Qué es un cuestionario de seguridad y cómo se responde sin improvisar

Un cuestionario de seguridad es el instrumento con que una empresa evalúa el riesgo que asume al contratar a un proveedor. Puede llegar como una planilla de cuarenta preguntas, como un anexo de una licitación o como un formulario web de la plataforma de compras del cliente. El formato cambia; el propósito no.

Para muchas medianas empresas chilenas es el primer momento en que la ciberseguridad deja de ser una preocupación abstracta y se convierte en un requisito con fecha de entrega. No llega por un ataque: llega porque un cliente creció, se reguló, o fue auditado y ahora traslada esa exigencia hacia abajo.

Qué preguntan realmente

Las preguntas varían, pero casi siempre cubren los mismos bloques: cómo se controlan los accesos, si hay autenticación multifactor, con qué frecuencia se aplican parches, si existen respaldos y si se ha probado restaurarlos, qué pasa ante un incidente y en cuánto tiempo se avisa, cómo se tratan los datos personales, y qué subcontratistas participan.

Lo que el cliente evalúa no es solo el contenido de la respuesta. Evalúa si la respuesta es consistente, si está respaldada por algo escrito y si quien responde parece saber de qué habla. Un formulario impecable que no se puede acreditar con evidencia es peor que uno honesto que reconoce una brecha con un plan y una fecha.

El error de responderlo a última hora

El patrón habitual es que el cuestionario llega con plazo corto y alguien de TI lo completa de memoria en dos tardes. Aparecen respuestas en blanco, respuestas optimistas que nadie verificó y compromisos que la empresa no está en condiciones de cumplir.

Ese último punto es el más caro. Un cuestionario firmado es una declaración con efecto contractual: si dices que notificas incidentes en veinticuatro horas, acabas de asumir esa obligación. Y si tu propio proveedor de nube no está obligado a avisarte en ningún plazo, acabas de prometer algo que no controlas.

Cómo se prepara la respuesta

La preparación útil es al revés de como suele hacerse: no se empieza por el formulario, se empieza por el inventario. Qué sistemas y datos hay, quién tiene acceso, qué controles existen de verdad y qué proveedores participan en la cadena. Con eso, la mayoría de las preguntas ya tiene respuesta.

Después conviene armar un repositorio de evidencia reutilizable: políticas escritas, registros de que los controles se aplican, resultados de pruebas de restauración, constancias de capacitación, el procedimiento de respuesta a incidentes. El primer cuestionario cuesta semanas; el segundo, si ese repositorio existe, cuesta horas.

Y donde haya una brecha, lo correcto es declararla con un plan y un plazo. Los clientes corporativos evalúan proveedores todo el tiempo y distinguen bien entre una empresa que sabe dónde está parada y una que responde lo que cree que quieren escuchar.

Cómo se conecta con la norma chilena

El artículo 15 bis de la Ley 21.719 hace responsable al mandante por el tratamiento que realizan sus encargados, y por eso los clientes grandes están obligados a mirar hacia abajo en su cadena. El cuestionario es el mecanismo con el que cumplen esa obligación.

Por el lado de la Ley 21.663, la ANCI usa la dependencia de la cadena de suministro como criterio, y los Operadores de Importancia Vital trasladan requisitos a sus proveedores. En la práctica esto significa que el cuestionario que recibes hoy tiende a volverse más exigente cada año, no menos.

Preguntas frecuentes

¿Puedo negarme a responder un cuestionario de seguridad?

Puedes, pero normalmente equivale a salir del proceso. Para el cliente, un proveedor que no responde es un riesgo que no puede dimensionar, y ante la duda prefiere a quien sí lo hizo. Es más útil responder con honestidad y un plan que evitar la conversación.

¿Sirve tener ISO 27001 para responderlos?

Ayuda mucho y a veces reemplaza secciones completas, pero rara vez el cuestionario entero: muchos clientes preguntan por controles específicos de su relación contigo que no están en el alcance de tu certificado. Conviene revisar qué alcance declara antes de asumir que cubre todo.

¿Cada cliente tiene su propio cuestionario?

En general sí, y no hay un formato único en Chile. Por eso el repositorio de evidencia rinde tanto: el ochenta por ciento de las preguntas se repite entre clientes aunque el formulario cambie, así que se responde una vez y se reutiliza.