Tu (posible) cliente te ha mandado un cuestionario de seguridad: guía de supervivencia

A client sends you a spreadsheet full of security questions before signing. If you maintain websites, build custom work or run someone else’s infrastructure, this is coming: the people hiring you have obligations of their own and pass them down the chain by contract, not by law.

For years we asked for these things kindly: MFA, backups you can restore, updates, fewer administrators. Now the client asks for them, in a spreadsheet, before signing. And since what you answer is what you have promised to do, the questionnaire is not paperwork; it is a declaration. The good answer is not “yes to everything”: it is honest and sufficient.

The talk covers what each block is really asking (access control, backups, suppliers, incident response, data deletion, sub-processors), what can be answered honestly without a security department, what gets fixed in an afternoon and what takes a project, and how to say “no” without being dropped from the list. Told from both sides: answering questionnaires as a supplier, and later building the programme that answers them.

Companion material: the one-page sheet handed out at the end (in Spanish), with each recurring block, the risk behind it and the minimum honest answer.

Not legal advice.

English translation, provided for accessibility. This talk was delivered in Spanish; the original abstract is available via the event link above. Translation is best-effort and may contain errors.

Original (Español)

Un cliente te manda un Excel lleno de preguntas de seguridad antes de firmar. Si mantienes webs, desarrollas a medida o llevas la infraestructura de alguien, esto va a pasarte: quien te contrata tiene sus propias obligaciones y te las traslada por contrato, no por ley.

Durante años os lo hemos pedido con cariño: MFA, copias que se restauran, actualizaciones, menos Administradores. Ahora os lo pide vuestro cliente, en un Excel, antes de firmar. Y como lo que contestas es lo que has prometido hacer, el cuestionario no es un trámite: es una declaración. La respuesta buena no es “sí a todo”: es honesta y suficiente.

La charla recorre qué te están preguntando de verdad detrás de cada bloque (control de accesos, copias, proveedores, respuesta a incidentes, borrado de datos, subencargados), qué se puede contestar con honestidad sin departamento de seguridad, qué se arregla en una tarde y qué exige un proyecto, y cómo decir “no” sin caerte de la lista. Contado desde los dos lados: respondiendo cuestionarios como proveedor y montando después el programa que los contesta.

Material complementario: la hoja de una página que se llevó la sala, con cada bloque recurrente, el riesgo que cubre y la respuesta mínima honesta.

No es asesoría jurídica.