Qué hace bueno a un Trust Center
Un Trust Center responde a las preguntas que los departamentos de compras y de seguridad plantean una y otra vez, antes de que las planteen. ¿Qué frameworks sigue y existe un certificado o un informe de atestación? ¿Quién es la persona de contacto para cuestiones de seguridad? ¿Cómo se cifran los datos, dónde se alojan y cómo gestiona los incidentes? ¿Qué subencargados intervienen?
Un Trust Center es bueno cuando responde a esas preguntas de forma concreta y actualizada. Las frases generales sobre la gran importancia de la seguridad no ayudan a nadie. Son mejores datos breves y verificables: qué ámbitos están cubiertos, qué documentos existen y cuándo se actualizaron por última vez.
La actualidad es lo más importante. Una página con un certificado caducado perjudica más que no tener página. En Sightadel, los contenidos proceden del sistema con el que ya trabaja. Allí se mantienen los frameworks, las evidencias y los subencargados, y las novedades aparecen con fecha en la página.
Por último, cuenta que se pueda encontrar. Incluya la dirección en su sitio web, sus ofertas y su firma de correo electrónico. El equipo de ventas puede mencionarla pronto en la conversación, y no solo cuando llega el cuestionario.
Qué publicar y qué no
Todo lo que aprueba en el Trust Center es público. Ese es el propósito de la página y, a la vez, su límite más importante. Antes de aprobar cada documento, compruebe si contiene datos que podrían ayudar a un atacante: nombres internos de sistemas, direcciones IP, esquemas de red, nombres y extensiones de administradores, detalles de los productos de seguridad utilizados.
Son adecuados los certificados, una versión resumida de la política de seguridad de la información, una visión general de las medidas técnicas y organizativas a nivel general y la lista de subencargados. También encajan las respuestas a preguntas frecuentes, por ejemplo sobre el alojamiento, el cifrado o la gestión de incidentes de seguridad.
No deben figurar en la página pública los informes de auditoría completos, las políticas internas íntegras, los resultados de pruebas de penetración ni los planes de emergencia. Estos documentos se facilitan bajo petición a clientes concretos y, en caso de duda, solo tras un acuerdo de confidencialidad.
Revise la página sin sesión iniciada antes de publicarla y después de cada cambio. Solo así ve lo que realmente ve un visitante. Cada documento se aprueba por separado. Lo que debe quedar en casa, queda en casa.
Cómo el Trust Center acorta los cuestionarios
Los cuestionarios de seguridad de los clientes suelen ser largos, y la mayoría de las preguntas se repiten de un cliente a otro. Ubicación del alojamiento, cifrado, control de acceso, copias de seguridad, gestión de incidentes, formación del personal, subencargados: las respuestas apenas cambian.
El Trust Center absorbe esas preguntas estándar. Muchos clientes aceptan un enlace como respuesta o como anexo al cuestionario. Entonces usted solo responde lo que es realmente individual, por ejemplo particularidades contractuales o preguntas sobre la conexión con los sistemas del cliente.
Para que funcione, los datos del Trust Center y las respuestas de los cuestionarios deben coincidir. Por eso, mantenga las respuestas estándar en un único lugar. Si algo cambia, por ejemplo por un nuevo subencargado, actualice primero el Trust Center.
Para el equipo de ventas, esto significa que el enlace debe aparecer pronto en la conversación. Un interesado que ya en la fase de selección ve qué frameworks sigue y qué evidencias existen plantea menos preguntas en compras. Eso ahorra tiempo a ambas partes.
Útil también sin certificado
Un Trust Center no presupone un certificado. Para NIS2 no existe obligación de certificación, y para el RGPD un certificado tampoco es habitual. Aun así, los clientes preguntan cómo cumple los requisitos. El Trust Center muestra qué frameworks gestiona activamente y qué medidas están implantadas.
También es útil en el camino hacia una certificación. Muestra que trabaja conforme a ISO 27001 y que prevé una auditoría, sin afirmar un certificado que aún no tiene. Cuide la precisión de las formulaciones. Hable de certificación solo cuando un organismo acreditado haya emitido el certificado. Antes, encaja una formulación como «gestión de la seguridad de la información basada en ISO 27001».
Sightadel no certifica. La auditoría la realiza un organismo externo e independiente, de la red de socios de la aplicación o elegido libremente. Cuando tenga el certificado, súbalo a la biblioteca de evidencias, apruébelo en el Trust Center y publique una novedad con fecha. Así, los clientes ven de un vistazo desde cuándo es válido.
