Cliente grande pide auditoría de seguridad precontractual: ¿hay alguna checklist que podamos revisar?

Lo que más detestan los auditores corporativos es el farol. Si dices 'sí' a una capa de seguridad que no tienes y cuando piden evidencias te trabas, el proceso se termina al instante. Decir 'este proceso actualmente se ejecuta de forma manual y está planificado automatizarlo en 6 meses' genera muchísima más credibilidad que una mentira.

Usa el modelo de responsabilidad compartida de tu proveedor de la nube a tu favor. A las preguntas sobre seguridad física de servidores, certificaciones de data centers y redundancia de hardware, puedes responder citando directamente la documentación de seguridad que ya tiene lista tu proveedor en la nube. Al menos el 30% de las preguntas se responden así.

Activen de inmediato este mismo fin de semana la obligatoriedad de gestor de contraseñas y MFA en todas las cuentas corporativas que usa su equipo desde el panel central. Las capturas de pantalla del panel que demuestren que completaron este paso son la prueba más sólida para la sección de autenticación del cuestionario.

El año pasado nos atascamos en un cuestionario similar y el contrato se retrasó 3 meses. Pagamos 3.500 libras para hacer un pentest urgente y obtuvimos un resumen ejecutivo impecable de una página. Al adjuntar ese informe, el equipo de seguridad aprobó directamente la mitad de las preguntas técnicas.

Tenga en cuenta que la empresa corporativa le solicitará un Acuerdo de Procesamiento de Datos (DPA) como encargado del tratamiento. Se recomienda revisar junto con su asesor legal las cláusulas sobre dónde se almacenan los datos, quiénes son sus subcontratistas y los derechos de auditoría.

Puede que las 180 preguntas no le apliquen a usted. Las grandes empresas envían la misma plantilla general a todos los proveedores. En las preguntas fuera del alcance de su aplicación (como seguridad de oficina o sistemas de acceso con tarjeta), escriba claramente 'No Aplica (N/A)' y explique brevemente el motivo, no se pille los dedos innecesariamente.

no se asusten, estos cuestionarios ya son parte de la rutina del proceso de venta. en fin si solicitan una reunión de 30 minutos con el responsable de seguridad del cliente y le transmiten con claridad que son un equipo pequeño y ágil pero que toman las medidas esenciales para proteger sus datos, el proceso se resolverá mucho más rápido.

Corrección: recordaba mal la cifra, era un poco más baja.

El camino que parece barato suele salir caro a la larga. Si es la primera vez que lo hacéis, empezad poco a poco, la escala llegará después.

Los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción. Espero que le sea útil.

Rara vez se encuentra un texto que lo explique tan claro. Antes de decidir, mirad qué datos tenéis en la mano.

Esta es mi opinión no lo escribo como una verdad absoluta.

después de vivir eso, mi perspectiva cambió luego si regañas las falsas alarmas nadie volerá a reportar.

si regañas las falsas alarmas, nadie volverá a reporrtar y comprobado por experiencia.

Tengo una pregunta, no quiero desviarme del tema, pero... Si la verificación en dos pasos está activa, una contraseña robada no sirve de nada por sí sola.

Ánimo.

Aquí hay que hacer una distinción. Los cambios en los datos de pago nunca se verifican por el mismo canal por el que llegan.

Empezad con una pequeña prueba, no lo integréis todo de golpe. Comprobado por experiencia.

Hay un error muy común al hacer esto. Las soluciones que funcionan a pequeña escala se rompen al crecer aprendí esto tarde.

Si intentas cambiarlo todo a la vez, nada termina de asentarse. Esta es mi opinión no lo escribo como una verdad absoluta.

Yo también pienso lo mismo. Antes de decidir, mirad qué datos tenéis en la mano.

Permíteme resumir lo que se ha dicho hasta ahora. Lo que más tiempo nos hacía perder era no saber quién tomaba las decisiones.

El tiempo que tardas en detectar un problema determina directamente su coste. Ánimo.

Hay algo que no entiendo. Los cambios en los datos de pago nunca se verifican por el mismo canal por el que llegan.

Yo seguiría por ese camino.

Estoy de acuerdo. Que la copia de seguridad sea accesible en la misma red y con la misma identidad la convierte en parte del objetivo.

Si tenéis dudas, escribid, os responderé en la medida de lo posible.

Me quedé tranquilo al leer esta respuesta, así que no solo me pasa a mí. Si el permiso y el alcance no están por escrito, que no empiece la prueba.

Corrijanme si me equivoco.