\u00bfQu\u00e9 mide realmente un cuestionario de seguridad a proveedores?<\/h2>\n
Un cuestionario de seguridad a proveedores es el instrumento con el que una organizaci\u00f3n eval\u00faa, antes de contratar, qu\u00e9 riesgo incorpora al conectar a un tercero con sus datos, sus identidades y sus sistemas. Esa es la intenci\u00f3n declarada.<\/p>\n
En la pr\u00e1ctica, el formato est\u00e1ndar mide la madurez documental, que se correlaciona con el tama\u00f1o del proveedor mucho m\u00e1s que con su postura de seguridad. Un proveedor grande con un equipo de cumplimiento dedicado responde cualquier cuestionario con excelencia, tenga o no controles efectivos detr\u00e1s. Uno chico con ingenier\u00eda impecable puede quedar mal parado porque le falta el documento que formaliza lo que ya hace.<\/p>\n
La distinci\u00f3n \u00fatil, cuando est\u00e1s del lado que eval\u00faa, es separar tres planos. Lo que el proveedor declara<\/strong> (una casilla marcada). Lo que puede probar<\/strong> si se lo pides (un certificado, un contrato). Y lo que puedes verificar por tu cuenta<\/strong>. El cuestionario tradicional se agota en el primer plano, y ah\u00ed pierde casi todo su valor.<\/p>\n Las certificaciones son necesarias y no hay raz\u00f3n para trabajar con un proveedor que no tenga ninguna. El problema aparece cuando la conversaci\u00f3n termina en el logo.<\/p>\n Lo que decide si una certificaci\u00f3n te sirve es su alcance. Un certificado tiene un per\u00edmetro declarado, y ese per\u00edmetro puede cubrir la plataforma productiva completa o solo la oficina corporativa y los procesos administrativos. Las dos cosas se ven id\u00e9nticas en un logotipo. Preguntar qu\u00e9 qued\u00f3 dentro del alcance, qu\u00e9 qued\u00f3 fuera y en qu\u00e9 fecha se emiti\u00f3 separa una de otra en un minuto.<\/p>\n Lo mismo vale para el modelo de servicio. Si el proveedor corre sobre infraestructura de un tercero, una parte de los controles que le est\u00e1s preguntando no son suyos. La respuesta honesta a \u201c\u00bfc\u00f3mo controlas el acceso f\u00edsico a tu centro de datos?\u201d muchas veces es que ese control lo cumple el proveedor de nube y se acredita con su propia certificaci\u00f3n. Presionar por una respuesta propia ah\u00ed solo consigue una respuesta peor.<\/p>\n Del lado nuestro, los sellos que sostenemos y su alcance est\u00e1n publicados y son verificables<\/a>, incluida la cualificaci\u00f3n del Centro Criptol\u00f3gico Nacional para el manejo de informaci\u00f3n sensible en el Esquema Nacional de Seguridad. Que est\u00e9n publicados tambi\u00e9n es informaci\u00f3n. Si tienes que pedirlos por correo para saber cu\u00e1les son, ya aprendiste algo.<\/p>\n Estas son las cinco que, cuando nos llegan, nos obligan a mostrar c\u00f3mo est\u00e1 construida la plataforma. Ninguna se responde con un documento gen\u00e9rico.<\/p>\n Las cinco preguntan c\u00f3mo se comporta un control en un caso concreto, en lugar de si el control existe. Conviene armar el resto de la evaluaci\u00f3n con esa misma l\u00f3gica, que encaja con el marco de decisi\u00f3n para elegir plataforma<\/a>.<\/p>\n La prueba de concepto o el per\u00edodo de evaluaci\u00f3n son el mejor momento para verificar, y casi nadie los usa para eso. Estas cuatro comprobaciones caben en una tarde:<\/p>\n Pide la demostraci\u00f3n en vivo.<\/strong> Da de alta un usuario de prueba, rev\u00f3calo y pide ver el registro de auditor\u00eda de esas dos acciones. Si el registro muestra qui\u00e9n lo hizo, cu\u00e1ndo y desde d\u00f3nde, la respuesta del cuestionario era cierta.<\/p>\n Busca el listado de subencargados sin preguntar.<\/strong> Si es una p\u00e1gina p\u00fablica que el proveedor mantiene, hay un proceso detr\u00e1s. Si te lo tienen que armar, ese proceso todav\u00eda no existe.<\/p>\n F\u00edjate si el estado del servicio es p\u00fablico.<\/strong> Una p\u00e1gina de estado accesible sin credenciales dice m\u00e1s sobre la cultura operativa de un proveedor que tres p\u00e1rrafos sobre su plan de continuidad.<\/p>\n Pide el acuerdo de tratamiento de datos antes de firmar.<\/strong> Leerlo con tiempo cambia la negociaci\u00f3n. Leerlo despu\u00e9s solo sirve para saber qu\u00e9 aceptaste.<\/p>\n Hay tres familias que ocupan la mitad del archivo y no producen ninguna se\u00f1al.<\/p>\n Las de s\u00ed o no sin evidencia asociada. \u201c\u00bfCuenta con antivirus?\u201d, \u201c\u00bftiene pol\u00edtica de contrase\u00f1as?\u201d. Nadie responde que no, as\u00ed que la pregunta no discrimina entre dos candidatos y solo suma filas.<\/p>\n Las que piden pol\u00edticas internas completas. Recibir el documento entero de gesti\u00f3n de accesos de un proveedor genera volumen para leer y muy poca informaci\u00f3n sobre si esa pol\u00edtica se aplica. Es preferible pedir un caso: c\u00f3mo se ejecut\u00f3 la \u00faltima baja de un administrador.<\/p>\n Y las que ignoran el modelo de servicio, como el caso del centro de datos que mencion\u00e9 arriba, producen respuestas formalmente correctas y materialmente vac\u00edas.<\/p>\n Si recortas esas tres familias, el cuestionario baja a treinta o cuarenta preguntas y empieza a servir para comparar candidatos.<\/p>\n Contesto las mismas cinco, porque pedirlas sin responderlas ser\u00eda inc\u00f3modo.<\/p>\n El alcance de los sellos<\/strong> est\u00e1 publicado en la p\u00e1gina que enlac\u00e9 arriba, con el detalle de qu\u00e9 cubre cada uno.<\/p>\n Sobre qui\u00e9n ve los datos y qu\u00e9 queda registrado<\/strong>, la plataforma mantiene un sistema de protecci\u00f3n de logs de auditor\u00eda<\/a> que registra las acciones de los usuarios finales, las de los usuarios administrativos y las del propio sistema, con registros que no se pueden borrar ni ocultar. Un registro que el proveedor puede editar no sirve como evidencia, y esa distinci\u00f3n vuelve auditable el acceso de soporte. D\u00f3nde est\u00e1 el l\u00edmite con la vigilancia sobre el colaborador lo tratamos aparte, en monitoreo y expectativa de privacidad<\/a>.<\/p>\n Sobre la revocaci\u00f3n de accesos<\/strong>, la clave es no depender de una carga manual. La autenticaci\u00f3n se delega en el proveedor de identidad de la organizaci\u00f3n mediante SAML 2.0 y el padr\u00f3n se mantiene alineado por directorio, as\u00ed que la baja del colaborador en el sistema corporativo cierra su acceso. El flujo completo est\u00e1 en c\u00f3mo funciona la integraci\u00f3n SSO de punta a punta<\/a>, y por qu\u00e9 nos conectamos con interfaces est\u00e1ndar en lugar de instalar componentes en el entorno del cliente, en por qu\u00e9 integramos por API y no por agente<\/a>.<\/p>\n Sobre datos al terminar el contrato y subencargados<\/strong>, ambos viven en el centro de RGPD<\/a>, con el acuerdo de procesamiento de datos y una pol\u00edtica de subprocesadores p\u00fablica. El estado del servicio tambi\u00e9n se consulta sin credenciales.<\/p>\n Ninguna de estas respuestas es ex\u00f3tica. Cualquier proveedor deber\u00eda poder darlas sin preparar nada, y por eso funcionan como filtro.<\/p>\n \u00bfQu\u00e9 es un cuestionario de seguridad a proveedores?<\/strong> \u00bfCu\u00e1ntas preguntas deber\u00eda tener?<\/strong> \u00bfUna certificaci\u00f3n reemplaza al cuestionario?<\/strong> \u00bfQu\u00e9 es un subencargado del tratamiento y por qu\u00e9 importa?<\/strong> \u00bfCu\u00e1l es el mejor momento para verificar lo que respondi\u00f3 el proveedor?<\/strong> Si est\u00e1s evaluando una plataforma de concientizaci\u00f3n y quieres empezar por las respuestas antes que por la demostraci\u00f3n de producto, el centro de RGPD<\/a> y la p\u00e1gina de sellos<\/a> est\u00e1n abiertos. Al final la prueba m\u00e1s simple es esa, que el material est\u00e9 disponible antes de que lo pidas.<\/p>\n","protected":false},"excerpt":{"rendered":" Qu\u00e9 mide un cuestionario de seguridad a proveedores, por qu\u00e9 las certificaciones responden menos de lo que parece y las cinco preguntas que s\u00ed discriminan.<\/p>\n","protected":false},"author":4,"featured_media":44232,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[3,198],"tags":[1953,189,1348,1350,1688],"class_list":["post-44236","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blog","tag-analisis-de-riesgos-es-ar","tag-ciso-es-ar","tag-cumplimiento-normativo-es-ar","tag-gdpr-es-ar","tag-plataforma-es-ar"],"acf":[],"yoast_head":" \n\u00bfPor qu\u00e9 una certificaci\u00f3n responde menos de lo que parece?<\/h2>\n
\u00bfQu\u00e9 cinco preguntas separan a un proveedor de otro?<\/h2>\n
\n
![\"Unas](\"https:\/\/smartfense.com\/file\/2026\/07\/apoyo-01-1785519094.jpg\")
<\/p>\n\u00bfC\u00f3mo verificas una respuesta sin creer en la palabra del proveedor?<\/h2>\n
\u00bfQu\u00e9 preguntas del cuestionario no aportan nada?<\/h2>\n
\u00bfC\u00f3mo respondemos nosotros esas cinco preguntas?<\/h2>\n
Preguntas frecuentes<\/h2>\n
\nEs el instrumento con el que una organizaci\u00f3n eval\u00faa, antes de contratar, qu\u00e9 riesgo incorpora al conectar a un tercero con sus datos, sus identidades y sus sistemas. Forma parte de la gesti\u00f3n de riesgo de terceros.<\/p>\n
\nMenos de las que suele tener. Treinta o cuarenta preguntas que piden evidencia de casos concretos discriminan mejor entre candidatos que doscientas casillas de s\u00ed o no, y se pueden revisar de verdad.<\/p>\n
\nNo, porque lo que determina su utilidad es el alcance. Dos certificados con el mismo logotipo pueden cubrir per\u00edmetros muy distintos, as\u00ed que conviene preguntar qu\u00e9 qued\u00f3 dentro, qu\u00e9 qued\u00f3 fuera y en qu\u00e9 fecha se emiti\u00f3.<\/p>\n
\nEs un tercero que tu proveedor contrata y que tambi\u00e9n procesa datos personales tuyos, como la infraestructura de nube o un servicio de correo. Importa porque al contratar al proveedor aceptas su cadena completa, y deber\u00edas poder consultar el listado y recibir aviso cuando cambia.<\/p>\n
\nEl per\u00edodo de prueba. Es cuando puedes dar de alta un usuario, revocarlo y pedir el registro de auditor\u00eda de esas acciones, que es una comprobaci\u00f3n directa de varias respuestas del cuestionario a la vez.<\/p>\n