Un cuestionario de seguridad de proveedores es el formato con el que un cliente corporativo documenta a quién está contratando: control de accesos, gestión de identidades, respaldos, respuesta a incidentes y subcontratistas. No se aprueba ni se reprueba, se contesta con evidencia, y lo único que detiene una venta es una celda en blanco o un “sí” que no se puede demostrar.
El trato ya estaba cerrado de palabra. Buen producto, buena demo, el área usuaria convencida. Y entonces llega el correo de compras con un archivo adjunto: un Excel con pestañas, cientos de renglones, y una fecha de entrega. Control de accesos. Respaldos. Gestión de identidades. Respuesta a incidentes. Continuidad. Subcontratistas.
Ahí es donde muchas ventas a corporativo se detienen. El problema no es que la respuesta sea mala: es que no hay respuesta. Nadie del lado del proveedor sabe quién tiene acceso a producción, ni cuándo se probó el último respaldo, ni qué pasaría el día de un incidente.
El escenario real: una empresa de software con el contrato acordado verbalmente recibe el cuestionario un jueves. Tres semanas después el trato seguía detenido. Lo que lo frenó no fue un “no” en ninguna pregunta: fueron once celdas en blanco y cuatro respuestas que decían “sí” sin poder demostrarlo. El comprador no estaba buscando un proveedor perfecto. Estaba buscando poder justificar la contratación ante su propio auditor, y no tenía con qué.
¿Qué es exactamente ese Excel?
No es un examen que se aprueba. Es un expediente que alguien del otro lado tiene que armar para poder firmar.
La mayoría de esos cuestionarios no los inventó tu cliente: son formatos públicos que se reutilizan. El CAIQ, del Cloud Security Alliance, organiza sus preguntas en diecisiete dominios de control y es de descarga libre. El SIG, de Shared Assessments, es el que suele aparecer cuando el cliente es banca o una institución financiera, y es bastante más extenso. Hay otros, pero se parecen entre sí más de lo que se diferencian.
Eso tiene dos consecuencias prácticas que pocos aprovechan. La primera: puedes leerlos antes de que te los manden. El CAIQ está publicado; nada te impide contestarlo en frío un martes cualquiera y descubrir tus huecos sin un contrato de por medio. La segunda: como los formatos se repiten, el trabajo que hagas para el primer cliente grande te sirve para el segundo y el tercero. Se responde una vez bien y después se actualiza.
¿Qué secciones trae y dónde se atora todo mundo?
Cambian los nombres y el orden, pero el fondo es siempre el mismo. Y no es casualidad que sean precisamente las cuatro cosas que menos se administran en una empresa que creció rápido.
- Control de accesos. Quién puede entrar a qué, con qué privilegio, y cómo se revoca cuando alguien se va. La pregunta que desarma a la mayoría: “¿pueden entregarnos la lista de personas con acceso administrativo a producción?”.
- Gestión de identidades. Si hay segundo factor, si existen cuentas compartidas, si el alta y la baja de personal tocan los sistemas o solo la nómina. Las cuentas genéricas de tipo “admin” que usan tres personas son un hallazgo garantizado.
- Respaldos y recuperación. No preguntan si respaldas: preguntan cada cuándo, dónde queda la copia, y cuándo fue la última restauración probada. Esa última es la que se contesta con silencio.
- Respuesta a incidentes. Si existe un procedimiento escrito, quién lo activa, y en cuánto tiempo se notifica al cliente. Aquí la trampa es contractual: muchos cuestionarios fijan una ventana de notificación que después queda en el contrato.
Si esos cuatro temas te suenan a lo que hace un área de sistemas y no a un trámite de compras, es justamente el punto. El cuestionario no es un problema legal ni comercial: es una auditoría de tu infraestructura, hecha por alguien que no la conoce, con preguntas que sí sabe hacer.
¿Cómo se responde sin mentir y sin perder el trato?
Existe la tentación de poner “sí” en todo y esperar que nadie revise. Es la peor de las opciones disponibles, porque un “sí” que después no se sostiene convierte un hueco técnico en un problema de credibilidad, y eso ya no se arregla con un proyecto de tres meses.
Lo que sí funciona son tres respuestas posibles, y solo una de ellas mata la venta:
El “no, pero” funciona porque el comprador no necesita un proveedor impecable: necesita un riesgo que pueda documentar y acotar. “No tenemos segundo factor en el panel de administración; hoy ese acceso está limitado a dos personas desde direcciones IP fijas, y lo activamos antes del 30 de noviembre” es una respuesta que un área de riesgos puede archivar. “Sí” a secas, sin nada detrás, no lo es.
¿Qué conviene tener listo antes de que llegue?
El mejor momento para contestar tu primer cuestionario es varios meses antes de recibirlo. Lo que rinde más, en orden:
- Saca la lista de accesos administrativos a producción, al proveedor de nube, al repositorio de código y al panel del dominio. Solo la lista. Es el ejercicio que más sorpresas produce y el que más rápido se corrige.
- Restaura algo y cronométralo. Empieza por una base de datos o un sistema acotado, en un entorno aislado, con el reloj corriendo. Ese número contesta tres o cuatro preguntas del cuestionario, y muy pocos proveedores lo tienen.
- Escribe el procedimiento de incidentes en una cuartilla. Quién declara, a quién se avisa, en cuánto tiempo. Una cuartilla que existe vale más que un manual que no.
- Cierra las cuentas compartidas. Cada persona con su identidad y su segundo factor. Es el hallazgo más común y de los más baratos de resolver.
- Contesta el CAIQ en frío. Está publicado. Las preguntas que no puedas responder son exactamente las que te van a preguntar.
Lista de verificación rápida
- ¿Puedo entregar hoy la lista de quién tiene acceso administrativo a producción?
- ¿Se revocan los accesos el mismo día que alguien deja la empresa?
- ¿Hay cuentas compartidas entre varias personas?
- ¿Restauramos un respaldo en los últimos tres meses y sabemos cuánto tardó?
- ¿Existe un procedimiento de incidentes escrito, con un responsable con nombre?
- ¿Sabemos en cuánto tiempo nos comprometeríamos a notificar un incidente a un cliente?
- ¿Alguien ha leído completo alguno de estos cuestionarios antes de que llegara uno real?
Si dudaste en tres o más, el cuestionario no te va a tomar por sorpresa: te va a tomar en medio de una negociación, que es peor. Lo alentador es que casi todo lo anterior se corrige con orden y disciplina, no con inversión mayor, y una vez hecho sirve para todos los clientes que vengan detrás.
En nuestro Diagnóstico de Infraestructura y Seguridad revisamos exactamente esas cuatro áreas —accesos, identidades, respaldos e incidentes— y entregamos las respuestas con evidencia, en el formato en que las piden. Incluida la restauración cronometrada de un sistema acordado, que es la respuesta que pocos proveedores pueden dar.