El cuestionario no es evidencia

Un cuestionario es una declaración: el proveedor dice lo que hace. Sirve para saber qué pretende cumplir y para comparar con otros, pero no prueba nada por sí solo. La evidencia es el documento, la captura o el registro que sostiene cada «sí». Cuánta evidencia se pide depende del nivel: Nogal exige, para un proveedor alto, un documento por cada tema crítico (acceso, cifrado, copias, pruebas de intrusión, incidentes, bajas), y para uno medio basta una declaración firmada.

Hay otra trampa: la pregunta dice una cosa y el comentario la reduce. Una respuesta «sí» a «MFA en todas las cuentas con acceso a datos» acompañada de «aplica a las cuentas administradoras» es, en realidad, un «no» para las demás cuentas.

Consulta SELECT * FROM cuestionario para ver las doce respuestas. Después usa SELECT id, tema, evidencia FROM cuestionario WHERE respuesta = 'Si' AND evidencia = '—' para quedarte con las afirmativas sin documento. Una raya en la columna de evidencia significa que no se adjuntó nada. Las respuestas «No» y «En curso» no cuentan: no afirman un control.

Este número es el primero que se le lleva a quien en Nogal es responsable del proveedor: dice cuánto de lo que Cobralia afirma está todavía por sostener.

Las contradicciones valen más que los vacíos, porque ocurren sin que el proveedor lo note. Mira los comentarios con SELECT id, tema, respuesta, comentario FROM cuestionario WHERE comentario <> '—'. A veces una respuesta de un tema queda desmentida por el comentario de otro tema distinto.

Ante una contradicción no se elige la versión que conviene: se anota ambas, se pregunta cuál es la cierta y se pide el documento que lo decida.

Que haya un documento adjunto tampoco basta: hay que mirar su fecha. La política de Nogal para el nivel alto pide que el resumen de la prueba de intrusión y el acta de restauración sean de los últimos doce meses. Con SELECT id, tema, evidencia FROM cuestionario WHERE evidencia <> '—' ves las seis respuestas con documento y la fecha entre paréntesis. Hoy es 2026-09-22, así que cualquier fecha anterior a 2025-09-22 está fuera de plazo.

Un documento viejo no es un incumplimiento por sí mismo, pero sí un hueco: describe cómo era el control hace más de un año.

Con la lista en la mano —cuatro afirmaciones sin evidencia, una contradicción y una evidencia vencida— el siguiente paso no es descartar a Cobralia: es devolverle una solicitud concreta, con las preguntas y los documentos exactos que faltan y una fecha de entrega. Se le pregunta cuál de las dos versiones sobre los subencargados es la cierta y se le pide el export del segundo factor, la configuración del cifrado en reposo, una muestra de bajas y un resumen de intrusión nuevo.

Descartar a un proveedor sin darle la oportunidad de sostener lo que afirma suele ser desproporcionado; aceptar su palabra, también.