Un cuestionario de ciberseguridad suele solicitar un conjunto fijo de documentos de prueba: una política de seguridad de la información, un resumen de quién tiene acceso a qué sistemas, un plan para cuando algo sale mal, y prueba de que realmente lo prueba. En concreto, suele tratarse de un documento de política, un análisis de riesgos, un plan de respuesta ante incidentes, un informe de una prueba de penetración reciente (un intento controlado de entrar en sus sistemas para encontrar puntos débiles), un resumen de copias de seguridad y procedimientos de recuperación, y prueba de que los empleados han recibido formación sobre concienciación.
El detalle que más juega en este tipo de cuestionario no es el contenido de esos documentos sino la fecha que figura en ellos. Una política de seguridad de la información de tres años de antigüedad, un informe de prueba de penetración sin una fecha de aceptación clara, o un resumen de formación que no muestra cuándo fue la última sesión: estas son exactamente las cosas por las que un cliente desaprueba o solicita complementos. El cuestionario en sí a menudo no solo prueba si una medida existe, sino si es actual.
Por qué la fecha tiene tanto peso
Un cuestionario de ciberseguridad intenta dar una instantánea de cómo se encuentra un proveedor ahora, no cómo estaba hace dos años. Una prueba de penetración con dos años de antigüedad dice poco sobre los sistemas que entretanto se han actualizado o reemplazado. Un documento de política que no se ha revisado desde una reorganización posiblemente ya no cubre la situación actual. Los clientes que ellos mismos están bajo supervisión, por ejemplo a través de normas sobre seguridad de redes e información, a menudo transmiten esa expectativa de actualidad a sus propios proveedores. Esto explica por qué un portal a veces solicita explícitamente una fecha de validez además del documento en sí.
Para empresas que están sujetas a la Directiva NIS2, o que tratan con una organización que sí lo está, estos documentos de prueba suelen reaparecer en un diseño fijo de medidas. Lo que esa directiva exactamente solicita y para quién, lo puede leer en la base de conocimientos; este artículo trata sobre los documentos en sí, no sobre el alcance de las normas. la base de conocimientos con explicaciones por tema ofrece un resumen al respecto.
Qué generalmente sí y no tiene que entregar
No todos los clientes solicitan la misma profundidad. Un cliente grande con su propio departamento de adquisiciones de ciberseguridad a veces solicita el informe completo de prueba de penetración; un cliente más pequeño a menudo se conforma con un resumen o una declaración de que se ha realizado una prueba y cuándo. Lo que concretamente debe compartir depende del portal y el cuestionario de ese cliente específico. No es habitual compartir código fuente, política de contraseñas en detalle o esquemas internos de red; esa información normalmente no tiene lugar en un cuestionario de proveedores y un cliente prudente tampoco lo solicita.
Un dossier, múltiples cuestionarios
Lo complicado de estos documentos no es que falten, sino que están dispersos: la política en TI, el resumen de formación en Recursos Humanos, el informe de prueba de penetración con la parte externa que realizó la prueba. En el siguiente cuestionario los busca nuevamente, y comprueba nuevamente si las fechas siguen siendo correctas. Un dossier central de cadena mantiene estos documentos y su fecha de validez en un solo lugar, para que en un nuevo cuestionario vea qué respuestas siguen siendo actuales y cuáles necesitan una actualización. Supplia completa las preguntas en la lista de su cliente sobre esa base; usted confirma cada respuesta, e ingresa usted mismo en el portal de su cliente.
Si su empresa actualmente carece de documentos que se solicitan con frecuencia, lo verá rápidamente con la comprobación gratuita que en un par de preguntas muestra cómo está. Cómo se tratan y protegen los datos en un dossier de este tipo, puede leerlo en la página sobre privacidad y protección de datos. Y si desea saber cómo Supplia obtiene exactamente las respuestas que completa para usted, se explica en la explicación sobre cómo funciona el sistema.
Para la situación de su propio negocio, con sus propios sistemas y riesgos, una conversación con un especialista en seguridad informática o abogado sigue siendo el consejo más fiable. Este artículo ofrece una descripción general de lo que se suele preguntar, no una evaluación de lo que es necesario o suficiente en su caso.
¿Desea ver qué documentos en su propio negocio ya están en orden y cuáles necesitan una actualización? Realice el escaneo rápido gratuito u hojee los temas en la base de conocimientos para ver qué es relevante para su situación.