Los documentos que más solicitan los revisores
En la mayoría de los cuestionarios se repiten las mismas solicitudes, aproximadamente en este orden de frecuencia:
- La política de seguridad de la información y las políticas a las que remite: control de acceso, uso aceptable, clasificación de datos, respuesta a incidentes, continuidad del negocio, gestión de proveedores.
- Un certificado o una atestación vigente, si dispone de ello: ISO 27001, SOC 2 Type II, ISAE 3000, Cyber Essentials, o el de su proveedor de alojamiento.
- El resumen de la prueba de penetración más reciente, con la fecha, el alcance y el estado de los hallazgos. El resumen, no el informe completo, salvo que se solicite.
- El plan de continuidad del negocio o recuperación ante desastres, y evidencia de que se probó: la fecha y el resultado del último ejercicio.
- El acuerdo de tratamiento de datos y la lista de subencargados del tratamiento.
- Prueba de seguro cibernético: el certificado con la cobertura y el vencimiento.
- Un organigrama o un contacto de seguridad identificado por su nombre.
- Para SaaS: la visión general de la arquitectura, el flujo de datos y dónde se almacenan los datos.
Tenga estos ocho preparados y con nombre, y la mayoría de los cuestionarios no necesitarán nada más.
Qué demuestra cada uno
Los revisores no leen la evidencia por placer, la leen para verificar una afirmación. Haga coincidir el documento con la afirmación. Un certificado demuestra que un auditor comprobó el alcance en una fecha. Una política demuestra que la regla existe y quién es su responsable. Un resumen de pruebas demuestra que alguien buscó vulnerabilidades y qué ocurrió con las que encontró. Un informe de ejercicio completado demuestra que el plan de continuidad es más que un documento. Una respuesta que dice "probamos las copias de seguridad trimestralmente" y adjunta el registro de pruebas del trimestre pasado está completa, la misma respuesta con la política de copias de seguridad adjunta invita a la pregunta de seguimiento "pero, ¿las prueban?".
Ponga nombre y fecha a todo
Una persona revisora que abre "policy_final_v3 (2).pdf" no aprende nada del nombre. Nombre los archivos por lo que son y por la fecha: "Access control policy, reviewed 2026-05.pdf", "Penetration test summary, 2026-03, external.pdf". Incluya también la fecha de la última revisión dentro del documento; el nombre del archivo se pierde cuando el cliente lo copia en su propio sistema.
Adjunte donde se solicita, no en todas partes
Adjunte un documento a la pregunta que lo solicita y haga referencia a él por su nombre desde preguntas relacionadas ("vea la política de control de acceso adjunta a la pregunta 4.2"). Adjuntar el conjunto completo de políticas a cada hoja oculta el documento que el revisor necesitaba y duplica el tamaño del archivo que usted devuelve.
Resúmenes de material sensible
Algunos documentos ayudan a un atacante tanto como a un revisor: diagramas de red con direcciones, el informe completo de la prueba de penetración con pasos de reproducción, runbooks internos con nombres de sistemas. Para esos casos, adjunte un resumen que proporcione al revisor lo que necesita, alcance, fecha, categorías de hallazgos, estado de la remediación, y ofrezca el documento completo en una llamada o en una sala de datos. La mayoría de los revisores lo aceptan sin objeciones, porque su propio equipo de seguridad diría lo mismo.
Mantenga la evidencia al día, con una fecha
La evidencia envejece según un calendario que usted conoce de antemano: el certificado vence, la prueba toca, el seguro se renueva, la política tiene una revisión anual. Ponga esas fechas en los documentos de su biblioteca de respuestas y deje que algo le avise antes de que lo haga un cliente. Enviar un certificado vencido es el fallo evitable más común en los cuestionarios, y es totalmente evitable.
En Responsemate
Los archivos de la base de conocimiento tienen una fecha de caducidad y un estado de vigencia, una comprobación nocturna marca lo que ha envejecido, y la evidencia puede adjuntarse a una respuesta de cuestionario desde la biblioteca con un clic, o el asistente de IA puede encontrarla por usted cuando una pregunta la solicita. Cómo funcionan los archivos y la evidencia.
Preguntas que hacen las personas
¿Debemos enviar nuestras políticas completas a un cliente?
Normalmente la propia política, sí, bajo la confidencialidad que ya ampara al cuestionario. Es mejor resumir los procedimientos internos con nombres de sistemas y detalles de red. Si un documento ayudaría más a un atacante que a un revisor, envíe un resumen y ofrezca la versión completa en una llamada.
¿Qué ocurre si no tenemos una prueba de penetración?
Dígalo, indique cuándo está planificada la próxima y describa qué hace en su lugar, análisis de vulnerabilidades, revisión de código o un programa de recompensas por errores. Un revisor prefiere saberlo antes que recibir un informe de análisis etiquetado como prueba.
¿Qué antigüedad puede tener la evidencia?
Un certificado es válido hasta su fecha de vencimiento. Una prueba de penetración de hace más de un año suele generar preguntas. Las políticas deben mostrar una revisión dentro del año. Si un documento es más antiguo, adjúntelo con una nota sobre cuándo se revisará la próxima vez.