El SIG
El cuestionario Standardized Information Gathering lo mantiene Shared Assessments y es el que más envían bancos, aseguradoras y grandes empresas. Viene en dos tamaños. El SIG Core es la biblioteca completa, con varios cientos de preguntas repartidas en unos veinte dominios: control de acceso, gestión de activos, seguridad de aplicaciones, resiliencia empresarial, nube, cumplimiento, protección de datos, recursos humanos, gestión de incidentes, seguridad de red, seguridad física, privacidad, gestión de proveedores, gestión de amenazas. El SIG Lite es un subconjunto de unas cien preguntas utilizado para proveedores de menor riesgo y primeras evaluaciones.
Las preguntas son sí, no o no aplica, con una columna de comentario. El valor está en el comentario. Un simple sí a "¿Se revisan periódicamente los derechos de acceso?" no le dice nada a la persona revisora; "Trimestralmente, por el responsable de TI, resultados en el sistema de tickets" se lo dice todo.
El CAIQ
El Consensus Assessment Initiative Questionnaire proviene de Cloud Security Alliance y se mapea con su Cloud Controls Matrix. Es el cuestionario que reciben los proveedores de nube y SaaS, y su estructura sigue los dominios de la matriz de controles: seguridad de aplicaciones e interfaces, aseguramiento de auditoría, continuidad del negocio, control de cambios, seguridad de datos, cifrado y gestión de claves, gobernanza, identidad y acceso, seguridad de infraestructura, registro y monitoreo, cadena de suministro, gestión de amenazas y vulnerabilidades.
Como está diseñado para la responsabilidad compartida, muchas filas las responde en parte su proveedor de alojamiento. Los principales proveedores publican su propio CAIQ completado; citar la fila correcta es la forma aceptada de responder a esas preguntas, junto con una frase sobre lo que usted hace además.
El DDQ
Un cuestionario de diligencia debida es lo que el equipo de compras o de riesgos de un cliente envía antes de firmar, y abarca más que la seguridad. Espere secciones sobre la empresa, propiedad, años en activo, personas clave, finanzas y seguros, situación legal y regulatoria, continuidad del negocio, protección de datos y privacidad, y después una sección de seguridad que suele ser un SIG o CAIQ abreviado. Las instituciones financieras y los organismos públicos envían los más largos. La sección de seguridad es donde se aplica su biblioteca de respuestas, el resto se responde una vez y cambia rara vez.
Lo que comparten
Aproximadamente dos tercios de las preguntas de seguridad en cualquiera de los tres preguntan lo mismo con palabras distintas: cómo controla el acceso, cómo protege los datos en reposo y en tránsito, cómo desarrolla y cambia el software, cómo detecta y corrige vulnerabilidades, cómo gestiona incidentes, cómo mantiene el servicio en funcionamiento, quiénes son sus proveedores y cómo forma a las personas. La redacción cambia, la numeración cambia, el formato de sí/no/comentario cambia. Los hechos no.
Ese es el caso de una biblioteca de respuestas con una respuesta aprobada por cada hecho, escrita con una voz neutral, a partir de la cual se redactan las filas de cada cuestionario. La alternativa, un SIG completado aquí y un CAIQ completado allí, se desvía en dos trimestres: el SIG dice que las copias de seguridad se prueban mensualmente, el CAIQ dice que trimestralmente, y un revisor que tiene ambos pregunta cuál es la verdad.
Cómo responder a los tres desde un solo lugar
Conserve los hechos, no los cuestionarios. Para cada control, una respuesta aprobada con su responsable, su evidencia y una fecha. Cuando llega un SIG, redacte cada fila desde esa biblioteca, revise las que la biblioteca solo cubre a medias y exporte al propio archivo del SIG. Cuando llega el CAIQ, la misma biblioteca lo responde con las palabras del CAIQ. Conocimiento en Responsemate es donde vive esa biblioteca, con la evidencia y la fecha en cada entrada, y las preguntas para las que nunca ha escrito una respuesta aparecen como las filas que la IA no puede redactar.
Preguntas que hacen las personas
¿Tenemos que completar el SIG si lo envía el cliente?
Normalmente, sí, pero puede enviar el SIG Lite o su propio SIG completado previamente este año si el cliente lo acepta, y muchos lo hacen. Pregunte antes de empezar; un cliente que acepta su último SIG completado ahorra una semana a ambas partes.
¿El CAIQ es solo para proveedores de nube?
Se escribió para servicios en la nube, pero cualquier empresa SaaS lo recibe, porque para el cliente usted es un servicio en la nube. Si aloja en un proveedor importante, parte del CAIQ describe sus controles, y el propio CAIQ publicado por ese proveedor es su evidencia para esas filas.
¿Cuál es la diferencia entre un DDQ y un cuestionario de seguridad?
Un DDQ es más amplio. Pregunta sobre la empresa (propiedad, finanzas, seguros, continuidad del negocio), además de sobre seguridad. La sección de seguridad de un DDQ suele ser una versión abreviada de un SIG o CAIQ.