Píldora · Evaluar a un proveedor tecnológico en 5 pasos
Paso 2 · Qué le pides
Evidencia, no promesas
A un proveedor de nivel medio o alto no se le pregunta «¿sois seguros?». Se le pide algo que se pueda leer y fechar. Hay cuatro tipos de evidencia, de más a menos peso:
Cuatro tipos de evidencia
Certificación de un tercero
ISO 27001, el Esquema Nacional de Seguridad u otra. Vale si su alcance incluye el servicio que contratas y si está en vigor. Pide el certificado y lee el alcance: es una frase.
Informe de una revisión externa
Una auditoría o una prueba de intrusión hecha por otra empresa. Pide la fecha, el resumen y qué han corregido. No hace falta el informe completo.
Documento propio con fecha
Su política de seguridad, su procedimiento de copias, su plan de respuesta a incidentes. Vale menos que lo anterior, pero dice si lo han pensado.
Respuesta escrita y firmada
Lo mínimo: sus respuestas a tus preguntas, por escrito y con el nombre de quien responde. Una respuesta de palabra no es evidencia.
Las diez preguntas que casi siempre bastan
Un nombre, un correo y un teléfono. Si no hay nadie, ya sabes algo importante.
Sí o no. Y si es «depende», en qué casos no.
Las cuentas compartidas impiden saber quién hizo qué.
El nombre del centro de datos o del servicio, no «en la nube».
La fecha de la última prueba dice más que la frecuencia de las copias.
Un plazo en días para las críticas.
Tu información puede acabar en una tercera empresa a la que no has evaluado.
Un plazo en horas y un canal. Es la respuesta que más vas a agradecer.
Devolución en un formato que puedas usar, borrado y un justificante.
No descalifica haber tenido uno. Descalifica no saber contarlo.
Respuestas que no valen
«Cumplimos con toda la normativa vigente.» «Usamos las mejores prácticas del sector.» «Nunca hemos tenido un problema.» «Eso es confidencial.» Ninguna de las cuatro dice nada que se pueda comprobar. Si un proveedor de nivel alto no puede enseñarte nada por escrito, esa es tu evaluación.
Cuando termines, sigues con «Paso 3 · Qué firmáis».