Cuestionarios y evidencia del proveedor

Los cuestionarios de seguridad de terceros, como el CAIQ de la Cloud Security Alliance, son declaraciones: el proveedor dice lo que hace. Sirven para ordenar la conversación y detectar vacíos, no para sustituir la evidencia. Una respuesta afirmativa sin nada adjunto es un compromiso verbal. La evidencia es lo que permite comprobarla: una política, una captura de configuración, una cláusula del contrato.

Abre cuestionario-proveedor.csv. Las respuestas afirmativas con evidencia hay que revisarlas; las afirmativas sin evidencia hay que pedirlas. Una respuesta negativa sin evidencia es otra cosa: es una declaración que se revisa contra lo que ya se sabe del servicio.

La evidencia tiene fecha. Un plan de respuesta a incidentes de hace dos años puede seguir siendo válido, pero también puede describir una organización que ya no existe. La fecha de la revisión del encargo es la de referencia para medir su antigüedad.

Un informe de auditoría independiente describe un periodo, unos servicios y unas excepciones. Solo vale para lo que está dentro de su alcance. Que el proveedor tenga un informe no significa que todo lo que vende esté auditado: hay que cruzar el alcance con los servicios que el cliente contrata realmente.

La opinión «con salvedades» no es un suspenso ni una aprobación limpia: indica que hubo excepciones señaladas por el auditor. Hay que leerlas una por una y relacionarlas con lo que el cliente usa. Una excepción sobre un servicio que la clínica no contrata pesa poco; una sobre el respaldo de sus historias pesa mucho.