Un par de veces por mes me llega el mismo archivo. Una hoja de cálculo, entre 150 y 300 filas, tres columnas: pregunta, sí o no, comentario. Es el cuestionario de seguridad que el área de compras o el equipo de seguridad de un cliente envía antes de firmar. Lo respondemos en una jornada, a veces en menos, y casi siempre con documentación que ya estaba escrita.
Eso debería preocupar a quien lo envía. Si un proveedor completa doscientas preguntas de seguridad en un día sin despeinarse, lo que ese cuestionario midió fue su capacidad de tener los papeles ordenados. El riesgo que la organización quería evaluar quedó intacto.
Dirijo el equipo de ingeniería de SMARTFENSE y firmo esas respuestas, así que veo con bastante claridad cuáles preguntas nos obligan a mostrar algo real y cuáles se contestan con un PDF. El informe DBIR 2026 de Verizon ubica las vulnerabilidades de software como el punto de partida del 31% de las brechas, por encima de las credenciales robadas. Cada plataforma que sumas a tu organización es software de otro que corre sobre datos tuyos, y el cuestionario es el único momento del proceso de compra en el que puedes mirar adentro.
¿Qué mide realmente un cuestionario de seguridad a proveedores?
Un cuestionario de seguridad a proveedores es el instrumento con el que una organización evalúa, antes de contratar, qué riesgo incorpora al conectar a un tercero con sus datos, sus identidades y sus sistemas. Esa es la intención declarada.
En la práctica, el formato estándar mide la madurez documental, que se correlaciona con el tamaño del proveedor mucho más que con su postura de seguridad. Un proveedor grande con un equipo de cumplimiento dedicado responde cualquier cuestionario con excelencia, tenga o no controles efectivos detrás. Uno chico con ingeniería impecable puede quedar mal parado porque le falta el documento que formaliza lo que ya hace.
La distinción útil, cuando estás del lado que evalúa, es separar tres planos. Lo que el proveedor declara (una casilla marcada). Lo que puede probar si se lo pides (un certificado, un contrato). Y lo que puedes verificar por tu cuenta. El cuestionario tradicional se agota en el primer plano, y ahí pierde casi todo su valor.
¿Por qué una certificación responde menos de lo que parece?
Las certificaciones son necesarias y no hay razón para trabajar con un proveedor que no tenga ninguna. El problema aparece cuando la conversación termina en el logo.
Lo que decide si una certificación te sirve es su alcance. Un certificado tiene un perímetro declarado, y ese perímetro puede cubrir la plataforma productiva completa o solo la oficina corporativa y los procesos administrativos. Las dos cosas se ven idénticas en un logotipo. Preguntar qué quedó dentro del alcance, qué quedó fuera y en qué fecha se emitió separa una de otra en un minuto.
Lo mismo vale para el modelo de servicio. Si el proveedor corre sobre infraestructura de un tercero, una parte de los controles que le estás preguntando no son suyos. La respuesta honesta a “¿cómo controlas el acceso físico a tu centro de datos?” muchas veces es que ese control lo cumple el proveedor de nube y se acredita con su propia certificación. Presionar por una respuesta propia ahí solo consigue una respuesta peor.
Del lado nuestro, los sellos que sostenemos y su alcance están publicados y son verificables, incluida la cualificación del Centro Criptológico Nacional para el manejo de información sensible en el Esquema Nacional de Seguridad. Que estén publicados también es información. Si tienes que pedirlos por correo para saber cuáles son, ya aprendiste algo.
¿Qué cinco preguntas separan a un proveedor de otro?
Estas son las cinco que, cuando nos llegan, nos obligan a mostrar cómo está construida la plataforma. Ninguna se responde con un documento genérico.
- ¿Cuál es el alcance exacto de tu certificación y qué quedó afuera? Un proveedor que conoce su propio alcance lo dice de memoria. Uno que responde con el certificado adjunto y sin comentario probablemente no revisó su alcance.
- ¿Quién de tu equipo puede ver los datos de mis colaboradores y qué queda registrado cuando lo hace? El acceso de soporte existe en todas las plataformas. Lo que cambia entre una y otra es si esa entrada queda registrada de forma que el cliente pueda auditarla después.
- ¿Qué pasa con mis datos el día que termina el contrato? Hay que fijar el plazo de borrado, el formato de exportación, qué queda en las copias de respaldo y por cuánto tiempo. Es la pregunta que más se omite y la que más caro sale cuando llega el momento.
- ¿Cómo se revoca el acceso de una persona y en cuánto tiempo? Si la baja de un colaborador depende de que alguien la cargue a mano en la plataforma, tienes un hueco estructural. Si se propaga desde tu directorio corporativo, no lo tienes.
- ¿Quiénes son tus subencargados y cómo me entero cuando cambian? Tu proveedor tiene proveedores. Contratar el primero implica aceptar los que vienen detrás, así que el listado y el mecanismo de aviso son parte del acuerdo.
Las cinco preguntan cómo se comporta un control en un caso concreto, en lugar de si el control existe. Conviene armar el resto de la evaluación con esa misma lógica, que encaja con el marco de decisión para elegir plataforma.
¿Cómo verificas una respuesta sin creer en la palabra del proveedor?
La prueba de concepto o el período de evaluación son el mejor momento para verificar, y casi nadie los usa para eso. Estas cuatro comprobaciones caben en una tarde:
Pide la demostración en vivo. Da de alta un usuario de prueba, revócalo y pide ver el registro de auditoría de esas dos acciones. Si el registro muestra quién lo hizo, cuándo y desde dónde, la respuesta del cuestionario era cierta.
Busca el listado de subencargados sin preguntar. Si es una página pública que el proveedor mantiene, hay un proceso detrás. Si te lo tienen que armar, ese proceso todavía no existe.
Fíjate si el estado del servicio es público. Una página de estado accesible sin credenciales dice más sobre la cultura operativa de un proveedor que tres párrafos sobre su plan de continuidad.
Pide el acuerdo de tratamiento de datos antes de firmar. Leerlo con tiempo cambia la negociación. Leerlo después solo sirve para saber qué aceptaste.
¿Qué preguntas del cuestionario no aportan nada?
Hay tres familias que ocupan la mitad del archivo y no producen ninguna señal.
Las de sí o no sin evidencia asociada. “¿Cuenta con antivirus?”, “¿tiene política de contraseñas?”. Nadie responde que no, así que la pregunta no discrimina entre dos candidatos y solo suma filas.
Las que piden políticas internas completas. Recibir el documento entero de gestión de accesos de un proveedor genera volumen para leer y muy poca información sobre si esa política se aplica. Es preferible pedir un caso: cómo se ejecutó la última baja de un administrador.
Y las que ignoran el modelo de servicio, como el caso del centro de datos que mencioné arriba, producen respuestas formalmente correctas y materialmente vacías.
Si recortas esas tres familias, el cuestionario baja a treinta o cuarenta preguntas y empieza a servir para comparar candidatos.
¿Cómo respondemos nosotros esas cinco preguntas?
Contesto las mismas cinco, porque pedirlas sin responderlas sería incómodo.
El alcance de los sellos está publicado en la página que enlacé arriba, con el detalle de qué cubre cada uno.
Sobre quién ve los datos y qué queda registrado, la plataforma mantiene un sistema de protección de logs de auditoría que registra las acciones de los usuarios finales, las de los usuarios administrativos y las del propio sistema, con registros que no se pueden borrar ni ocultar. Un registro que el proveedor puede editar no sirve como evidencia, y esa distinción vuelve auditable el acceso de soporte. Dónde está el límite con la vigilancia sobre el colaborador lo tratamos aparte, en monitoreo y expectativa de privacidad.
Sobre la revocación de accesos, la clave es no depender de una carga manual. La autenticación se delega en el proveedor de identidad de la organización mediante SAML 2.0 y el padrón se mantiene alineado por directorio, así que la baja del colaborador en el sistema corporativo cierra su acceso. El flujo completo está en cómo funciona la integración SSO de punta a punta, y por qué nos conectamos con interfaces estándar en lugar de instalar componentes en el entorno del cliente, en por qué integramos por API y no por agente.
Sobre datos al terminar el contrato y subencargados, ambos viven en el centro de RGPD, con el acuerdo de procesamiento de datos y una política de subprocesadores pública. El estado del servicio también se consulta sin credenciales.
Ninguna de estas respuestas es exótica. Cualquier proveedor debería poder darlas sin preparar nada, y por eso funcionan como filtro.
Preguntas frecuentes
¿Qué es un cuestionario de seguridad a proveedores?
Es el instrumento con el que una organización evalúa, antes de contratar, qué riesgo incorpora al conectar a un tercero con sus datos, sus identidades y sus sistemas. Forma parte de la gestión de riesgo de terceros.
¿Cuántas preguntas debería tener?
Menos de las que suele tener. Treinta o cuarenta preguntas que piden evidencia de casos concretos discriminan mejor entre candidatos que doscientas casillas de sí o no, y se pueden revisar de verdad.
¿Una certificación reemplaza al cuestionario?
No, porque lo que determina su utilidad es el alcance. Dos certificados con el mismo logotipo pueden cubrir perímetros muy distintos, así que conviene preguntar qué quedó dentro, qué quedó fuera y en qué fecha se emitió.
¿Qué es un subencargado del tratamiento y por qué importa?
Es un tercero que tu proveedor contrata y que también procesa datos personales tuyos, como la infraestructura de nube o un servicio de correo. Importa porque al contratar al proveedor aceptas su cadena completa, y deberías poder consultar el listado y recibir aviso cuando cambia.
¿Cuál es el mejor momento para verificar lo que respondió el proveedor?
El período de prueba. Es cuando puedes dar de alta un usuario, revocarlo y pedir el registro de auditoría de esas acciones, que es una comprobación directa de varias respuestas del cuestionario a la vez.
Si estás evaluando una plataforma de concienciación y quieres empezar por las respuestas antes que por la demostración de producto, el centro de RGPD y la página de sellos están abiertos. Al final la prueba más simple es esa, que el material esté disponible antes de que lo pidas.
Deja una respuesta