Cuestionarios de seguridad: por qué preguntan los clientes y cómo responder bien

Cuando un banco, una empresa de energía o un organismo público le envía un cuestionario de seguridad, no le pide un favor: cumple una obligación propia. La normativa europea de ciberseguridad, las reglas del sector financiero y el Esquema Nacional de Seguridad en España hacen responsables a sus clientes de los riesgos que entran por sus proveedores, y en América Latina leyes como la chilena de ciberseguridad apuntan en la misma dirección. El cuestionario es la forma en que esa responsabilidad llega hasta usted.

Las preguntas parecen técnicas y muy variadas, pero casi todas comprueban lo mismo: si se le pueden confiar datos y operaciones. Si sabe qué obligación hay detrás, responderá antes, con más credibilidad y haciendo el trabajo pesado una sola vez.

En América Latina

En Chile, la Ley Marco de Ciberseguridad cuenta entre los servicios esenciales los de tecnología de la información gestionados por terceros, y exige a los operadores de importancia vital un sistema de gestión de seguridad de la información y una alerta temprana de incidentes en un plazo máximo de tres horas (fuente: Diario Oficial de Chile, abril de 2024).

En Perú, la SBS exige a bancos, aseguradoras y otras entidades supervisadas verificar cada año los controles de sus proveedores significativos de procesamiento de datos y, en la nube, acreditar certificaciones ISO/IEC 27001, 27017 y 27018 y un informe SOC 2 tipo 2 u otro equivalente (fuente: SBS, febrero de 2021). Si su cliente opera en otro país, pregúntele qué norma aplica.

Los marcos se solapan mucho: accesos, actualizaciones, copias e incidentes aparecen en todos, así que un buen conjunto de respuestas sirve para casi cualquier cuestionario.

• Gobierno: un responsable de seguridad, políticas aprobadas por la dirección y una revisión anual.
• Accesos: quién llega a qué, autenticación multifactorAutenticación multifactor (MFA)Iniciar sesión con la contraseña y una segunda prueba, como un código en el teléfono, una llave de seguridad o la huella dactilar. en todas las cuentas y accesos retirados el día en que alguien se va.
• Cifrado: equipos cifrados y datos protegidos en tránsito y en reposo.
• Copias de seguridad: frecuencia, una copia fuera del alcance de su red y la última prueba de restauración.
• Continuidad: cuánto puede durar una caída del servicio y cuándo se probó el plan de recuperación.
• Incidentes: un plan escrito y en cuánto tiempo avisará al cliente.
• Proveedores: quién toca los datos del cliente, qué les exige y cómo lo comprueba.
• Privacidad: qué datos personales, dónde se guardan y el contrato de encargado del tratamiento.

Las medidas detrás de estas áreas se explican en las guías de Tecnología y datos.

1. 1
   Lea primero el alcance¿Qué servicio, qué datos, qué ubicaciones? Responda para ese alcance y dígalo.
2. 2
   Parta de respuestas aprobadasCopie de la biblioteca y ajuste a la pregunta exacta. Responda a lo que se pregunta, nada más.
3. 3
   Señale la evidenciaIndique documento, fecha y responsable. El material sensible, como el informe de una prueba de penetraciónPrueba de penetraciónUn ataque controlado a sus sistemas, hecho por especialistas con su permiso, para encontrar puntos débiles antes que los delincuentes., solo con acuerdo de confidencialidad.
4. 4
   Marque las carencias como previstas, con fecha"Previsto, operativo en (mes)" es creíble. Un sí falso puede costarle el contrato, y ante una aseguradora, una declaración inexacta con dolo o culpa grave la libera del pago (fuente: BOE, octubre de 2026).
5. 5
   Una sola persona da el visto buenoAlguien con nombre revisa cada respuesta antes de que salga. Ventas puede meter prisa, pero no responde.
6. 6
   Alimente la bibliotecaLas preguntas nuevas y las respuestas aprobadas vuelven a la biblioteca, con su fecha y su evidencia.

En una empresa de unas decenas de personas, el responsable suele ser el director general o el de TI; en un grupo, la función de seguridad o de cumplimiento. Revise las respuestas cada año y tras cada cambio importante, como un nuevo proveedor de nube o un incidente, y avise al cliente de lo que cambie antes de que lo lea en su próximo cuestionario.

Tres señales indican que ha llegado el momento: las mismas preguntas se repiten, las ventas se atascan en compras o las licitaciones piden un certificado. Elija lo que elija, compruebe que el alcance incluye el servicio que compra su cliente, y revise alcance y fecha antes de fiarse del certificado de un proveedor suyo.