La forma de una respuesta que se acepta
Cada respuesta a continuación hace cuatro cosas en pocas frases: nombra el control, nombra quién es su responsable, dice con qué frecuencia ocurre y dice dónde está la evidencia. Las versiones débiles hacen lo contrario: tranquilizan. A los revisores se les paga para no dejarse convencer por garantías.
Control de acceso
Pregunta: ¿Cómo se conceden, revisan y revocan los derechos de acceso de los usuarios?
Débil: Seguimos el principio de privilegio mínimo y el acceso se controla estrictamente.
Mejor: El acceso se solicita mediante un ticket y lo aprueba el propietario del sistema; las cuentas se crean solo con los permisos predeterminados del rol. El responsable de TI revisa todos los derechos de acceso trimestralmente frente a la lista de RR. HH., y la revisión se registra en el sistema de tickets. El acceso se revoca el último día laborable como parte de la lista de verificación de bajas de RR. HH. La política de control de acceso está adjunta.
Cifrado
Pregunta: ¿Los datos del cliente están cifrados en reposo y en tránsito?
Débil: Sí, usamos cifrado estándar del sector.
Mejor: En tránsito, todas las conexiones usan TLS 1.2 o posterior; los protocolos anteriores están deshabilitados en el balanceador de carga. En reposo, las bases de datos y las copias de seguridad están cifradas con AES-256 mediante claves gestionadas por el servicio de claves del proveedor de alojamiento; las claves se rotan anualmente. Los portátiles tienen cifrado de disco completo y se gestionan de forma centralizada.
Copias de seguridad
Pregunta: ¿Con qué frecuencia se realizan y se prueban las copias de seguridad?
Débil: Se realizan copias de seguridad con regularidad y se pueden restaurar si es necesario.
Mejor: Se hacen copias de seguridad de las bases de datos cada hora con recuperación a un momento dado y se conservan durante 35 días; el almacenamiento de archivos se replica en dos regiones. El equipo de plataforma prueba trimestralmente una restauración completa en un entorno separado; la última prueba fue en junio y el registro está adjunto. El objetivo de punto de recuperación es de una hora, y el objetivo de tiempo de recuperación es de cuatro horas.
Respuesta a incidentes
Pregunta: ¿Tiene un plan de respuesta a incidentes y cuándo se ejercitó por última vez?
Débil: Contamos con un proceso integral de respuesta a incidentes.
Mejor: El plan de respuesta a incidentes es responsabilidad del responsable de ingeniería y define los niveles de gravedad, la rotación de guardia, la comunicación con los clientes en un plazo de 24 horas para incidentes que afecten a sus datos, y una revisión posterior al incidente en un plazo de cinco días laborables. Se ejercitó por última vez en una simulación de mesa en marzo con una filtración de credenciales simulada; los hallazgos se cerraron en abril. El plan está adjunto.
Gestión de vulnerabilidades
Pregunta: ¿Cómo identifican y corrigen las vulnerabilidades?
Poco sólida: Aplicamos parches con rapidez y supervisamos las vulnerabilidades.
Mejor: Las dependencias se analizan en cada compilación y las imágenes del sistema operativo, semanalmente; los hallazgos se clasifican por gravedad, con objetivos de corrección de 7 días para los críticos y 30 días para los altos. Se realiza una prueba de penetración externa cada año; se adjunta el resumen de marzo con todos los hallazgos cerrados. Las correcciones de seguridad se publican fuera del ciclo normal de versiones cuando es necesario.
Subencargados
Pregunta: ¿Qué terceros procesan datos de clientes?
Débil: Solo trabajamos con proveedores de confianza y conformes.
Mejor: Los datos de clientes son procesados por nuestro proveedor de alojamiento, región de la UE, nuestro proveedor de entrega de correo electrónico y nuestro proveedor de IA, cada uno con un acuerdo de tratamiento de datos. La lista actual, con ubicaciones y finalidades, está publicada en nuestro sitio web, y los clientes reciben aviso de los cambios con 30 días de antelación. Nuestro propio personal accede a los datos de producción solo mediante cuentas nominativas con registro de actividad.
Continuidad del negocio
Pregunta: ¿Cómo mantendría el servicio en caso de una interrupción importante?
Débil: Contamos con redundancia para garantizar una alta disponibilidad.
Mejor: El servicio se ejecuta en dos zonas de disponibilidad con conmutación por error automática; un fallo regional completo queda cubierto por las copias de seguridad y la infraestructura como código, con un tiempo de reconstrucción probado de cuatro horas. El plan de continuidad identifica a la persona responsable de tomar decisiones y la ruta de comunicación con el cliente. Último ejercicio en la prueba trimestral de restauración; resultado adjunto.
Personal y formación
Pregunta: ¿Los empleados reciben formación en seguridad?
Débil: Todo el personal recibe formación en concienciación sobre seguridad.
Mejor: Cada empleado completa la formación de concienciación en seguridad durante su primera semana y, después, una vez al año, con seguimiento de RR. HH.; la tasa actual de finalización es del 100 %. Además, los ingenieros completan formación anual en desarrollo seguro. Las simulaciones de phishing se realizan trimestralmente, y los resultados alimentan la siguiente formación.
Por qué funcionan
Cada respuesta mejor podría ser revisada por un revisor en cinco minutos, y un revisor que puede verificar una respuesta confía más en la siguiente. Las respuestas débiles no se pueden verificar en absoluto, por lo que generan una pregunta de seguimiento y, a lo largo de doscientas filas, una reputación. Responsemate redacta borradores de respuestas con la forma adecuada a partir de sus propias políticas y respuestas anteriores, con la fuente adjunta, de modo que la revisión consiste en comprobar hechos en lugar de escribir texto. Cómo funciona la redacción de borradores.
Preguntas que hacen las personas
¿Podemos reutilizar estos ejemplos?
Solo la estructura. Todos los datos que contienen son inventados. Una respuesta copiada de un sitio web es una afirmación que usted no puede respaldar, y los revisores hacen preguntas de seguimiento.
¿Qué extensión debe tener una respuesta?
De dos a cuatro frases para la mayoría de las preguntas. Lo suficiente para nombrar el control, el responsable, la frecuencia y la evidencia. Si es más larga, normalmente significa que la respuesta busca tranquilizar más que informar.