Un dato por entrada, no un cuestionario por entrada
La forma tentadora de crear una biblioteca es conservar todos los cuestionarios completados y buscar en ellos cuando llegue el siguiente. Falla en el plazo de un año: el mismo dato existe en una docena de formulaciones, algunas desactualizadas, y la búsqueda encuentra el incorrecto en el momento incorrecto. Cree la biblioteca alrededor de datos concretos. "El responsable de TI revisa trimestralmente los derechos de acceso; los resultados se conservan en el sistema de tickets" es una entrada, y responde a la pregunta sobre revisión de accesos en todos los cuestionarios que recibirá.
Escriba cada entrada con una voz neutral que encaje en cualquier cuestionario y después permita que la fila del cuestionario se redacte a partir de ella con las propias palabras de esa fila.
Un responsable y una fecha en todo
Cada entrada tiene una persona que puede confirmar si sigue siendo válida, y una fecha en la que se confirmó por última vez. Esta es la diferencia entre una biblioteca y una carpeta. Cuando el propietario se va, las entradas pasan a alguien. Cuando la fecha vence, la entrada se revisa. Sin ambas cosas, enviará a un cliente una respuesta que describe cómo funcionaban las cosas hace dos reorganizaciones, y no lo sabrá hasta que se lo pregunten.
La evidencia está junto a la respuesta
Los revisores piden la política, el certificado, el resumen de la prueba. Adjunte cada uno a la entrada que respalda y asígnele su propia caducidad: el certificado ISO caduca en una fecha, el informe de la prueba de penetración pierde vigencia después de un año, el certificado de seguro se renueva anualmente. Así, un cuestionario que pide el certificado recibe el vigente, y un certificado caducado aparece como advertencia en su biblioteca antes de convertirse en una pregunta de un cliente.
Importe lo que ya tiene y luego depúrelo
La mayoría de los equipos empieza con cuestionarios completados y una carpeta de políticas. Impórtelos y dedique una tarde a depurar: fusione las treinta formulaciones de un mismo hecho en una sola entrada, elimine las que nadie pueda respaldar, marque las que necesitan un responsable. Una biblioteca más pequeña en la que confía vale más que una grande en la que busca con nervios.
Una rutina, en un calendario
La biblioteca se mantiene fiel porque alguien la revisa según un calendario. Una rutina viable: cada entrada cuya fecha haya pasado se revisa dentro del mes; cada cuestionario completado se reincorpora a la biblioteca la semana en que se envía, de modo que las respuestas que usted mejoró bajo la presión del plazo son las respuestas que conserva; dos veces al año, el responsable lee toda la biblioteca de principio a fin y fusiona lo que se ha ido separando.
Qué debe hacer una herramienta por usted aquí
La rutina es donde los equipos se rinden, porque es trabajo administrativo. La base de conocimiento de Responsemate pone una fecha y un propietario en cada entrada, archivo y enlace, marca lo que ha perdido vigencia, ejecuta una limpieza nocturna que encuentra duplicados y contradicciones, lee de nuevo los cuestionarios aprobados y sugiere qué falta según las preguntas que usted sigue recibiendo. Cómo funciona la base de conocimiento.
Preguntas que hacen las personas
¿Cuántas entradas debe tener una biblioteca de respuestas?
Menos de las que cree. Unos pocos cientos de datos cubren la mayor parte de lo que pregunta cualquier cuestionario de seguridad. Una biblioteca con tres mil entradas suele contener el mismo dato treinta veces con treinta redacciones distintas, y nadie sabe cuál está vigente.
¿Quién es responsable de la biblioteca de respuestas?
Una persona, normalmente quien coordina los cuestionarios, con los especialistas como revisores de sus propias áreas. La propiedad compartida significa que nadie es responsable, y la biblioteca queda desactualizada en dos trimestres.
¿Con qué frecuencia deben revisarse las respuestas?
En una fecha, no por intuición. Certificados e informes de prueba en su fecha de caducidad; número de empleados y herramientas dos veces al año; políticas cuando cambie la política. La biblioteca debe indicarle qué vence, no al revés.