Plantilla gratuita de cuestionario de seguridad para proveedores
Responde tres preguntas sobre un proveedor y obtén un cuestionario de seguridad ajustado a su riesgo: breve para proveedores de bajo riesgo y exhaustivo para los que manejan tus datos o se conectan a tus sistemas.
¿Por qué ajustar el cuestionario al proveedor?
Enviar la misma hoja de 300 preguntas a todos los proveedores hace perder tiempo a todos: los proveedores pequeños abandonan o responden a la ligera, y tu equipo no puede revisarlo todo. Clasificar por niveles de riesgo hace unas pocas preguntas a los proveedores de bajo riesgo y reserva la evaluación completa para los que manejan datos sensibles, se conectan a tus sistemas o mantienen tu negocio en marcha.
Cómo se decide el nivel de riesgo
- Datos: cuanto más sensibles sean los datos que ve el proveedor, mayor es el riesgo. Los datos de salud, financieros y de identidad siempre sitúan al proveedor en el nivel 1.
- Acceso: los derechos de administrador o una conexión a tu red hacen que el problema de seguridad de un proveedor sea también tuyo. Una conexión de red siempre implica nivel 1.
- Criticidad: cuánto afectaría una interrupción del proveedor a tus operaciones o a tus clientes.
Qué cubre un buen cuestionario para proveedores
Gobierno y certificaciones, control de acceso, protección de datos y privacidad, infraestructura y operaciones, seguridad de aplicaciones, respuesta a incidentes y continuidad, y los propios subcontratistas y personal del proveedor. Añade preguntas sobre datos de salud o de tarjetas cuando el proveedor maneje esos datos. Pide evidencia en las respuestas que más importan, no solo sí o no.
Aceptar SOC 2 o ISO 27001 en su lugar
Un informe SOC 2 Tipo 2 o un certificado ISO 27001 vigente ya cubre muchos controles generales. Aceptarlo en lugar de esas preguntas agiliza la evaluación para ambas partes. Revisa el alcance y las fechas, lee las excepciones de un informe SOC 2 y aun así haz las preguntas específicas de tus datos y del servicio.
Preguntas frecuentes
¿Esta plantilla de cuestionario para proveedores es gratuita?
Sí. Crea y descarga todos los cuestionarios que quieras, en PDF o en CSV para enviar a proveedores, sin crear una cuenta.
¿Es lo mismo que CAIQ, SIG o HECVAT?
No. Esos son cuestionarios estándar publicados por otras organizaciones. Este generador usa sus propias preguntas y las mantiene proporcionales al riesgo del proveedor; muchos proveedores que ya completaron un cuestionario estándar pueden responderlo rápido a partir de ese trabajo.
¿Con qué frecuencia hay que reevaluar a los proveedores?
Una práctica habitual es cada año para el nivel 1, cada dos años para el nivel 2 y cuando cambie el alcance del servicio para el nivel 3. Reevalúa antes tras un incidente o un cambio importante en el proveedor.
¿Se sube mi información?
No. El cuestionario se crea en tu navegador. Si añades tus datos de contacto y lo descargas, Sourceably guarda esos datos para que nuestro equipo pueda ayudarte, salvo que marques «No contactarme».