El cuestionario contra la evidencia

En un cuestionario de seguridad el proveedor responde lo que quiere que se crea. Eso no lo hace mentiroso: lo hace parte interesada. La evidencia es lo que se puede verificar de forma independiente del que responde: un export del sistema con fecha, un informe de un tercero, una configuración. Cuando una respuesta y su evidencia no coinciden, manda la evidencia, y la diferencia es un hallazgo: no una opinión ni una sospecha. Se escribe con las dos piezas juntas, lo declarado y lo observado, y con la fecha de cada una.

Tesela respondió que todas sus cuentas administrativas tienen segundo factor. La evidencia que cita es el export de esas cuentas del 15 de febrero de 2027, agrupado por equipo. Una respuesta de «todas» no se acepta ni se rechaza por impresión: se cuenta. Compara las cuentas totales con las que tienen segundo factor, equipo por equipo.

Tesela respondió «sí, en todos» a si cifra en reposo sus repositorios. El cifrado en reposo es lo que protege el dato si alguien obtiene el almacenamiento sin pasar por los controles de acceso. Un hallazgo de cifrado no se evalúa solo por el estado, sino por lo que el repositorio contiene: un repositorio de documentación sin cifrar y uno con reclamaciones reales no pesan igual. Revisa el inventario y quédate con el que no está cifrado.

A la pregunta de si se hizo una prueba de intrusión independiente en los últimos doce meses, Tesela respondió «sí». El documento que cita tiene fecha de enero de 2025 y deja hallazgos de varias severidades. La política de Altamira pide una prueba de menos de doce meses y sin hallazgos críticos abiertos. Dos cosas se miran aquí: la antigüedad del documento y el estado de lo que encontró. Una prueba de hace más de dos años no responde a la pregunta, y un hallazgo crítico abierto no se perdona por antigüedad.

A la pregunta por subencargados Tesela respondió «ninguno», y a la de la ubicación de los datos, «solo en Colombia». La lista de subencargados que entregó dice otra cosa. Cuando un proveedor subcontrata a otro para tratar los datos de un cliente, el cliente tiene que saberlo y aprobarlo. Y si alguno de esos subcontratados está fuera del país, hay además una pregunta legal: la Ley 1581 de 2012 (artículo 26) prohíbe, con excepciones, transferir datos a países sin niveles adecuados de protección, y el contrato de transmisión del Decreto 1074 de 2015 (artículo 2.2.2.25.5.2) es la figura para tratar datos por cuenta del Responsable. No se resuelve aquí: se identifica el caso y se lleva a Legal.