Seguridad para proveedores
Tu cliente te ha pedido un cuestionario de ciberseguridad. Vamos a poder contestarlo.
Ponemos en orden la seguridad de tu empresa y te dejamos las pruebas para demostrarlo: doble factor, copias, accesos, actualizaciones y un plan para cuando algo pasa. Sin convertir tu pyme en un banco.
Por qué te lo piden ahora
Las empresas grandes de industria, alimentación, logística o sanidad tienen obligaciones nuevas de seguridad, y esas obligaciones bajan en cascada a quienes les venden. Da igual que tu empresa sea pequeña: si tienes acceso a sus datos, sus sistemas o su cadena de suministro, te van a pedir que demuestres que no eres el punto débil.
Lo hacen con un cuestionario, a veces con una auditoría, casi siempre con una cláusula en el contrato. Y el proveedor que no puede contestar con pruebas acaba fuera de la lista, aunque lleve veinte años trabajando bien.
Conocemos esos cuestionarios desde el lado de quien los envía. Sabemos qué preguntan de verdad, qué respuestas aceptan y qué es humo.
Qué suelen preguntar
Casi todos los cuestionarios giran alrededor de lo mismo:
Accesos. Quién puede entrar dónde, con qué contraseñas, con doble factor o sin él, y qué pasa cuando alguien deja la empresa.
Copias. Si las tienes, dónde están, cada cuánto se hacen y si alguna vez has probado a restaurarlas.
Actualizaciones. Si los equipos, los servidores y la web se mantienen al día, y quién se encarga.
Protección del correo y los equipos. Antivirus, filtro de suplantaciones, equipos cifrados y gestionados.
Respuesta a incidentes. Qué harías si te hackean, a quién avisarías y en cuánto tiempo.
Datos personales. Contrato de encargo del tratamiento, registro de actividades, gestión de brechas.
Papeles. Una política de seguridad escrita, un inventario de sistemas, formación básica al personal.
Nada de esto es exótico. Es lo que una empresa bien cuidada tiene, escrito o sin escribir. El trabajo consiste en tenerlo y poder enseñarlo.
Cómo lo dejamos en orden
Leemos el cuestionario contigo. Pregunta a pregunta, decimos qué tienes ya, qué te falta y qué puedes contestar con honestidad hoy. No se miente en un cuestionario: se contesta «en curso» con un plan.
Ponemos la base. Doble factor en todo, copias verificadas, equipos gestionados, correo protegido, accesos revisados. Casi siempre sobre Microsoft 365, con las licencias que hagan falta y ni una más.
Escribimos lo que hay que escribir. Política de seguridad, plan de respuesta a incidentes, inventario, contrato de encargo del tratamiento. Documentos cortos que describen lo que haces, no plantillas de cien páginas que nadie lee.
Te dejamos las pruebas. Un dosier con capturas, configuraciones y documentos que puedes enviar a tu cliente, y que sirve para el siguiente que te lo pida.
Lo mantenemos. La seguridad no se termina; se sostiene. Si quieres, nos quedamos con el mantenimiento para que el año que viene el cuestionario se conteste solo.
Lo que no hacemos
No certificamos: una ISO 27001 o un Esquema Nacional de Seguridad son otra liga, con auditores externos y otro presupuesto. Si tu cliente exige una certificación, te lo diremos el primer día y te ayudaremos a llegar preparado. Tampoco vendemos vigilancia 24 horas: te ponemos la casa en orden y respondemos cuando pasa algo, que es lo que una pyme necesita y puede pagar.
Preguntas frecuentes
¿Cuánto se tarda?
Depende del punto de partida. Una pyme con Microsoft 365 y pocas cosas raras puede tener la base puesta y el dosier listo en unas semanas. Si hay servidores viejos, equipos sin control o accesos compartidos, más. Te lo decimos tras la primera revisión.
¿Esto es lo de la NIS2?
En parte. NIS2 es una directiva europea que obliga a las empresas grandes de sectores esenciales a controlar la seguridad de sus proveedores, y por eso te llega el cuestionario. Tu empresa probablemente no está obligada directamente, pero tu cliente sí, y te lo traslada por contrato.
¿Y si el cuestionario ya lo he contestado mal?
Se corrige. Lo normal es contestar con lo que hay y un plan de mejora con fechas. Los clientes prefieren un proveedor que dice «esto lo tendré en marzo» a uno que dice que sí a todo.
¿Sirve para más de un cliente?
Sí. Los cuestionarios se parecen mucho entre sí. El dosier se hace una vez y se adapta.
¿Tengo que estar en Microsoft 365?
No, pero ayuda: casi todo lo que piden se resuelve con lo que Microsoft incluye en sus licencias de empresa. Con Google Workspace también se puede; con correo en un hosting de 20 euros al año, lo primero que haremos será sacarte de ahí.