# Tu (posible) cliente te ha mandado un cuestionario de seguridad: guía de supervivencia — Nestor Angulo de Ugarte

> For years we asked for MFA, backups and fewer admins as a favour. Now the client asks for them in a spreadsheet, before signing — and what you answer is what you have promised.

Canonical: https://nestorangulo.pro/speaking/valencia-2026-cuestionario-seguridad/

- Format: Conference Talk
- Event: [WordCamp Valencia 2026](https://valencia.wordcamp.org/2026/session/tu-posible-cliente-te-ha-mandado-un-cuestionario-de-seguridad-guia-de-supervivencia/)
- Location: Valencia, Spain
- Date: 2026-10-31 (October 31, 2026)
- Language: Spanish (Español)
- Speaker: [Nestor Angulo de Ugarte](https://nestorangulo.pro/about/)
- Themes: Security Leadership, GRC, WordPress Security
- Slides: [View slides (PDF)](https://assets.nestorangulo.pro/slides/valencia-2026-cuestionario-seguridad-c5863c51ba.pdf)

A client sends you a spreadsheet full of security questions before signing. If you maintain websites, build custom work or run someone else's infrastructure, this is coming: the people hiring you have obligations of their own and pass them down the chain by contract, not by law.

For years we asked for these things kindly: MFA, backups you can restore, updates, fewer administrators. Now the client asks for them, in a spreadsheet, before signing. And since what you answer is what you have promised to do, the questionnaire is not paperwork; it is a declaration. The good answer is not "yes to everything": it is honest and sufficient.

The talk covers what each block is really asking (access control, backups, suppliers, incident response, data deletion, sub-processors), what can be answered honestly without a security department, what gets fixed in an afternoon and what takes a project, and how to say "no" without being dropped from the list. Told from both sides: answering questionnaires as a supplier, and later building the programme that answers them.

Companion material: the [one-page sheet](https://drive.google.com/file/d/11HnfJPP88TB90XY1Aj1FRe-nK1R1i2Er/view) handed out at the end (in Spanish), with each recurring block, the risk behind it and the minimum honest answer.

Not legal advice.

> _English translation, provided for accessibility. This talk was delivered in Spanish; the original abstract is available via the event link above. Translation is best-effort and may contain errors._

**Original (Español)**

Un cliente te manda un Excel lleno de preguntas de seguridad antes de firmar. Si mantienes webs, desarrollas a medida o llevas la infraestructura de alguien, esto va a pasarte: quien te contrata tiene sus propias obligaciones y te las traslada por contrato, no por ley.

Durante años os lo hemos pedido con cariño: MFA, copias que se restauran, actualizaciones, menos Administradores. Ahora os lo pide vuestro cliente, en un Excel, antes de firmar. Y como lo que contestas es lo que has prometido hacer, el cuestionario no es un trámite: es una declaración. La respuesta buena no es "sí a todo": es honesta y suficiente.

La charla recorre qué te están preguntando de verdad detrás de cada bloque (control de accesos, copias, proveedores, respuesta a incidentes, borrado de datos, subencargados), qué se puede contestar con honestidad sin departamento de seguridad, qué se arregla en una tarde y qué exige un proyecto, y cómo decir "no" sin caerte de la lista. Contado desde los dos lados: respondiendo cuestionarios como proveedor y montando después el programa que los contesta.

Material complementario: la [hoja de una página](https://drive.google.com/file/d/11HnfJPP88TB90XY1Aj1FRe-nK1R1i2Er/view) que se llevó la sala, con cada bloque recurrente, el riesgo que cubre y la respuesta mínima honesta.

No es asesoría jurídica.

[← All talks](https://nestorangulo.pro/speaking/)