Cuestionario de seguridad de un cliente: cómo responderlo sin frenar la venta
Llega el correo de compras del cliente: “Antes de firmar necesitamos que completen este cuestionario de seguridad”. Un Excel con 150 o 300 preguntas y una semana de plazo. Para muchas empresas de software, servicios y telecomunicaciones ese es el momento en que una venta se frena, y no por el precio ni por el producto.
La buena noticia: los cuestionarios se parecen mucho entre sí. Con un poco de orden, se responden en días en lugar de semanas y dejan de ser un riesgo comercial.
Qué suelen preguntar
Gobierno y políticas: política de seguridad aprobada, responsable de seguridad, análisis de riesgos.
Accesos: altas y bajas, privilegios mínimos, doble factor de autenticación.
Protección de datos: cifrado en tránsito y en reposo, ubicación de los datos, cumplimiento de GDPR o de la Ley 25.326.
Continuidad: copias de seguridad, plan de recuperación ante desastres (DRP) y pruebas.
Vulnerabilidades: parches, pruebas de penetración, desarrollo seguro.
Proveedores: quiénes son los subprocesadores y cómo se los controla.
Incidentes: procedimiento de gestión y plazos de notificación al cliente.
Certificaciones: ISO 27001, SOC 2, PCI-DSS o ENS.
Inteligencia artificial: una sección cada vez más frecuente sobre qué IA se usa y con qué datos.
Cinco errores frecuentes
Responder “sí” sin evidencia. Si el cliente pide la política o el informe y no existe, la credibilidad se pierde.
Dar respuestas distintas a cada cliente. Tarde o temprano alguien compara, y en una auditoría las diferencias salen a la luz.
Dejar el cuestionario solo en manos de ventas. Las respuestas técnicas tienen que pasar por quien opera los sistemas.
Empezar de cero cada vez. La mayoría de las preguntas se repite de un cliente a otro.
Prometer controles que no existen. Lo que se responde suele terminar en el contrato.
Cómo responder bien
Una biblioteca de respuestas aprobada, revisada por seguridad y por legal, que se actualiza cuando cambia algo.
Un paquete de evidencias listo: políticas, diagrama de arquitectura, resumen del último pentest, certificados y procedimiento de incidentes.
Un responsable y un circuito de revisión, con plazos claros para no frenar al equipo comercial.
Respuestas honestas con plan. “Parcialmente implantado, finaliza en marzo” genera más confianza que un “sí” que no se puede demostrar.
Un marco de referencia. Ordenar los controles según ISO 27001 permite reutilizar las respuestas para cualquier cuestionario, sea del cliente, del banco o de una licitación.
Si le vendés a bancos y fintech
En Argentina, las Comunicaciones A 7724 y A 8398 del BCRA llevan a bancos y PSP a evaluar a sus proveedores de tecnología con más detalle y a pedir evidencias concretas. Lo explicamos en seguridad para proveedores de bancos y fintech.
Si le vendes al sector público español
En España, las licitaciones exigen cada vez más la conformidad con el Esquema Nacional de Seguridad en la categoría que corresponda al servicio. Más información en ENS para proveedores del sector público.
Por dónde empezar
Con GoverniFY, nuestra plataforma de gobernanza integrada (SGGI), cada control se documenta una sola vez y sus evidencias sirven para todos los cuestionarios. Si querés saber qué te van a observar en el próximo, hacé el autodiagnóstico gratuito GoverniFY Compass: 10 minutos, resultado al instante y sin compromiso.
Comentarios