Empiece por escribir lo que ya hace
Una empresa de diez personas tiene más prácticas de seguridad que documentos de seguridad. Los portátiles están cifrados porque el sistema operativo lo hace; el acceso lo concede una persona que conoce a todos; las copias de seguridad se ejecutan porque las ejecuta el proveedor de alojamiento; el código se revisa porque dos personas miran cada cambio. Nada de esto está documentado, y un cuestionario pide exactamente eso. Dedique la primera mañana a escribir una página por área: quién tiene acceso a qué y cómo cambia, cómo llega el código a producción, dónde residen los datos y cómo se hacen sus copias de seguridad, qué ocurre si alguien pierde un portátil, qué ocurre si el servicio se cae. Frases sencillas, la realidad actual. Esa página es su política para el cuestionario, y la semilla de la real.
Apóyese en sus proveedores
La mayor parte de la seguridad de su infraestructura corresponde a su proveedor de alojamiento, y ellos han respondido públicamente a estas preguntas. Sus páginas de cumplimiento, sus cuestionarios publicados y sus certificaciones responden por usted a las preguntas sobre seguridad física, centro de datos, cifrado en reposo y disponibilidad. Cítelos por su nombre y añada una frase sobre lo que usted configura encima: qué región, qué ajuste de cifrado, quién conserva las claves. Lo mismo se aplica a sus proveedores de correo electrónico, pagos e identidad.
Diga lo que no tiene y cuándo lo tendrá
Usted tendrá brechas: aún no hay prueba de penetración, no hay plan formal de incidentes, no hay programa de formación en seguridad. La respuesta que mantiene vivo el acuerdo es específica: "No se ha realizado ninguna prueba de penetración externa; hay una programada para el cuarto trimestre con un proveedor identificado. Las dependencias se escanean en cada compilación". Los revisores de clientes grandes tienen un proceso para aceptar proveedores con brechas y un plan. No tienen uno para proveedores que afirmaron no tener brechas y fueron descubiertos.
Conserve el primer cuestionario, es su biblioteca
Las 180 respuestas que usted escribe esta semana son la mayoría de las respuestas para el siguiente cuestionario, y para el que venga después. Guárdelas en un lugar mejor que el e-mail enviado: un único lugar, con la fecha y una nota de quién confirmó cada una. Cuando algo cambie, usted contrate personal, se traslade de región o complete la prueba, actualice la única respuesta a la que afecta. El segundo cuestionario lleva un día en lugar de una semana, y el tercero lleva una tarde.
Obtenga los tres documentos que desbloquean la mayoría de los acuerdos
Si este año escribe solo tres documentos, escriba la política de seguridad de la información (los documentos de una página anteriores, ordenados en un único documento con un responsable y una fecha de revisión), el plan de respuesta a incidentes (quién decide, quién informa a los clientes, en qué plazo) y la lista de subencargados con una plantilla de acuerdo de tratamiento de datos. Esos tres responden a las preguntas que con más frecuencia bloquean las compras.
Cuándo llega el momento de usar una herramienta
Cuando los cuestionarios llegan más rápido de lo que una persona puede responder de memoria, una herramienta creada para ello convierte la biblioteca en borradores y mantiene las fechas. Responsemate lo usan equipos pequeños exactamente para esto: importar el archivo del cliente, redactar cada respuesta a partir de los documentos de una página y del último cuestionario, revisar las que marca como inciertas, exportar en el formato del cliente y guardar todo para el siguiente. Cómo lo usa un proveedor pequeño.
Preguntas que hacen las personas
¿Necesitamos ISO 27001 para vender a grandes clientes?
Normalmente no, pero usted debe responder bien a su cuestionario. Muchos clientes aceptan a un proveedor pequeño sin certificación si las respuestas son específicas, honestas y están respaldadas por los pocos documentos que importan. El certificado empieza a justificar su coste cuando los cuestionarios empiezan a llegar cada semana.
¿Qué ocurre si respondemos "no" a muchas preguntas?
Responda "no" y explique qué hace en su lugar, o cuándo tiene previsto hacerlo. Un revisor preferirá ver quince brechas honestas con fechas que quince síes vagos. Los síes vagos son los que más tarde hacen fallar las auditorías.