Skill oficial · Nociones legales

Respuestas a cuestionarios de seguridad

v1.0.0 · Actualizada el 4 de noviembre de 2026

Redacta las respuestas a un cuestionario de seguridad de un cliente a partir de tus propias políticas y hechos, asigna responsables a lo desconocido y nunca exagera certificaciones.

Funciona en Claude, ChatGPT y agentes de programación. En Team y Business, la skill oficial de tu pod se actualiza sola cuando la mejoramos.

Cuándo usarla

• El equipo de compras de un cliente potencial envía un cuestionario de seguridad
• Una renovación llega con una evaluación de proveedores actualizada

Qué le das

• Las preguntas con su numeración
• Tus políticas, informes y hechos declarados
• Responsables de los puntos abiertos

Qué obtienes

Una tabla de respuestas con evidencia en cada línea, una lista de puntos abiertos con responsables y los compromisos que confirmar con abogado/a.

Cómo funciona

1. Indexa la evidencia Lista cada fuente con un nombre corto (por ejemplo “Política de acceso v2, marzo de 2026”). Cada respuesta cita uno de esos nombres o algo que el usuario dijo en esta conversación.
2. Reconoce el formato Los cuestionarios estándar, como el CAIQ de la Cloud Security Alliance, hacen preguntas de Sí/No vinculadas a un marco de controles. Conserva sus opciones de respuesta y su numeración; añade el detalle en el campo de comentarios, no cambiando la respuesta.
3. Clasifica las preguntas Marca cada una: se puede responder con la evidencia, se puede responder en parte o es desconocida. Las desconocidas van a la lista de puntos abiertos con un responsable; nunca las completes con lo que suelen hacer las empresas.
4. Redacta las respuestas de sí/no con rigor Responde “Sí” solo si la evidencia muestra que el control existe hoy. “En parte” cuando existe para algunos sistemas o parte del tiempo; di cuáles. “No” cuando no existe, seguido de un control compensatorio o un plan solo si el usuario lo dio. “No aplica” solo con un motivo.
5. Nunca exageres las certificaciones Nombra una certificación, un informe de auditoría o una atestación (SOC 2, ISO 27001, PCI DSS, prueba de penetración) solo si el usuario aportó el informe o lo afirmó con su fecha y su alcance. Un informe SOC 2 lo emite una firma de contadores públicos (CPA) conforme a las normas del AICPA, así que “cumplimos SOC 2” sin informe es una exageración. La certificación de un proveedor cloud no es del usuario: el modelo de responsabilidad compartida de AWS, por ejemplo, separa la seguridad “de” la nube (el proveedor) de la seguridad “en” la nube (los datos, las aplicaciones y la configuración del cliente). Si viene al caso, escribe “Alojado en [proveedor], que declara tener [certificación]” y nunca des a entender que el usuario la tiene.
6. Que cada respuesta sea breve De 1 a 3 frases: la respuesta, cómo funciona, el nombre de la evidencia. Sin palabras de marketing (“de nivel bancario”, “de nivel militar”, “totalmente seguro”).
7. Señala las promesas contractuales Cuando una pregunta pide un compromiso (aviso de una brecha en X horas, ubicación de los datos, derecho de auditoría), márcala “[compromiso: confirmar con abogado/a]”, porque la respuesta puede pasar a formar parte del contrato.
8. Escribe la hoja de respuestas y los puntos abiertos Conserva la numeración del cuestionario para poder pegar las respuestas de vuelta.

El SKILL.md

El archivo completo, tal como lo lee tu IA. Descargarlo

---
name: security-questionnaire-answers
description: Redacta las respuestas a un cuestionario de seguridad de un cliente (evaluación de seguridad de proveedores, CAIQ, revisión de seguridad de la información, hoja de due diligence) solo a partir de las políticas y los hechos del propio usuario, asigna un responsable a cada dato desconocido y nunca afirma una certificación o un control sin evidencia. Úsala cuando un cliente potencial envía un cuestionario de seguridad, te pide que completes su evaluación de proveedores o compras necesita respuestas de seguridad antes de cerrar un acuerdo.
---

# Respuestas a cuestionarios de seguridad

> No es asesoría legal. Es una lista de revisión previa para preparar la revisión de un abogado/a; no la sustituye.

Una respuesta a un cuestionario de seguridad es una promesa por escrito a un cliente, a menudo adjunta al contrato. La mejor respuesta es breve, verdadera y está respaldada por un documento que el usuario puede enviar. Un “no” con un plan vale más que un “sí” que nadie puede demostrar.

## Cuándo usarla

- El equipo de compras o de seguridad de un cliente potencial envía un cuestionario o una hoja de cálculo.
- Una renovación llega con una evaluación de proveedores actualizada.
- Estás armando un banco de respuestas reutilizable a partir de cuestionarios anteriores.
- No sirve para redactar las propias políticas de seguridad ni para declarar el cumplimiento de una norma. Eso necesita al responsable de la política y, para el cumplimiento, a un auditor.

## Qué necesitas

- Las preguntas, con su numeración original.
- La evidencia del usuario: políticas de seguridad, cuestionarios respondidos antes, informes de auditoría, notas de arquitectura, lista de proveedores y los hechos que afirme. Si no hay ninguna evidencia, pídela una vez antes de redactar; no redactes a partir de conocimiento general.
- Quién se encarga de los puntos abiertos (un ingeniero, el fundador). Si no se sabe, escribe “[responsable: por confirmar]”.
- Opcional: el contexto del acuerdo, para saber qué preguntas bloquean la firma.

## Pasos

1. **Indexa la evidencia.** Lista cada fuente con un nombre corto (por ejemplo “Política de acceso v2, marzo de 2026”). Cada respuesta cita uno de esos nombres o algo que el usuario dijo en esta conversación.
2. **Reconoce el formato.** Los cuestionarios estándar, como el CAIQ de la Cloud Security Alliance, hacen preguntas de Sí/No vinculadas a un marco de controles. Conserva sus opciones de respuesta y su numeración; añade el detalle en el campo de comentarios, no cambiando la respuesta.
3. **Clasifica las preguntas.** Marca cada una: se puede responder con la evidencia, se puede responder en parte o es desconocida. Las desconocidas van a la lista de puntos abiertos con un responsable; nunca las completes con lo que suelen hacer las empresas.
4. **Redacta las respuestas de sí/no con rigor.** Responde “Sí” solo si la evidencia muestra que el control existe hoy. “En parte” cuando existe para algunos sistemas o parte del tiempo; di cuáles. “No” cuando no existe, seguido de un control compensatorio o un plan solo si el usuario lo dio. “No aplica” solo con un motivo.
5. **Nunca exageres las certificaciones.** Nombra una certificación, un informe de auditoría o una atestación (SOC 2, ISO 27001, PCI DSS, prueba de penetración) solo si el usuario aportó el informe o lo afirmó con su fecha y su alcance. Un informe SOC 2 lo emite una firma de contadores públicos (CPA) conforme a las normas del AICPA, así que “cumplimos SOC 2” sin informe es una exageración. La certificación de un proveedor cloud no es del usuario: el modelo de responsabilidad compartida de AWS, por ejemplo, separa la seguridad “de” la nube (el proveedor) de la seguridad “en” la nube (los datos, las aplicaciones y la configuración del cliente). Si viene al caso, escribe “Alojado en [proveedor], que declara tener [certificación]” y nunca des a entender que el usuario la tiene.
6. **Que cada respuesta sea breve.** De 1 a 3 frases: la respuesta, cómo funciona, el nombre de la evidencia. Sin palabras de marketing (“de nivel bancario”, “de nivel militar”, “totalmente seguro”).
7. **Señala las promesas contractuales.** Cuando una pregunta pide un compromiso (aviso de una brecha en X horas, ubicación de los datos, derecho de auditoría), márcala “[compromiso: confirmar con abogado/a]”, porque la respuesta puede pasar a formar parte del contrato.
8. **Escribe la hoja de respuestas y los puntos abiertos.** Conserva la numeración del cuestionario para poder pegar las respuestas de vuelta.

## Formato de salida

```markdown
# Cuestionario de seguridad — [cliente], [fecha]

_No es asesoría legal. Respuestas redactadas a partir de la evidencia listada; revísalas antes de enviarlas._

## Evidencia usada
- [E1] [nombre del documento, versión, fecha]
- [E2] [afirmación del usuario, fecha]

## Respuestas
| # | Pregunta | Respuesta | Detalle | Evidencia |
|---|---|---|---|---|
| [n] | [pregunta, resumida] | [Sí / En parte / No / No aplica / Desconocido] | [de 1 a 3 frases] | [E1] |

## Puntos abiertos
| # | Qué necesitamos | Responsable | ¿Bloquea el acuerdo? |
|---|---|---|---|
| [n] | [hecho o documento que falta] | [nombre o “responsable: por confirmar”] | [sí / no / desconocido] |

## Compromisos que confirmar con abogado/a
- N.º [n]: [compromiso] — [compromiso: confirmar con abogado/a]
```

## Ejemplo

**Entrada:** Marta, de Agendaluz (una app de reservas de citas), recibe 5 preguntas de Seguros Ostara. Evidencia: “Política de acceso v3 (junio de 2026): SSO con MFA para todo el personal en las herramientas de administración; el acceso se revisa cada trimestre”. La usuaria dice: “Estamos en AWS en Irlanda. Todavía no tenemos SOC 2; empezamos con un auditor en septiembre. Hacemos copias de seguridad diarias”.

> 1. ¿Tienen un informe SOC 2 Tipo II?  
> 2. ¿Se exige MFA en todo el acceso administrativo?  
> 3. ¿Dónde se almacenan los datos de los clientes?  
> 4. ¿Cifran los datos en reposo?  
> 5. ¿Nos notificarán una brecha en un plazo de 24 horas?

**Salida:**

```markdown
# Cuestionario de seguridad — Seguros Ostara, 4 de noviembre

_No es asesoría legal. Respuestas redactadas a partir de la evidencia listada; revísalas antes de enviarlas._

## Evidencia usada
- [E1] Política de acceso v3, junio de 2026
- [E2] Afirmaciones de Marta, 4 de noviembre de 2026

## Respuestas
| # | Pregunta | Respuesta | Detalle | Evidencia |
|---|---|---|---|---|
| 1 | Informe SOC 2 Tipo II | No | Agendaluz no tiene un informe SOC 2. En septiembre de 2026 empezó un encargo de auditoría. | [E2] |
| 2 | MFA en el acceso de administración | Sí | Todo el personal entra a las herramientas de administración mediante SSO con MFA. El acceso se revisa cada trimestre. | [E1] |
| 3 | Ubicación de los datos | Sí | Los datos de los clientes se almacenan en AWS, en Irlanda. | [E2] |
| 4 | Cifrado en reposo | Desconocido | La evidencia no lo cubre. | — |
| 5 | Aviso de brecha en 24 horas | Desconocido | No se aportó una política de incidentes. [compromiso: confirmar con abogado/a] | — |

## Puntos abiertos
| # | Qué necesitamos | Responsable | ¿Bloquea el acuerdo? |
|---|---|---|---|
| 4 | Confirmar el cifrado en reposo de bases de datos y copias de seguridad | [responsable: por confirmar] | desconocido |
| 5 | Política de respuesta a incidentes y el plazo de aviso que podemos cumplir | Marta | desconocido |
| 1 | Fecha prevista del informe SOC 2, si queremos compartir una | Marta | desconocido |

## Compromisos que confirmar con abogado/a
- N.º 5: aviso de brecha en un plazo de 24 horas — [compromiso: confirmar con abogado/a]
```

## Comprobaciones antes de enviar

- [ ] La línea de descargo está al principio de la salida.
- [ ] Cada “Sí” cita evidencia que muestra que el control existe hoy.
- [ ] No se nombra ninguna certificación, auditoría o prueba de penetración salvo que el usuario la aportara con fecha.
- [ ] La certificación de un proveedor nunca se presenta como propia del usuario.
- [ ] Cada “Desconocido” aparece en los puntos abiertos con un responsable o “[responsable: por confirmar]”.
- [ ] Los compromisos están señalados para el abogado/a.

## Errores comunes

- Responder “Sí” porque el control está planificado. Planificado es “No” más el plan.
- Copiar las respuestas del año pasado sin comprobar que siguen siendo ciertas.
- Escribir largos ensayos de seguridad. Los revisores puntúan mejor las respuestas breves y concretas.

Compártela con tu equipo

Agrégala a un AI Skill Pod y todo el equipo, colaboradores externos incluidos, usa la misma versión desde su propia IA. Lee las mejores formas de compartir skills de IA con un equipo

Agregar al pod de mi equipo

Historial de cambios

• v1.0.0 · 4 de noviembre de 2026 · First release.