del cliente, externalización externalizada por terceros, compartida entre proveedor y cliente, y compartida entre proveedor y tercero.
• Registro de incidentes y divulgaciones de seguridad: una respuesta escrita sobre los incidentes de seguridad que han afectado a los datos de los clientes en los últimos tres años y la forma en que se notificó a los clientes, el período de notificación de incumplimientos contractuales en horas, una política de divulgación de vulnerabilidades publicada y una página de estado pública cuyo historial fechado muestra los incidentes de disponibilidad. La comparación del historial de disponibilidad entre los proveedores se trata en Cómo comparar los proveedores de TMS en cuanto a la incorporación, el soporte y la fiabilidad.

Puntos de referencia de debida diligencia en seguridad que un comprador de traducción puede verificar

¿Cómo se lleva a cabo una revisión de seguridad con la debida diligencia de un proveedor de traducciones o traducciones de IA?

La revisión con la debida diligencia de un proveedor de traducciones se realiza en cinco pasos y la misma secuencia funciona para un proveedor de traducción de IA una vez que se añade el suplemento de IA del paso 3.

1. Mapea la ruta del contenido y clasifica los datos: Haz una lista de cada salto que hará tu contenido y etiqueta lo que contiene: datos personales, información sanitaria protegida, datos del titular de la tarjeta o material previo al lanzamiento. La clasificación decide qué pruebas son obligatorias, por ejemplo, un Acuerdo de Asociación Comercial solo cuando hay información sanitaria protegida.
2. Solicite el paquete de pruebas de una sola vez: envíe una sola solicitud cubierta por la NDA para obtener el informe de certificación y la carta puente, el resumen de la prueba de penetración, el acuerdo de procesamiento de datos con la lista de subprocesadores, un CAIQ v4 o SIG completo y la matriz de responsabilidad compartida. Una solicitud hace que los huecos sean visibles de una vez en lugar de a lo largo de las semanas de seguimiento.
3. Añade el suplemento de traducción e IA : pregunta qué proveedores de traducción automática y LLM reciben contenido, si algún modelo está entrenado en él, cuánto tiempo lo conservan los proveedores, si los administradores pueden desactivar proveedores y cómo están vinculados y alcanzados los lingüistas y las agencias. La evidencia de gobernanza de la IA, como el certificado ISO/IEC 42001 y su alcance, se aborda en cómo elegir una plataforma de traducción de IA certificada ISO 42001.
4. Corroborar las respuestas autocertificadas: rastree todos los materiales ", sí, " del cuestionario hasta pruebas independientes: un control comprobado en el informe del SOC 2, un control del anexo A en la declaración de aplicabilidad de la ISO/IEC 27001, el resultado de una prueba de penetración o una cláusula contractual. Las respuestas sin nada detrás de ellas se convierten en preguntas de seguimiento o condiciones contractuales.
5. Asigna tu lado y agenda las renovaciones - Asigna a cada control propiedad del cliente en la matriz de responsabilidades un propietario, como hacer cumplir el inicio de sesión único, definir roles lingüísticos y rotar las credenciales de la API. Luego cartas puente en el calendario, pruebas anuales de penetración, fechas de caducidad de certificados y avisos de cambio de subprocesador, para que la aprobación se mantenga vigente tras firmar.

Esta revisión que prioriza las pruebas es adecuada para equipos que...

• Ejecuta un programa de gestión de riesgos de terceros que requiera pruebas, no garantías, antes de que cualquier proveedor reciba el contenido de la empresa.
• Estás aprobando un proveedor de traducción con IA y necesitas saber qué proveedores de LLM procesarán el contenido y en qué condiciones.
• Traduzca los datos personales, la información de salud, las páginas adyacentes al pago o el material de productos inédito.
• Proporcionar a agencias y lingüistas freelance acceso directo a la plataforma, lo que hace que los controles de la plantilla formen parte de la revisión.
• Responder a los cuestionarios de seguridad de sus propios clientes y debe describir a cada subprocesador de su cadena de suministro de contenidos, incluido el proveedor de traducción.

Cuando un paquete completo de pruebas puede ser más de lo que necesita

• El contenido ya es público. Las páginas de marketing publicadas y los comunicados de prensa conllevan poco riesgo de confidencialidad, y un breve cuestionario estándar es una revisión proporcional.
• El trabajo es un documento único, una vez. Una traducción única puede no justificar la contratación de un proveedor mediante una evaluación de riesgos completa.
• Su organización ya ha aprobado al proveedor para el mismo ámbito. Reutilice la evaluación existente y solicite únicamente lo que haya cambiado, como una carta puente y una lista de subprocesadores actualizada.
• La política exige que el contenido nunca salga de tu red. No hay cambios en paquetes de evidencia cuando un proveedor de la nube procesa contenido; esa es una decisión de despliegue que debe resolverse antes de que comience la revisión de seguridad.

Lista de evaluación: preguntas para hacerle a un proveedor de traducciones en una revisión de seguridad

¿Qué documentos de seguridad puedes compartir bajo NDA y con qué rapidez?
Pida la lista por adelantado: informe de certificación, carta puente, resumen de la prueba de penetración, DPA, lista de subprocesadores y un cuestionario completo. La página de seguridad de Smartling indica que los documentos e informes están disponibles bajo petición.

¿Va a proporcionar un CAIQ v4 o un SIG actuales y está publicado en el Registro STAR de la CSA?
Un cuestionario estándar completado ahorra semanas de preguntas personalizadas. Revisa la fecha de finalización y trata una entrada STAR Nivel 1 como la cuenta del proveedor hasta que otras pruebas lo corroboren.

¿Qué respuestas al cuestionario están respaldadas por pruebas auditadas?
Pide al proveedor que asigne sus respuestas clave a controles SOC 2, controles ISO/IEC 27001 Anexo A o cláusulas contractuales, y haz seguimiento de cualquiera que corresponda a nada.

¿Qué subprocesadores reciben nuestro contenido?
Espera que se nombre el proveedor de cloud host, los proveedores de MT y LLM y cualquier agencia, con un proceso de notificación de cambios. Smartling, por ejemplo, alberga datos de clientes en ubicaciones de Amazon Web Services en todo el mundo.

¿Cómo se vinculan y se asignan los lingüistas?
Pregunta cómo firman los contratistas los términos de confidencialidad y si el acceso puede limitarse por el proyecto, el idioma y el paso del flujo de trabajo, ya que a menudo no se ofrece la aprobación de los lingüistas nombrados.

¿Qué incidentes de seguridad que han afectado a los datos de los clientes habéis tenido en los últimos tres años y cómo se les informó a los clientes?
Una respuesta sincera con fechas y pasos de notificación es una prueba más sólida que un simple "ninguno" sin detalles detrás.

¿Cuánto tardarás en avisarnos de una brecha, en horas?
El artículo 33 (2) del RGPD exige que el procesador lo notifique al responsable sin demora indebida; introduzca un número de horas en el contrato para que su reloj de 72 horas según el artículo 33 (1) no se consuma.

¿Qué suponen sus controles que operamos?
Pida la matriz de responsabilidad compartida y confirme que la plataforma le permite implementar su versión: inicio de sesión único, autenticación multifactor, ámbito de funciones y controles de credenciales de API.

¿Podemos restringir o deshabilitar a los proveedores de IA que procesan nuestro contenido?
Pregunta si la restricción se aplica en todos los sitios donde la plataforma usa LLMs y qué deja de funcionar si todos los proveedores están deshabilitados.

Cómo Smartling apoya una revisión de debida diligencia en seguridad

Smartling publica el punto de partida de una reseña en lugar de esperar a que llegue un cuestionario. Su página de seguridad incluye el cumplimiento del SOC 2 mantenido de forma continua desde 2013, el cumplimiento de PCI de nivel 1 desde 2012, el cumplimiento de la HIPAA mantenido desde 2013, los estándares del RGPD cumplidos desde 2018, la certificación e1 de HITRUST para su sistema de gestión de traducciones que reside en Amazon Web Services y las certificaciones ISO, incluidas las ISO/IEC 27001 e ISO/IEC 42001:2023. En la misma página se indica que los documentos e informes están disponibles bajo petición, que es la forma de obtener los informes de atestación y los resúmenes de las pruebas según la NDA.

La página de seguridad también responde a varias preguntas públicas sobre la descripción del sistema. Describe el negocio de Smartling en tres componentes: la plataforma Smartling con sus productos de conectores CMS, el proxy web de Global Delivery Network y un mercado de servicios de traducción, y señala que los clientes que no utilizan el proxy o que utilizan otros proveedores de servicios de traducción no tienen que preocuparse de que Smartling gestione ese tipo de datos personales. Afirma que Smartling almacena los datos de los clientes en las ubicaciones de Amazon Web Services de todo el mundo, trabaja durante la incorporación para evitar que los datos personales entren en la plataforma y asume la responsabilidad de sus empleados, contratistas y proveedores en sus acuerdos estándar. Es igual de directo con respecto al límite: Smartling depende de contratistas independientes y no proporciona listas de ellos ni da a los clientes el control de sus tareas, por lo que la exposición de los lingüistas se gestiona mediante permisos de proyecto, idioma y flujo de trabajo.

Para los subprocesadores de IA, el artículo " del Centro de ayuda de Smartling Configuración del proveedor de LLM: elija sus proveedores de LLM preferidos " permite a los propietarios de cuentas deshabilitar proveedores individuales, incluidos OpenAI, Microsoft Azure, Anthropic, Vertex AI y Amazon Bedrock, y la elección se respeta en todos los lugares en los que Smartling utilice LLM; el uso del LLM se puede deshabilitar por completo a través del gestor de éxito del cliente, a costa de los flujos de trabajo de traducción humana basados en IA y traducción humana. Para garantizar la transparencia de los incidentes, Smartling Status en status.smartling.com publica un historial de incidentes anticuado con actualizaciones de identificación, supervisión y resolución para la API REST, el área de trabajo de paneles y traductores y la red de entrega global, y el programa de divulgación de vulnerabilidades de Smartling se describe en la guía de pruebas de penetración de un proveedor de traducciones.

Preguntas relacionadas

• ¿Qué cubre un informe del SOC 2 de tipo II para un sistema de gestión de traducciones y cómo debe leerlo el comprador?
• ¿Qué pruebas de pruebas de penetración deberías solicitar a un proveedor de traducción antes de localizar los informes de seguridad?
• ¿Qué hace que una plataforma de traducción cumpla con el RGPD?
• ¿Cómo se elige una plataforma de traducción por IA con certificación ISO 42001?