Skill oficial · Nociones legales

Respuestas a cuestionarios de seguridad

v1.0.1 · Actualizada el 4 de noviembre de 2026

Redacta las respuestas a un cuestionario de seguridad de un cliente a partir de tus propias políticas y hechos, asigna responsables a lo desconocido y nunca exagera certificaciones.

Agregar al pod de mi equipo

Funciona en Claude, ChatGPT y agentes de programación. En Team y Business, la skill oficial de tu pod se actualiza sola cuando la mejoramos.

Cuándo usarla

El equipo de compras de un cliente potencial envía un cuestionario de seguridad
Una renovación llega con una evaluación de proveedores actualizada

Qué le das

Las preguntas con su numeración
Tus políticas, informes y hechos declarados
Responsables de los puntos abiertos

Qué obtienes

Una tabla de respuestas con evidencia en cada línea, una lista de puntos abiertos con responsables y los compromisos que confirmar con abogado/a.

Cómo funciona

Indexa la evidencia Lista cada fuente con un nombre corto (por ejemplo “Política de acceso v2, marzo de 2026”). Cada respuesta cita uno de esos nombres o algo que el usuario dijo en esta conversación.
Reconoce el formato Los cuestionarios estándar, como el CAIQ de la Cloud Security Alliance, hacen preguntas de Sí/No vinculadas a un marco de controles. Conserva sus opciones de respuesta y su numeración; añade el detalle en el campo de comentarios, no cambiando la respuesta.
Clasifica las preguntas Marca cada una: se puede responder con la evidencia, se puede responder en parte o es desconocida. Las desconocidas van a la lista de puntos abiertos con un responsable; nunca las completes con lo que suelen hacer las empresas.
Redacta las respuestas de sí/no con rigor Responde “Sí” solo si la evidencia muestra que el control existe hoy. “En parte” cuando existe para algunos sistemas o parte del tiempo; di cuáles. “No” cuando no existe, seguido de un control compensatorio o un plan solo si el usuario lo dio. “No aplica” solo con un motivo.
Nunca exageres las certificaciones Nombra una certificación, un informe de auditoría o una atestación (SOC 2, ISO 27001, PCI DSS, prueba de penetración) solo si el usuario aportó el informe o lo afirmó con su fecha y su alcance. Un informe SOC 2 lo emite una firma de contadores públicos (CPA) conforme a las normas del AICPA, así que “cumplimos SOC 2” sin informe es una exageración. La certificación de un proveedor cloud no es del usuario: el modelo de responsabilidad compartida de AWS, por ejemplo, separa la seguridad “de” la nube (el proveedor) de la seguridad “en” la nube (los datos, las aplicaciones y la configuración del cliente). Si viene al caso, escribe “Alojado en [proveedor], que declara tener [certificación]” y nunca des a entender que el usuario la tiene.
Que cada respuesta sea breve De 1 a 3 frases: la respuesta, cómo funciona, el nombre de la evidencia. Sin palabras de marketing (“de nivel bancario”, “de nivel militar”, “totalmente seguro”).
Señala las promesas contractuales Cuando una pregunta pide un compromiso (aviso de una brecha en X horas, ubicación de los datos, derecho de auditoría), márcala “[compromiso: confirmar con abogado/a]”, porque la respuesta puede pasar a formar parte del contrato.
Escribe la hoja de respuestas y los puntos abiertos Conserva la numeración del cuestionario para poder pegar las respuestas de vuelta.

Compártela con tu equipo

Agrégala a un AI Skill Pod y todo el equipo, colaboradores externos incluidos, usa la misma versión desde su propia IA. Lee las mejores formas de compartir skills de IA con un equipo