Clientes
Cómo responder el cuestionario de seguridad de un cliente
Qué suelen preguntar, qué pruebas adjuntar y cómo decir que no sin perder la venta.
¿Qué es un cuestionario de seguridad de cliente?
Es el formulario con el que una empresa grande comprueba cómo proteges los datos que le vas a tratar. Llega desde compras, desde el departamento legal o desde una plataforma de homologación de proveedores, y suele venir con fecha: hasta que no está contestado, el contrato no avanza.
Las preguntas se repiten mucho entre clientes, porque casi todos los cuestionarios salen de las mismas normas. Eso es la buena noticia: lo que se prepara una vez sirve para el siguiente. Cómo responder el cuestionario de seguridad de un cliente va apartado por apartado.
¿Por qué te lo mandan ahora y antes no?
Porque a tu cliente le aplica una norma que le obliga a vigilar su cadena de suministro, y la forma de cumplirla es preguntarte a ti. La NIS2 lo dice así, y el RGPD ya lo exigía para los encargados del tratamiento. A ti no te obliga la norma: te obliga el contrato.
Entender qué le obliga a él ayuda a contestar mejor, porque permite ver qué pregunta es de verdad imprescindible y cuál es una plantilla heredada. Está en las guías de normativa.
¿Qué se adjunta cuando piden pruebas?
Una respuesta sin prueba cuenta poco. Lo que se adjunta son documentos con fecha: la política de seguridad firmada, el inventario de equipos, el informe de la última restauración de copias, el registro de incidentes y la constancia de la formación. El conjunto ordenado es un dossier de evidencias.
Qué es un dossier de evidencias explica el documento control a control. Si quieres ver su índice antes de montar el tuyo, te mandamos el índice de un dossier de evidencias al correo.
¿Y si no puedes contestar «sí» a todo?
Casi nadie puede, y mentir es el único error sin arreglo: cuando llegue un incidente, lo primero que se revisa es lo que firmaste. Un «no, y este es el plazo en que lo tendremos» se acepta en muchos más casos de los que parece, si va con quién lo hace.
Lo mismo vale con la aseguradora, y ahí el riesgo es más caro: qué te pide la aseguradora para contratar un ciberseguro explica qué controles suele preguntar y qué pasa si dices que sí sin tenerlos.
¿Hace falta una auditoría o un test de intrusión?
Depende de quién pregunte y de qué pida por escrito. Una auditoría revisa si lo que dices que haces está hecho y documentado. Un test de intrusión busca por dónde se entra de verdad. Son cosas distintas, cuestan distinto, y a veces el cliente pide una cuando le vale la otra.
Cómo prepararse para una auditoría de ciberseguridad dice qué documentos te va a pedir el auditor. Qué es un test de intrusión y si lo necesitas separa los tipos y cuándo tiene sentido en una pyme.
¿Y si prefieres que lo lleve alguien?
Las guías de arriba están escritas para que puedas contestar tú. Si lo que quieres es tener la seguridad puesta y las pruebas listas antes de que llegue el siguiente cuestionario, eso es lo que hacemos nosotros, y el documento que lo demuestra llega cada mes sin que tengas que pedirlo.
Ciberseguridad gestionada para pymes explica qué ponemos y cómo se paga.
Las guías de clientes y seguros
Cuestionarios, dossier, ciberseguro, auditoría, test de intrusión y la seguridad de tus propios proveedores.
Clientes
Dossier de evidencias: qué es, qué pruebas lleva y cómo se mantiene
La carpeta con las pruebas de que estás protegido, lista para enseñar: qué documentos lleva, qué hace que una prueba valga y cómo se mantiene.
Clientes
Qué te pide la aseguradora para contratar un ciberseguro
Los controles que suele preguntar el cuestionario, qué pasa si contestas mal y cómo acreditar cada respuesta.
Clientes
Auditoría de ciberseguridad: qué revisa, quién la pide y cómo prepararla
Qué revisa un auditor, quién te lo puede pedir, qué se sabe de lo que cuesta y cómo llegar con todo listo.
Clientes
Test de intrusión (pentest): qué es y si lo necesitas
Qué prueba, qué tipos hay y cuándo tiene sentido para una pyme.
Clientes
Cómo revisar la seguridad de tus proveedores
Tu seguridad también depende de quien tiene acceso a tus datos. Cinco preguntas.
Clientes
Plantilla para responder el cuestionario de seguridad de un cliente
Diecisiete preguntas tipo con su respuesta modelo, la prueba que la respalda y quién la firma. Para adaptar y reutilizar.
Clientes
Qué responder en un cuestionario de seguridad si no cumples un control
Las cinco respuestas que caben además del «sí», cómo se redacta un «todavía no» que el cliente acepta y qué controles no conviene dejar en «no».
Clientes
Me piden la ISO 27001 y no la tengo: qué hacer
Qué te están pidiendo de verdad, qué puedes mandar hoy sin certificado y cuándo compensa sacarlo.
Clientes
Cláusulas de ciberseguridad en un contrato: qué estás firmando
Diez cláusulas que traen los contratos de clientes grandes: qué te obliga cada una y qué se puede negociar antes de firmar.
Clientes
Anexo de seguridad del contrato de proveedor: cómo cumplirlo
Veinte requisitos técnicos en un anexo del contrato: cómo leerlos, responderlos en una matriz y negociar los que no encajan.
Clientes
Homologación de proveedores: qué te piden de ciberseguridad y en qué plataforma
Las cinco plataformas de homologación que usan las grandes empresas en España, qué publica cada una de ciberseguridad y el paquete de documentos que sirve para todas.
Clientes
Qué te pregunta Achilles sobre ciberseguridad, y cómo se prepara
Las preguntas de seguridad de RePro, la Puntuación de Achilles de 0 a 100 y lo que piden Iberdrola y Redeia, con la prueba que conviene adjuntar a cada una.
Clientes
TISAX nivel 2: qué te piden, cómo se prepara y cuánto dura
Qué revisa el auditor, qué etiquetas lo exigen, cuánto tarda y qué cambia con la ISA2027.
Clientes
DORA para proveedores TIC: qué te va a pedir tu cliente financiero
Las cláusulas que un banco o una aseguradora tiene que poner en tu contrato por DORA, qué se negocia y por qué te piden el LEI.
Clientes
Me piden un informe SOC 2: qué es y qué puedes enviar si no lo tienes
Qué es de verdad un SOC 2, en qué se diferencia de la ISO 27001 y qué mandas mientras no lo tienes.
Clientes
Tu cliente te ha puesto nota de ciberseguridad: qué miran BitSight y SecurityScorecard y cómo se mejora
Qué miran desde fuera estas plataformas, qué no pueden ver, cómo se corrige un dato que no es tuyo y qué se arregla primero.
