Tipos de cuestionario
Cuestionario de seguridad
Una lista de preguntas que un cliente envía a un proveedor para evaluar si puede confiarle sus datos y sistemas. Puede ir desde treinta preguntas en un formulario hasta varios cientos repartidas en muchas pestañas de una hoja de cálculo.
Evaluación de seguridad de proveedores (VSA)
El proceso del lado del cliente del que forma parte el cuestionario: el cuestionario, la revisión de la evidencia, una calificación de riesgo y una decisión. Algunos clientes usan "VSA" para el propio cuestionario.
SIG
El cuestionario Standardized Information Gathering de Shared Assessments, el estándar que utilizan bancos, aseguradoras y grandes empresas. SIG Core es el conjunto completo, SIG Lite es la versión breve. Consulte SIG vs CAIQ vs DDQ.
CAIQ
El Consensus Assessment Initiative Questionnaire de Cloud Security Alliance, creado para servicios en la nube y mapeado con la Cloud Controls Matrix.
DDQ
Un cuestionario de diligencia debida: más amplio que la seguridad, abarca la empresa, sus finanzas, seguros y continuidad, así como los controles de seguridad de la empresa.
Sección de seguridad de RFP
Las preguntas de seguridad dentro de una solicitud de propuesta. Por lo general, es un cuestionario abreviado, respondido con un plazo fijado por el ciclo de ventas y no por el equipo de seguridad.
Responder
Biblioteca de respuestas
El conjunto de respuestas aprobadas, una por cada hecho, a partir del cual se responden los cuestionarios. Se mantiene con un propietario y una fecha en cada entrada. Consulte cómo crear una biblioteca de respuestas.
Base de conocimiento
En Responsemate, la biblioteca de respuestas más los documentos, enlaces y cuestionarios anteriores desde los que responde la IA.
Evidencia
Un documento que demuestra que una respuesta es verdadera: una política, un certificado, un informe de pruebas, un registro de ejercicios. Consulte qué evidencia adjuntar.
No aplicable
Una respuesta honesta cuando una pregunta describe algo que usted no hace o no tiene, con una frase que explica por qué. Los revisores la aceptan cuando el motivo es real.
Puntuación de confianza
En Responsemate, una marca High, Medium o Low en cada respuesta redactada, con los motivos: hasta qué punto las fuentes responden directamente a la pregunta, qué tan bien coinciden con ella y qué vigencia tienen.
Fuente
De dónde procede una respuesta redactada: la entrada de preguntas y respuestas, el archivo, el enlace o la respuesta anterior a partir de la cual se creó. Una respuesta con sus fuentes se puede comprobar; una sin ellas es una opinión.
Validez
Si una fuente o respuesta sigue vigente: un certificado antes de su fecha de vencimiento, una política revisada durante el año, un recuento de personal de este trimestre.
Aprobar
El paso en el que una persona responsable de la respuesta la confirma. Un borrador solo se convierte en respuesta cuando alguien lo aprueba.
Marcos y estándares
ISO 27001
El estándar internacional para un sistema de gestión de seguridad de la información. La certificación significa que un auditor comprobó que el sistema existe y funciona, dentro de un alcance definido. Consulte los cuestionarios ISO 27001.
SOC 2
Un informe de atestación, emitido por un auditor conforme a los criterios de servicios de confianza de la AICPA, sobre los controles de una organización de servicios. El Tipo I describe los controles en un momento determinado; el Tipo II los prueba durante un periodo. Consulte cuestionarios SOC 2.
ISAE 3000 e ISAE 3402
Estándares internacionales de aseguramiento utilizados para informes de auditoría sobre los controles de una organización de servicios, habituales en Europa, donde SOC 2 se usa menos. Consulte cuestionarios ISAE 3000.
NIS2
La directiva de la UE sobre la seguridad de las redes y los sistemas de información, en vigor mediante la legislación nacional desde 2024, que hace responsables a las organizaciones cubiertas de la seguridad de sus proveedores. Consulte cuestionarios NIS2 para proveedores.
DORA
La Ley de Resiliencia Operativa Digital de la UE para el sector financiero, aplicable desde 2025, con requisitos detallados sobre cómo las entidades financieras gestionan a sus terceros de TIC. Consulte cuestionarios DORA.
GDPR
El Reglamento General de Protección de Datos de la UE. En un cuestionario aparece como preguntas sobre datos personales, base jurídica, encargados y subencargados del tratamiento, transferencias y notificación de brechas. Consulte evaluaciones de proveedores para GDPR.
NIST CSF
El marco de ciberseguridad del US National Institute of Standards and Technology: cinco funciones, identificar, proteger, detectar, responder y recuperar, en torno a las cuales se organizan muchos cuestionarios.
Cyber Essentials
Una certificación respaldada por el gobierno del Reino Unido sobre cinco controles básicos. A menudo la solicitan organismos públicos del Reino Unido y sus proveedores.
Control
Una medida específica que reduce un riesgo: revisiones trimestrales de accesos, cifrado en reposo, una copia de seguridad probada. Los marcos son listas de controles. Los cuestionarios preguntan si usted los tiene.
Mapeo de controles
Vincular sus respuestas y evidencia a los controles de un marco, para que pueda ver qué controles cubre, cuáles no, y responder un cuestionario basado en un marco con lo que ya tiene.
Contratos y privacidad
Acuerdo de tratamiento de datos (DPA)
El contrato bajo GDPR entre un cliente (responsable del tratamiento) y un proveedor (encargado del tratamiento) que establece cómo se tratan los datos personales. Los cuestionarios preguntan si tiene uno y, a menudo, lo solicitan.
Subencargado
Un proveedor que su proveedor usa para procesar los datos del cliente: el proveedor de alojamiento, el servicio de correo electrónico, el proveedor de IA. Los clientes esperan una lista publicada y aviso de los cambios.
Residencia de datos
Dónde se almacenan y procesan los datos geográficamente. "Residencia de datos en la UE" significa que los datos no salen de centros de datos de la UE.
Centro de confianza
Una página pública en la que una empresa publica su postura de seguridad, certificados y políticas para que los clientes los lean antes de preguntar. Responde por adelantado a preguntas habituales, pero no responde al cuestionario propio de un cliente. Consulte Responsemate frente a un centro de confianza.
Prueba de penetración
Una prueba en la que especialistas en seguridad intentan entrar en un sistema e informan de lo que encontraron. Los cuestionarios preguntan cuándo fue la última, su alcance y si se corrigieron los hallazgos.
Objetivos de punto de recuperación y tiempo de recuperación (RPO, RTO)
Cuántos datos podría perder en una interrupción del servicio, el tiempo transcurrido desde la última copia de seguridad utilizable, y cuánto tiempo podría estar caído el servicio. Los cuestionarios sobre continuidad del negocio preguntan por ambas cosas.