La situación
Una empresa SaaS con unos cientos de clientes recibe un cuestionario de seguridad en la mayoría de las nuevas operaciones con grandes empresas y en muchas renovaciones: la propia hoja de cálculo del cliente, un SIG Lite de un banco, un CAIQ de un comprador con experiencia en la nube, la sección de privacidad de un organismo público. Cada uno aparta durante días a las mismas personas de su trabajo, las respuestas empiezan a diferir entre clientes y el equipo de ventas aprende a temer la frase "nuestro equipo de seguridad tiene algunas preguntas".
Qué cambia con una biblioteca
Lo primero es dejar de responder cuestionarios y empezar a responder a hechos. Cada respuesta aprobada, cada política y cada certificado van a una sola base de conocimiento con un responsable y una fecha. Los cuestionarios completados se vuelven a importar. El primer mes es el trabajo; después, la mayoría de las filas de cualquier cuestionario nuevo ya tienen una respuesta.
Un cuestionario, de principio a fin
El archivo Excel del cliente se importa tal como está: la herramienta encuentra las columnas de preguntas y respuestas en cada hoja. En cuestión de minutos, cada pregunta tiene un borrador de respuesta creado a partir de la biblioteca, con las fuentes que utilizó y una puntuación de confianza. El coordinador lee los borradores por orden de confianza: los de nivel alto se aprueban en lotes tras un vistazo, los de nivel medio se leen, y los de nivel bajo y los que no tienen fuente se asignan al compañero que sabe del tema. El responsable de infraestructura recibe once preguntas, el departamento legal recibe cuatro, todos responden en el mismo lugar y el coordinador ve cómo se va completando el cuestionario. La evidencia se adjunta desde la biblioteca cuando una fila la solicita. El archivo terminado se exporta con las columnas del cliente rellenadas, y las respuestas aprobadas vuelven a la biblioteca.
Lo que ve el equipo de ventas
Una fecha que puedan prometer. Un cuestionario que antes era "dos semanas, quizá" pasa a ser "el jueves". Las respuestas que recibe un cliente son coherentes con las respuestas que recibió el cliente anterior, algo importante cuando los clientes hablan entre sí y cuando el mismo revisor ve dos de sus cuestionarios.
Lo que ve el responsable de seguridad
Las preguntas que siguen apareciendo sin respuesta, que son la lista de políticas que conviene redactar a continuación. Los controles que la biblioteca cubre frente a ISO 27001 y SOC 2, y los que no. Qué certificados e informes de prueba están a punto de vencer. Las horas ahorradas, calculadas a partir de los cuestionarios realmente completados. Y un equipo que responde cuestionarios sin ellos.
Por dónde empezar
Lleve a una demo el último cuestionario que respondió manualmente y vea cómo se redacta el borrador a partir de sus propios documentos. Reserve una, o lea primero el ejemplo desarrollado.