Un cuestionario de seguridad bien diseñado permite recopilar de forma estructurada información sobre los controles de un proveedor, políticas de seguridad, gestión de accesos, cifrado, respuesta a incidentes y continuidad del negocio, pero su valor depende de exigir evidencia concreta y no solo respuestas autodeclaradas, ya que un proveedor puede responder afirmativamente a preguntas sobre controles que en la práctica no aplica de forma consistente. Solicitar evidencia como certificaciones vigentes, reportes de auditoría independiente, resultados de pruebas de penetración recientes o políticas internas documentadas, permite contrastar lo declarado con lo verificable. Adaptar el cuestionario según el tipo de servicio también es importante, las preguntas relevantes para un proveedor de infraestructura en la nube difieren de las de un proveedor de limpieza con acceso físico a oficinas, y usar un cuestionario genérico para ambos genera evaluaciones superficiales que no capturan el riesgo específico de cada relación.

Cuestionarios y Evidencias Requeridas para la Evaluación