Lea todo antes de responder a cualquier cosa
Un cuestionario de seguridad parece una lista, pero cuenta una historia sobre una sola cosa: si el cliente puede confiarle sus datos. Revise rápidamente cada hoja y cada columna antes de escribir una sola palabra. Encontrará la misma pregunta formulada de tres maneras, control de acceso en "Identidad", "Operaciones" y "Nube", las preguntas que solo aplican si usted aloja los datos, y las que piden discretamente un documento en lugar de una respuesta. Saberlo de antemano evita los dos errores más costosos: contradecirse entre hojas y responder algo que no aplicaba a usted.
Mientras lee, marque tres cosas: qué no aplica y por qué, qué necesita un documento que usted ya tiene, y qué necesita una persona que no sea usted.
Responda a partir de lo que realmente hace, por escrito
La mejor fuente para una respuesta no es el último cuestionario; es su propia política, procedimiento o configuración. Abra la política de control de acceso y responda las preguntas de control de acceso a partir de ella. Cuando la política y la realidad difieran, el cuestionario acaba de encontrar una carencia; responda con la realidad y corrija la política, nunca al revés. Los revisores leen cientos de estos documentos, y una respuesta que cita un documento real con un propietario real se lee de forma diferente a una escrita para sonar correcta.
Si no tiene una política para el área, dígalo y describa la práctica. Es una respuesta honesta y se acepta con mucha más frecuencia de lo que los equipos esperan.
Mantenga una sola voz y un solo conjunto de datos
Doscientas respuestas escritas por seis personas en seis estilos parecen seis empresas. Decida la voz una vez: primera persona del plural, tiempo presente, concreto. "Revisamos los derechos de acceso trimestralmente; el responsable de TI es propietario de la revisión y los resultados se conservan en el sistema de tickets" es la forma a la que debe apuntar. Luego mantenga los hechos idénticos en todas partes: si dice que las copias de seguridad se prueban mensualmente en la hoja uno, se prueban mensualmente en la hoja cuatro.
Aquí es donde una biblioteca de respuestas compartida demuestra su valor. Una respuesta que usted aprobó el trimestre pasado es el punto de partida para esta, y cuando el dato cambia, lo cambia en un solo lugar.
Adjunte evidencia donde se solicite, no en todas partes
Algunas preguntas requieren un documento: la política, el resumen de la última prueba de penetración, el certificado. Adjunte esos documentos y nómbrelos para que quien revise sepa qué va a abrir. No adjunte toda la carpeta de políticas a cada hoja; si quien revisa tiene que abrir doce archivos para verificar un control, asumirá que los demás son relleno. Nuestra guía sobre qué evidencia adjuntar repasa las solicitudes habituales.
Marque aquello sobre lo que no esté seguro
Hay diez preguntas en cada cuestionario en las que la respuesta honesta es "Creo que sí, pero tendría que comprobarlo". Márquelas para la persona que lo sabe, en lugar de adivinar. El coste de un "sí" incorrecto es una conversación sobre un incidente de seguridad dieciocho meses después, con su cuestionario como prueba A. El coste de marcarlo es un día.
Devuélvalo en el archivo que le enviaron
Los clientes procesan los cuestionarios en el diseño que eligieron, a menudo con una herramienta de su lado. Conserve sus columnas, sus hojas y su numeración, y complete la columna de respuesta que le proporcionaron. Cuando un cuestionario vuelve como PDF con una estructura diferente, alguien del equipo del cliente lo copia a mano, y sus respuestas pierden el formato y, a veces, también su significado por el camino.
Conserve todo para la próxima vez
El segundo cuestionario de un cliente es más fácil que el primero solo si conservó el primero. Conserve las respuestas aprobadas, la evidencia que adjuntó, quién respondió a qué y la fecha. El próximo trimestre responderá las mismas doscientas preguntas de un cliente diferente, y el ochenta por ciento del trabajo ya estará hecho, siempre que las respuestas sigan siendo ciertas. Ponga una fecha de caducidad en las que envejecen, certificados, informes de prueba, número de empleados, para volver a comprobarlas en lugar de reenviarlas.
Cómo se ve con una herramienta diseñada para ello
Responsemate se encarga de la mitad mecánica de lo anterior: lee el archivo del cliente, encuentra las columnas de preguntas y respuestas en cada hoja, redacta cada respuesta a partir de sus políticas, documentos y respuestas anteriores, muestra qué fuentes ha utilizado y qué nivel de confianza tiene, permite que su equipo revise y apruebe, y exporta al archivo que envió el cliente. El criterio sigue siendo suyo. Cómo funciona el flujo de cuestionarios.
Preguntas que hacen las personas
¿Quién debe responder a un cuestionario de seguridad?
Un responsable que coordina, y las personas que realmente gestionan cada área: infraestructura, RR. HH., legal, el equipo de producto. El responsable mantiene una sola voz; los especialistas aportan los datos. Una respuesta que nadie en la empresa respaldaría es peor que "no aplicable" con una razón.
¿Qué ocurre si no tenemos una política para algo sobre lo que preguntan?
Dígalo, y diga qué hace en su lugar. "No tenemos una política escrita para X; en la práctica Y" es una respuesta honesta que los revisores respetan, y es el comienzo de la política que escribirá el próximo trimestre.
¿Cuánto detalle necesita la respuesta de un cuestionario de seguridad?
Lo suficiente para que quien revise pueda verificarlo: el control, quién es responsable, con qué frecuencia se ejecuta y dónde está la evidencia. Dos o tres frases suelen bastar. Un párrafo tranquilizador sin datos concretos genera una pregunta de seguimiento.