¿Cómo respondo el cuestionario de ciberseguridad que me pide un cliente?
Qué hacer cuando un cliente, una casa matriz o un seguro exigen evidencia de ciberseguridad: qué piden realmente NIST CSF e ISO 27001, en qué se diferencian alinear y certificar, y por dónde empezar sin frenar la operación.
Respuesta rápida: cuando un cliente o una casa matriz mandan un cuestionario de ciberseguridad, lo que evalúan no es qué herramientas comprás: es si podés mostrar evidencia de que los controles se ejecutan. Por eso el camino corto no es comprar nada, es ordenar lo que ya hay: inventario, accesos, respaldos probados y respuesta a incidentes. Alinearse con un marco como NIST CSF o ISO 27001 es lo que le da forma a esa evidencia — y alinear no es lo mismo que certificar.
¿Por qué de golpe me piden esto?
Casi nunca nace adentro. El disparador es externo y llega de cuatro lugares: un cliente grande que empezó a auditar a sus proveedores, una casa matriz que bajó una política, una aseguradora que pide requisitos antes de cotizar una póliza cibernética, o un pliego de licitación que sumó un capítulo de seguridad.
Lo que llega es un formulario con cuarenta preguntas y una fecha de entrega. Y la reacción típica —salir a comprar un firewall o contratar un pentest apurado— casi siempre apunta al lugar equivocado, porque el cuestionario no pregunta qué comprás, pregunta qué hacés y cómo lo demostrás.
¿Qué piden realmente esos cuestionarios?
Cambia la redacción, pero el fondo se repite. Vale la pena leerlo así, porque ordena la respuesta:
| Lo que preguntan | Lo que están buscando |
|---|---|
| ¿Tienen inventario de activos? | Si saben qué hay conectado, no un Excel viejo |
| ¿Cómo controlan los accesos? | Quién tiene privilegios, y qué pasa cuando alguien se va |
| ¿Cómo gestionan parches? | Que haya un criterio, no que todo esté al día |
| ¿Hacen respaldos? | Si alguna vez restauraron desde ellos |
| ¿Está segmentada la red? | Que un incidente en un lugar no llegue a todo |
| ¿Cómo entran sus proveedores? | Accesos de terceros, que es la puerta más olvidada |
| ¿Qué hacen ante un incidente? | Que exista un plan escrito y alguien que decida |
Ninguna de esas se responde con una compra. Todas se responden con un proceso que deja registro.
¿Qué es NIST CSF y qué es ISO 27001?
Son los dos marcos con los que se ordena esta conversación, y sirven para cosas distintas.
NIST CSF es un marco de referencia. Organiza la seguridad en cinco funciones —identificar, proteger, detectar, responder y recuperar— y sirve para medir en qué nivel de madurez está cada una y decidir el orden de las mejoras. Es gratuito, flexible y no obliga a nada: es la herramienta ideal para saber dónde estás parado antes de comprometerte con algo.
ISO 27001 es una norma certificable. Define los requisitos de un sistema de gestión de seguridad de la información: alcance, análisis de riesgos, declaración de aplicabilidad, controles, auditoría interna y revisión por la dirección. Es más formal y más exigente, y termina en un certificado emitido por un organismo certificador independiente.
El orden natural es empezar por NIST CSF para tener el diagnóstico, y pasar a ISO 27001 si el mercado te exige el papel.
¿Alinearse y certificar son lo mismo?
No, y confundirlos genera dos problemas: prometer de más hacia afuera, o gastar de más hacia adentro.
Alinearse es adoptar los controles del marco y poder demostrar que funcionan: la política está escrita, alguien la ejecuta y queda registro. Con eso se responde un cuestionario, se contesta a una aseguradora y se compite en una licitación que pide “buenas prácticas”.
Certificar es que un organismo certificador independiente audite ese sistema y emita el certificado. Es otro proceso, con otro costo y otro calendario, y lo emite un tercero acreditado — no el consultor que te acompañó.
La pregunta útil no es “¿nos certificamos?” sino “¿quién nos está pidiendo qué, y con qué papel se conforma?”. En la mayoría de los casos la alineación con evidencia alcanza y sobra.
¿Cómo se ordena el trabajo?
- 1. AlcanceQué entra y qué no: qué sedes, qué procesos, qué sistemas. Un alcance abierto es la causa número uno de proyectos que no terminan nunca. Si el disparador fue el cuestionario de un cliente, el alcance lo define ese cuestionario.
- 2. Relevamiento y matriz de brechasControl por control del marco elegido: qué existe, qué existe pero no se puede demostrar, y qué no existe. La segunda categoría suele ser la más grande y la más barata de resolver.
- 3. Priorización por riesgoNo se cierra todo junto. Se ordena por impacto y esfuerzo, y se separa lo que depende de una decisión —gratis— de lo que depende de comprar algo. Casi siempre hay más de lo primero.
- 4. Políticas y evidenciaEscribir lo que ya se hace y dejar el registro que lo demuestra. Es la parte menos vistosa y la que más mueve la aguja en una auditoría: un control sin evidencia, para el auditor, no existe.
- 5. Verificación técnicaAcá entra el pentest y el análisis de vulnerabilidades, que confirman que lo declarado se sostiene en la práctica. Va al final, no al principio: sin las cuatro etapas previas, el informe se archiva.
¿Y si el cuestionario vence la semana que viene?
Pasa seguido, y hay una respuesta razonable que no es mentir ni dejarlo en blanco.
Un cuestionario contestado con honestidad —esto lo tenemos, esto está en plan con fecha, esto no aplica a nuestro alcance— es mucho mejor recibido que uno con todas las casillas marcadas que no resiste una repregunta. Los que auditan proveedores leen decenas de estos formularios y detectan enseguida al que marcó todo.
Y tiene una ventaja concreta: deja la conversación abierta en vez de cerrarla con una respuesta que después no se puede sostener.
¿Esto sirve también para una planta con red industrial?
Sí, y ahí hay un matiz que conviene tener presente. Los marcos generales están escritos pensando en redes de oficina, donde la prioridad es que el dato no se filtre. En una red industrial la prioridad se da vuelta: primero la seguridad de las personas y la disponibilidad del proceso.
Eso no invalida el marco, pero cambia cómo se aplica cada control. Para el terreno OT existe además una familia de normas específica, IEC 62443, que aporta dos ideas muy prácticas: dividir la planta en zonas y controlar los conductos por donde esas zonas se comunican.
Si tu caso incluye planta y no solo oficina, conviene leer también cómo proteger la red OT de una planta, que desarrolla esa parte.
Preguntas frecuentes
¿Qué diferencia hay entre alinearse con una norma y certificarla?
Alinearse es adoptar los controles del marco y poder demostrar que funcionan: hay una política escrita, alguien la ejecuta y queda registro. Certificar es que un organismo certificador independiente audite eso y emita el certificado. Para responder el cuestionario de un cliente, ganar una licitación o contestarle a un seguro, la alineación con evidencia suele alcanzar. La certificación se justifica cuando el propio mercado la pide por escrito como requisito de contrato.
¿Qué me van a pedir en un cuestionario de ciberseguridad?
Casi siempre lo mismo, con distinta redacción: inventario de activos, control de accesos y quién tiene privilegios, gestión de parches, respaldos con restauración probada, segmentación de red, cómo entran los proveedores, plan de respuesta a incidentes y capacitación del personal. Lo que se evalúa no es tener la herramienta sino poder mostrar el registro de que el control se ejecuta.
¿NIST CSF o ISO 27001: cuál conviene?
Depende de para qué. NIST CSF es un marco de referencia, gratuito y flexible: ordena la conversación en cinco funciones —identificar, proteger, detectar, responder y recuperar— y sirve para medir madurez y priorizar sin comprometerse a una auditoría. ISO 27001 es una norma certificable con requisitos formales de sistema de gestión. Lo habitual es arrancar por NIST CSF para saber dónde estás parado, y pasar a ISO 27001 si el mercado te exige el certificado.
¿Por dónde se empieza si no hay nada armado?
Por el inventario y el control de accesos, en ese orden. No se puede proteger lo que no se sabe que existe, y la mayoría de los incidentes reales entran por una credencial, no por una vulnerabilidad exótica. Con esos dos ordenados ya se responde buena parte de cualquier cuestionario, y recién después conviene discutir herramientas.
¿Cuánto tarda un trabajo de este tipo?
El relevamiento y la matriz de brechas se resuelven en semanas; cerrar las brechas depende de cuántas haya y de cuáles dependan de comprar algo o de cambiar un proceso. Conviene separar las dos cosas desde el principio: el diagnóstico te deja en condiciones de responder el cuestionario con honestidad —diciendo qué tenés y qué está en plan—, que es bastante mejor que no contestar.