Cómo responder a los cuestionarios de seguridad con confianza
Los cuestionarios de seguridad llegan justo cuando un acuerdo se pone serio. Un poco de preparación transforma una semana de trabajo en una sola tarde.
Cuando un cliente importante está a punto de firmar, suele llegar un cuestionario de seguridad. Pueden ser unas cuantas docenas de preguntas en una hoja de cálculo o varios cientos en un formato estándar. Para un equipo pequeño puede parecer un examen para el que nadie estudió. No tiene por qué ser así.
Sepa qué están preguntando en realidad
Detrás de cada cuestionario hay una sola pregunta: ¿es seguro confiarles nuestros datos? Los puntos individuales cubren temas conocidos: control de acceso, cifrado, copias de seguridad, respuesta a incidentes, proveedores y cómo se gestionan las altas y bajas del personal. La mayoría son variaciones de un conjunto de temas bastante reducido; por eso prepararse con antelación marca una gran diferencia.
Cree una biblioteca de respuestas
Mantenga un único documento con sus respuestas actuales a las preguntas más habituales, redactadas una vez y revisadas un par de veces al año. Cada respuesta debe ser breve, precisa y concreta: qué hace, qué herramienta lo hace y con qué frecuencia. El siguiente cuestionario consistirá casi siempre en copiar y verificar, en lugar de empezar a redactar desde cero contra reloj.
Sea sincero sobre las carencias
Es tentador responder «sí» a todo. No lo haga. El equipo de seguridad del cliente lee muchos de estos documentos y las respuestas vagas o exageradas llaman la atención. Si todavía no hace algo, dígalo, y explique qué hace en su lugar o cuándo planea subsanarlo.
Un «todavía no, y este es nuestro plan» sincero genera más confianza que una respuesta que se desmorona en una llamada de seguimiento. Además, las respuestas del cuestionario pueden acabar mencionadas en el contrato, por lo que la precisión importa más allá de la venta.
Tenga la documentación lista
Muchos cuestionarios piden documentos de respaldo: una política de seguridad de la información, un plan de respuesta a incidentes, el resumen de una prueba de penetración reciente o una lista de los proveedores que gestionan datos de clientes. Redáctelos antes de necesitarlos, manténgalos breves y actualizados. Un diagrama de una sola página que muestre dónde residen los datos de los clientes responde por sí solo a una cantidad sorprendente de preguntas.
Deje que un informe hable por usted
Una vez que cuente con un informe SOC 2, muchos clientes lo aceptarán en lugar de la mayor parte de su cuestionario, o junto a uno estándar más breve, como el SIG Lite o el CAIQ. Los informes suelen compartirse bajo un acuerdo de confidencialidad. Hasta que disponga de uno, una página de seguridad clara y una biblioteca de respuestas bien cuidada cumplen prácticamente la misma función.
Asigne la responsabilidad a una sola persona
Los cuestionarios se estancan cuando pasan de mano en mano por el equipo. Asigne la responsabilidad a una persona: ella recopila las respuestas, las verifica con quien gestione cada sistema y envía la versión definitiva. Guarde una copia de cada cuestionario respondido y de lo que envió, para que sus respuestas sigan siendo coherentes de un cliente a otro.
En resumen
Redacte sus respuestas una sola vez, manténgalas sinceras y al día, tenga las políticas listas y encargue el trabajo a una sola persona. Así, los cuestionarios se convertirán en una parte habitual de la venta y no en el motivo de que un acuerdo se frene.