Acaba de completar el primer cuestionario de seguridad de un cliente. Horas buscando quién es responsable del firewall, qué política de contraseñas aplica realmente, y si existe o no un procedimiento de copia de seguridad documentado. Luego, tres meses después, llega un segundo cliente con una lista similar, y siente que vuelve a empezar de cero. No tiene por qué ser así: la diferencia entre el primer y el segundo cuestionario no está en la velocidad de escritura, sino en si registró algo la primera vez que pueda releer.
Los cuestionarios de seguridad de diferentes clientes se solapan significativamente. Una empresa de instalación que suministra a un operador de red de energía y a una institución sanitaria recibe preguntas que son idénticas en un ochenta por ciento: ¿hay un responsable de seguridad de la información, cómo gestiona el acceso a los sistemas, qué hace ante un incidente, con qué frecuencia prueba las copias de seguridad. La formulación varía según el cliente, pero la pregunta subyacente no. Quien proporciona la respuesta la primera vez solo en un correo electrónico a ese cliente, debe buscarla de nuevo la segunda vez. Quien registra la respuesta como parte de un dosier, la copia y adapta la formulación.
Qué cambia realmente la segunda vez
El núcleo de cada cuestionario —qué medidas existen, quién es propietario, qué documento de prueba corresponde— cambia poco de un cliente a otro. Lo que sí varía es la forma de la pregunta: un cliente pregunta por «control de acceso», otro por «identity and access management», y un tercero quiere una respuesta sí/no donde el primero solicitaba una explicación de tres oraciones. Esa es precisamente la parte que no debe costar mucho tiempo si la información subyacente ya está en orden. Reformula la presentación, no el contenido.
Hay una excepción importante: si entre el primer y el segundo cuestionario algo ha cambiado en su organización —un nuevo proveedor, otro sistema de copia de seguridad, un responsable diferente—, ese es el momento de actualizar el dosier, no el cuestionario en sí. Un dosier que no se ajusta a la realidad causará demoras nuevamente con el tercero o cuarto cliente, porque tendrá que verificar qué sigue siendo válido y qué no.
La diferencia entre responder un cuestionario y mantener un dosier
Un cuestionario es una instantánea para un cliente en un momento específico. Un dosier es un registro vivo de las medidas que su organización ya ha implementado, independientemente de quién pregunte: qué estado tiene cada medida, qué documento de prueba corresponde, y quién en la organización es propietario. Una vez que existe ese registro, cada cuestionario que llega es esencialmente una exportación en un orden diferente. leer las diez medidas de diligencia debida por situación proporciona una visión general de qué componentes aparecen normalmente en ellas, incluso si su organización no está directamente sujeta a las obligaciones de NIS2 pero se ve afectada a través de un cliente.
Esta distinción también es de donde proviene el ahorro de tiempo en organizaciones que no son obligadas por ley —el gran grupo de proveedores de pymes que se ven afectados a través de la diligencia debida de su cliente. No necesitan implementar una ley, pero sí demostrar repetidamente que los aspectos básicos están en orden. Quien responde esto la primera vez como correo electrónico separado, realiza el mismo trabajo con el segundo cliente. Quien lo registra como dosier, observa que el trabajo por cada cliente adicional disminuye en lugar de permanecer igual.
Dónde está el límite
Un dossier y las respuestas que de él se preparan no reemplazan la evaluación del cliente, y no garantizan que la siguiente lista de preguntas se resuelva sin cuestiones adicionales — cada cliente evalúa por sí mismo lo que le resulta suficiente. Tampoco reemplaza un dossier una auditoría, prueba de penetración o certificación; eso sigue siendo trabajo de partes especializadas. Lo que sí hace es mantener preparada la pregunta repetida 'cómo está organizado esto en su caso', para que no tenga que volver a investigarlo cada vez.
Si su organización es afectada a través de un cliente o cae directamente bajo la Ley de Ciberseguridad, se puede ver con algunas preguntas a través de la comprobación de la NIS2 que proporciona una indicación en unos pocos minutos. Esa comprobación es gratuita y se puede realizar sin cuenta, al igual que la explicación por tema en la base de conocimientos. El dossier en sí, con el estado de cada medida, la prueba y las respuestas preparadas para la siguiente lista de preguntas, forma parte de la suscripción — lo que exactamente incluye se puede ver aquí.
Quien quiera saber de dónde proviene la información en la plataforma y cómo se mantiene, lo lee en la página que explica de dónde proviene la información. Para su situación específica — qué preguntas puede hacer un cliente específico y hasta dónde puede llegar — sigue siendo recomendable consultar a un abogado o a la autoridad reguladora competente en caso de duda; el dossier prepara, no evalúa en su nombre.
Comience por la pregunta de dónde se encuentra realmente su organización: la comprobación de la NIS2 proporciona una indicación para ello en unos pocos minutos, sin que necesite una cuenta para ello.