Responder el cuestionario sin mentir

Los cuestionarios de proveedores existen en formatos estandarizados (por ejemplo el CAIQ de la Cloud Security Alliance, que se organiza por dominios de control, o el SIG de Shared Assessments, que es de licencia) y también como hojas propias de cada cliente. El formato cambia, la disciplina no: cada respuesta debe poder demostrarse con evidencia, decir hasta dónde llega (qué sistemas, qué fecha) y no prometer lo que no se hace.

Una respuesta «Sí» sin límites suele ser falsa por exceso: el «sí, ciframos» que se refiere a la base de datos pero no a las copias. Una respuesta con alcance y fecha («sí, en producción; las copias, a partir de tal fecha») le da al cliente lo que necesita para decidir.

En la consola, SELECT * FROM cuestionario muestra las ocho preguntas, SELECT * FROM borrador_ventas muestra lo que ventas respondió y SELECT * FROM hechos_aurora muestra lo que Aurora tiene de verdad, con su fecha. Hay una respuesta del borrador que afirma algo que los hechos no sostienen en absoluto: no es un matiz, es una afirmación falsa.

Ese es el tipo de respuesta que se corrige antes de salir, y la que más daño hace si el cliente la cita en un contrato.

No todo es verdadero o falso. La pregunta sobre cifrado en reposo tiene una respuesta honesta que no es ni «sí» ni «no»: la base de datos y los archivos están cifrados, y las copias de seguridad todavía no, aunque ya hay un cambio programado. La respuesta correcta lo dice así, con el alcance y la fecha de lo que falta, sin esconderlo en una nota al pie.

Responder «sí» sería falso; responder «no» sería injusto con lo que sí está hecho. La respuesta parcial con fecha es la que un auditor encontraría sin sobresaltos.

Muchos cuestionarios llegan en inglés y se espera la respuesta en el mismo idioma. La regla es la misma: factual, con tipo, fecha y alcance, sin adjetivos. En inglés hay un error de vocabulario frecuente: decir certified de un informe SOC 2. Un informe SOC 2 no es una certificación: es un informe de un auditor independiente (attestation report), y llamarlo certificado sugiere un sello que no existe.

La pregunta del cuestionario es: «Do you hold a SOC 2 Type II report? Please state the audit period and the issuing firm.» Los hechos de Aurora son los de SELECT * FROM hechos_aurora.

La respuesta parcial de la tarea 3 depende de una fecha de los hechos de Aurora. Un compromiso con fecha es una promesa que el cliente apuntará: solo se escribe la fecha que está en el plan aprobado, no la que sería cómoda.