Relaciona la solicitud con el servicio que vendes
Un cuestionario de seguridad suele llegar cuando una oportunidad comercial ya tiene fecha. Antes de responder, identifica qué servicio evalúa el cliente y qué información te confiará. Una pregunta sobre copias de seguridad necesita una respuesta vinculada a ese servicio, no una afirmación sobre toda la empresa.
Define las personas, procesos, sistemas y proveedores involucrados. Este límite ayuda a construir el alcance de tu sistema de seguridad y evita entregar respuestas que el equipo no puede demostrar. Comparte el alcance con ventas para que las ofertas y los contratos sean coherentes.
Ordena los riesgos antes de acumular documentos
Identifica qué podría comprometer la confidencialidad, integridad o disponibilidad de la información del servicio. Considera cómo se accede a ella, dónde se guarda, quién la modifica y de qué terceros depende. Evalúa los riesgos con criterios que permitan comparar prioridades.
Para cada riesgo relevante, acuerda el tratamiento, el responsable y la evidencia que mostrará el avance. ISO/IEC 27001:2022 exige un enfoque de gestión de riesgos. Su declaración de aplicabilidad documenta los controles necesarios y justifica las inclusiones y exclusiones respecto de los controles de referencia.
Vincula cada respuesta con una práctica verificable
Una política explica lo que la empresa pretende hacer; un registro ayuda a demostrar lo que hizo. Para accesos, por ejemplo, reúne autorizaciones, revisiones y bajas según tu proceso. Para incidentes, conserva criterios de notificación, responsables y registros de respuesta cuando corresponda.
Haz una tabla sencilla con la pregunta del cliente, la respuesta aprobada, su responsable y la evidencia disponible. Si falta una práctica, registra la brecha y su tratamiento. Evita afirmar que un control opera de forma permanente cuando solo tienes un documento o una actividad aislada.
Mantén un repositorio útil y protege lo que compartes
Usa las herramientas actuales de tu empresa para mantener versiones, permisos y responsables. Define qué evidencia puedes compartir y cuál requiere confidencialidad o una revisión previa. Entregar información sensible sin control para demostrar seguridad puede introducir un riesgo nuevo.
Revisa el repositorio cuando cambien los servicios, los proveedores o los controles. Un sistema según ISO 27001 organiza esta continuidad y puede preparar la certificación independiente dentro de su alcance. El certificado no garantiza ausencia de incidentes: el valor está en gestionar riesgos, responder y mejorar con evidencia.
Para llevar a tu próxima reunión
Tu lista de preparación.
- Confirma el servicio y la información que evalúa el cliente.
- Define alcance, responsables y proveedores relevantes.
- Relaciona riesgos con controles y decisiones de tratamiento.
- Asigna evidencia verificable a cada respuesta comercial.
- Revisa permisos y condiciones antes de compartir documentación.
Esta guía es orientación general. El texto oficial de la norma y el alcance de tu empresa determinan los requisitos aplicables.
Consultar la referencia oficial en ISO
