Llega un correo de compras o de calidad de tu mejor cliente con un Excel de sesenta preguntas: ¿tienen doble factor?, ¿cada cuánto hacen copias?, ¿tienen un plan de respuesta a incidentes?, ¿han formado a su personal? Y un plazo de dos semanas.
No es una auditoría ni una amenaza. Es una lista que su departamento de seguridad les obliga a pasar a todos los proveedores. Esto es lo que hay detrás y cómo contestarla sin mentir y sin quedarte fuera.
Por qué te lo piden ahora
Las empresas grandes de sectores esenciales (industria, alimentación, logística, sanidad, energía) tienen obligaciones legales de seguridad que incluyen vigilar a sus proveedores. La directiva europea NIS2 lo dice expresamente; el RGPD ya lo pedía para quien trata datos por cuenta de otro; y las aseguradoras de ciberriesgo lo exigen en sus pólizas.
Así que tu cliente no puede contratar a quien no demuestre un mínimo. Da igual que seas tres personas. Si tienes acceso a sus datos, a sus sistemas, o simplemente le facturas y recibes pedidos, entras en la lista.
Lo hemos visto desde el lado de quien manda el cuestionario. Y sabemos que lo que buscan no es perfección: es saber que no eres el eslabón por el que les van a entrar.
Qué preguntan casi todos
Con nombres distintos, los cuestionarios giran alrededor de siete bloques:
- Gobierno. ¿Hay alguien responsable de la seguridad? ¿Hay una política escrita? ¿Se revisa?
- Accesos. Contraseñas, doble factor, quién tiene acceso a qué, qué pasa cuando alguien se va, cuentas compartidas.
- Equipos y sistemas. Inventario, actualizaciones, antivirus, cifrado de portátiles, control de dispositivos.
- Copias y continuidad. Copias de seguridad, dónde están, cada cuánto, si se han probado, cuánto tardarías en volver a funcionar.
- Correo y red. Protección contra suplantaciones y adjuntos, wifi de invitados separada, cortafuegos.
- Incidentes. Qué harías, a quién avisarías, en cuánto tiempo, y si te ha pasado algo en los últimos dos años.
- Datos personales. Contrato de encargo del tratamiento, registro de actividades, gestión de brechas, formación.
Muchas preguntas son de sí o no, con un campo para explicar. Las de «adjunte evidencia» son las que separan a quien lo tiene de quien dice tenerlo.
Cómo contestar sin mentir
- No pongas «sí» a lo que no tienes. Si más adelante hay un incidente y se descubre que mentiste en el cuestionario, el problema deja de ser técnico y pasa a ser contractual.
- Contesta «parcial» o «en curso» con una fecha. «Doble factor activado en correo; pendiente en el ERP, previsto para noviembre» es una respuesta que un cliente acepta. «Sí» a secas sin evidencia, no.
- Guarda las evidencias. Capturas de la configuración, el informe de copias, la política firmada. El siguiente cuestionario pedirá lo mismo.
- Pregunta qué es obligatorio. Casi todos tienen unos pocos requisitos de descarte (normalmente doble factor, copias y un contacto de incidentes) y muchos deseables. Céntrate en los primeros.
- Pide plazo si lo necesitas. Es mejor entregar en cuatro semanas algo verdadero que en dos algo inventado.
Por dónde empezar, si no tienes casi nada
En este orden. Es el que más puntos da por menos esfuerzo y, casualmente, el que más te protege:
- Doble factor en todo: correo, ERP, banca, acceso remoto. Si solo haces una cosa, esta.
- Copias probadas. Automáticas, fuera de la oficina, y una restauración de prueba con fecha.
- Actualizaciones al día y un inventario de qué equipos y sistemas existen.
- Cuentas personales, no compartidas, y un proceso para dar de baja a quien se va.
- Una hoja de respuesta a incidentes: qué hacer, a quién llamar, en qué orden. Una página.
- El contrato de encargo del tratamiento con ese cliente, si tratas datos suyos, y con tus proveedores.
- Una política de seguridad de dos o tres páginas que describa lo anterior. No hace falta más.
Si tu empresa está en Microsoft 365 con licencias de empresa, casi todo lo técnico ya está incluido; lo que falta es configurarlo y escribirlo.
Lo que no te van a pedir (y no necesitas)
Una certificación ISO 27001, un centro de vigilancia 24 horas o un responsable de seguridad a jornada completa. Eso es para empresas de otro tamaño, y si alguna vez te lo exigen, se negocia. Lo que una pyme necesita es la casa en orden y poder demostrarlo.
Si te ha llegado uno
Mándanoslo. Lo leemos contigo, te decimos qué tienes y qué te falta, y te dejamos las pruebas para contestarlo.