Los cuatro documentos con los que una pequeña organización puede hacer frente a cualquier reto de la cadena de suministro

Los cuatro documentos

Una organización pequeña no suele necesitar más de cuatro documentos para superar la primera ronda de preguntas de un ayuntamiento o un contable. Una política de seguridad de la información: qué proteges y cómo. Un procedimiento para incidentes y fugas de datos: quién hace qué si algo sale mal, y cuándo y cómo lo notificas. Un plan de copias de seguridad y continuidad: qué se restaura, en qué orden y en cuánto tiempo. Y una política de acceso: quién tiene acceso a qué y cómo se controla. Cuatro documentos, nada de tomos; cada uno cabe en un par de hojas A4, siempre que incluya una fecha y un responsable.

Y el consejo que le damos a cada cliente antes de facturar nada: consulta primero a tu asociación sectorial. Para los administradores, los proveedores de asistencia sanitaria y muchos otros sectores, existen documentos estándar que puedes adaptar a tu propia organización. A menudo, la rueda ya está inventada. Lo que falte después o lo que haya que revisar técnicamente, eso es trabajo para tu socio de TI. Pero no empieces a pagar por algo que puedes conseguir gratis.

Seis temas, una pregunta

Cada revisión que hacemos sigue los mismos seis temas: política, acceso, dispositivos, continuidad, cadena y concienciación. Y con cada tema nos hacemos la misma pregunta: ¿puedes demostrarlo por escrito? Hace poco nos pasó esto en una oficina del sector financiero. ¿Autenticación multifactorial (MFA) activada? Sí. ¿Demostrable? No. ¿Funciona la copia de seguridad? Sí. ¿Se ha registrado la prueba de recuperación con fecha y resultado? No. ¿Acuerdos de subcontratación? En parte, repartidos por varios buzones de correo.

No es una mala puntuación; es la puntuación normal. Casi todas las organizaciones hacen más de lo que pueden demostrar. Pero un contable no acepta una respuesta verbal, y un ayuntamiento tampoco. La buena noticia: la diferencia entre hacer y demostrarlo suele ser fácil de resolver. Documentar lo que ya existe lleva unos días. Crear lo que no existe lleva meses. La mayoría de las organizaciones pequeñas solo necesitan lo primero.

Responde al cuestionario: indica la fuente de cada respuesta

Cuando llegue el cuestionario, hay una regla: cada respuesta debe remitir a un documento o un informe. Una respuesta sin fuente es una promesa; una respuesta con fuente es una prueba. Y si no tienes un documento, indícalo con sinceridad y pon la fecha en la que estará disponible. Una laguna visible acompañada de un plan es mejor que una respuesta inventada, porque esta última se descubrirá en la próxima revisión.

Nuestro análisis gratuito en keten.alta-ict.nl te ayuda a empezar: subes el cuestionario que has recibido y la herramienta identifica los temas y te muestra en qué punto estás. Te lo digo claro desde el principio: la herramienta no responde el cuestionario por ti. Cada respuesta requiere una fuente, y si falta, se muestra como una laguna; no se inventa nada. Es a propósito, porque tu nombre aparecerá debajo de las respuestas.

El paquete que no vendimos

Una oficina que maneja datos confidenciales nos hizo una pregunta lógica: ¿no deberíamos optar por el nivel más alto de seguridad, con todas las herramientas empresariales que eso conlleva? Nuestra respuesta: no. Para una organización de ese tamaño, esas herramientas son más un lastre que una solución. Lo que sí hacía falta era: un correo seguro con la opción de retirar un mensaje enviado por error, y seguridad en los móviles con separación entre lo personal y lo laboral. Dos añadidos específicos al paquete que ya tenían. Listo.

Por qué aparece esta historia en un blog sobre cuestiones relacionadas con la cadena de suministro: el sector de las tecnologías de la información se lucra vendiendo de más, y los clientes lo saben. Cualquier consejo se ve con recelo en cuanto resulta ser, casualmente, el más caro. Por eso, nuestra norma es que el consejo debe adaptarse a la organización, no a la facturación. La próxima vez que te hagan un presupuesto de informática, pregúntales: «¿Qué es lo que no me recomendáis?». La respuesta dice mucho.

Lo que no hace falta

Para que quede claro, porque el contenido alarmista sugiere lo contrario: a una organización pequeña nadie le pide certificaciones, voluminosos documentos de políticas ni herramientas empresariales. Ni siquiera la ley. Lo que cuenta es que lo básico esté demostrablemente en orden: autenticación multifactorial (MFA) en cada cuenta, una copia de seguridad comprobada, un plan de incidentes listo para actuar, saber quién tiene acceso a tus sistemas y pruebas de cada uno de esos cuatro puntos. Para las organizaciones que trabajan con datos sensibles, se añade además el artículo 32 del RGPD; los cuatro documentos y los seis temas también cubren en gran medida ese requisito.

Cómo ayuda ALTA-ICT

Te ayudamos de dos maneras. Si recibes un cuestionario de la cadena de suministro, reenvíalo: nosotros te proporcionamos la justificación técnica basada en tu propio entorno, en forma de informes que puedes enviar directamente al ayuntamiento, a tu contable o a tu aseguradora. Y si faltan los documentos básicos, revisamos lo que hayas redactado tú mismo o a través de tu asociación sectorial, o los elaboramos contigo. Solo lo estrictamente necesario, pero de forma demostrable. Nosotros mismos trabajamos según las normas ISO 27001:2023, ISO 9001:2015 y NEN 7510:2024; la documentación que te pide tu cadena es nuestro trabajo diario.

Preguntas más frecuentes

Soy administrador o proveedor de servicios sanitarios. ¿Me afecta la Ley de Ciberseguridad?

Seguramente no directamente. Pero tus clientes, como los ayuntamientos y las instituciones sanitarias, sí están sujetos a ello y tienen que evaluar a sus proveedores. Por esa vía te llegan las preguntas, además de las que ya te hacen el contable y el RGPD.

¿Tienen que redactar los cuatro documentos un abogado o un asesor?

No. Empieza por los documentos estándar de tu asociación sectorial y adáptalos a tu propia organización. Después, haz que revisen específicamente qué está bien desde el punto de vista técnico y qué falta; eso son unas horas de trabajo, no todo un proceso.

¿Y si no puedo responder a alguna pregunta del cuestionario?

Anota lo que ya tienes, reconoce con sinceridad lo que falta y pon una fecha para cuando esté listo. Una laguna con un plan es una respuesta aceptable; una respuesta inventada nunca lo es.

¿Necesito una certificación para aprobar las preguntas?

No. Prácticamente ningún evaluador pide un certificado a las organizaciones pequeñas; lo que piden son medidas demostrables. Los cuatro documentos, junto con pruebas de tu propio entorno, ya son más que suficientes.

¿Cómo evito comprar demasiados recursos informáticos para solucionar este problema?

En cada presupuesto, pregunta al proveedor qué es lo que te desaconseja y evalúa cada propuesta en función de estos seis aspectos: ¿resuelve un problema de demostrabilidad o añade herramientas que son más pesadas que el propio problema? Las incorporaciones específicas sobre una base adecuada casi siempre salen ganando frente al paquete más completo.

Conclusión

La cadena no exige perfección a las organizaciones pequeñas; lo que pide es que se pueda demostrar. Cuatro documentos con fecha y responsable, repasar los seis temas, cerrar la brecha entre lo que se hace y lo que se demuestra, y responder a cada cuestionario indicando la fuente. Si lo tienes todo en orden, apenas notarás las preguntas; si te falta algo, tendrás que volver a explicarlo cada vez. La diferencia está en el tiempo de preparación.

¿Quieres saber en qué punto se encuentra tu organización? Programa una reunión con ALTA-ICT: por cada tema, te daremos la respuesta a la pregunta que se hace todo evaluador: ¿se puede demostrar?