Nobody Trusts the Security Questionnaire. We Rely on It Anyway.

Nu­me­ro­sos equi­pos de se­gu­ri­dad y cum­pli­mien­to de­di­can jor­na­das en­te­ras a com­ple­tar cues­tio­na­rios de se­gu­ri­dad para des­blo­quear acuer­dos co­mer­cia­les. Pa­ra­dó­ji­ca­men­te, las mis­mas em­pre­sas que su­fren com­ple­tan­do cien­tos de estos for­mu­la­rios al año los en­vían pos­te­rior­men­te a sus pro­pios pro­vee­do­res, con­fian­do en las res­pues­tas a pesar de saber que re­ci­ben poca su­per­vi­sión bajo pre­sión y que a me­nu­do se basan en meras de­cla­ra­cio­nes del pro­vee­dor en lugar de con­tro­les reales.

Este mo­de­lo pre­sen­ta fa­llos evi­den­tes, ya que una res­pues­ta afir­ma­ti­va en un cues­tio­na­rio no ga­ran­ti­za la se­gu­ri­dad real ni evita que los en­tor­nos cam­bien cons­tan­te­men­te tras ser eva­lua­dos. In­for­mes re­cien­tes de la in­dus­tria re­fle­jan que las bre­chas re­la­cio­na­das con ter­ce­ros se han vuel­to más fre­cuen­tes y cos­to­sas, como lo de­mues­tran datos ci­ta­dos de 2025 y casos his­tó­ri­cos donde em­pre­sas con cer­ti­fi­ca­cio­nes vá­li­das su­frie­ron vul­ne­ra­cio­nes gra­ves poco des­pués.

Ante esta si­tua­ción, re­gu­la­do­res y el mer­ca­do han co­men­za­do a exi­gir cam­bios orien­ta­dos a re­em­pla­zar las pro­me­sas au­to­in­for­ma­das por evi­den­cias in­de­pen­dien­tes y ve­ri­fi­ca­bles. Al eva­luar pro­vee­do­res, se acon­se­ja prio­ri­zar as­pec­tos ob­ser­va­bles desde el ex­te­rior, como in­fra­es­truc­tu­ra ex­pues­ta o his­to­rial de in­ci­den­tes, mien­tras que las or­ga­ni­za­cio­nes eva­lua­das deben ser ca­pa­ces de de­mos­trar con prue­bas ac­tua­les que cum­plen con sus com­pro­mi­sos con­trac­tua­les.