# Cuestionarios de Seguridad

> Cargue cuestionarios de seguridad, deje que la IA redacte respuestas a partir de sus respuestas aprobadas y envíe cuestionarios completados más rápido.

Source: https://docs.graph8.com/es/studio/security-questionnaires/

Los Cuestionarios de Seguridad convierten el tedioso papeleo de adquisiciones en unos minutos de revisión. Cargue un cuestionario (SIG, CAIQ, hoja de cálculo personalizada) y graph8 extrae las preguntas, las compara con su biblioteca de respuestas aprobadas y genera borradores. Usted revisa y envía.

## Por qué existe

Un solo cuestionario de seguridad puede tener entre 150 y 400 preguntas. Los equipos dedican entre 8 y 40 horas por cuestionario copiando manualmente respuestas de cuestionarios anteriores, políticas de seguridad y runbooks. Este módulo reduce ese tiempo a entre 30 y 90 minutos de revisión.

## Cómo funciona

1. Vaya a **Studio → Security Questionnaires → New Questionnaire**
2. Cargue el archivo del cuestionario (XLSX, DOCX o PDF)
3. graph8 lo analiza: extrae cada pregunta, sección y formato de respuesta esperado
4. La IA compara cada pregunta con su biblioteca de respuestas aprobadas
5. Revise los borradores de respuestas
6. Exporte el cuestionario completado en el mismo formato que cargó

## Formatos compatibles

| Formato | Notas |
|--------|-------|
| **XLSX** | El más común: cuestionarios con filas de preguntas. La salida preserva el formato original |
| **DOCX** | Documentos Word con preguntas numeradas. La salida devuelve un nuevo DOCX |
| **PDF** | Solo entrada de lectura; la salida debe ser XLSX o DOCX |
| **Google Sheets** | Importación mediante conexión con Google Drive |
| **SIG (Standard Information Gathering)** | Compatibilidad nativa: reconoce los formatos estándar SIG Lite y SIG Core |
| **CAIQ (Consensus Assessments Initiative Questionnaire)** | Compatibilidad nativa |

## Extracción de preguntas

El análisis depende del formato:

- **Estructurado (XLSX)**: graph8 identifica la columna de preguntas, la columna de respuestas y cualquier columna de clasificación (categoría, familia de controles, etc.)
- **Semiestructurado (DOCX)**: detecta preguntas numeradas y preserva la jerarquía
- **No estructurado (PDF)**: utiliza IA para identificar el texto de las preguntas; puede requerir revisión manual en casos atípicos

Tras la extracción, revise las preguntas analizadas. Puede:

- Combinar duplicados
- Reclasificar etiquetas de categoría
- Marcar preguntas como "omitir" si no aplican

## Biblioteca de respuestas

La biblioteca de respuestas es su fuente única de referencia para las respuestas aprobadas. Cada vez que revisa y aprueba una respuesta, esta se agrega a la biblioteca para reutilizarla en cuestionarios futuros.

### Configuración inicial de la biblioteca

Inicialice su biblioteca a partir de:

- Cuestionarios completados anteriormente (carga masiva)
- Políticas de seguridad (informe SOC 2, resultados de pruebas de penetración, documentos del SGSI)
- Runbooks de ingeniería
- Documento de respuestas canónicas del equipo de cumplimiento

Vaya a **Security Questionnaires → Answer Library → Import** para realizar una carga masiva.

### Organización de la biblioteca

| Campo | Propósito |
|-------|---------|
| **Patrón de pregunta** | La pregunta (o variante parafraseada) que esta respuesta aborda |
| **Respuesta canónica** | La respuesta aprobada |
| **Formulaciones alternativas** | Variantes breves, largas o adaptadas a hojas de cálculo |
| **Etiquetas** | Categoría (control de acceso, protección de datos, etc.) |
| **Nivel de confianza** | Alto / Medio / Bajo: afecta los umbrales de aprobación automática |
| **Última revisión** | Fecha en que la respuesta se aprobó por última vez |
| **Responsable** | Qué equipo o persona es el responsable |

### Gobernanza de la biblioteca

Las respuestas tienen un ciclo de vida de revisión:

- **Pendiente de revisión**: elaborada o importada, aún no aprobada
- **Aprobada**: lista para usar
- **Requiere actualización**: marcada tras N meses sin nueva revisión
- **Obsoleta**: ya no es aplicable

Configure la frecuencia de revisión en **Library → Settings → Review Cadence** (predeterminado: cada 6 meses).

## Elaboración de respuestas

Una vez cargado y analizado el cuestionario, haga clic en **Draft Answers**. graph8 recorre cada pregunta y:

1. Encuentra la respuesta con mejor coincidencia en su biblioteca
2. Reformula la respuesta para adaptarla al formato de la pregunta (respuesta corta, respuesta larga, S/N/NA)
3. Asigna una puntuación de confianza (0-100)
4. Marca las preguntas sin buena coincidencia para revisión manual

### Puntuación de confianza

| Confianza | Significado | Acción recomendada |
|-----------|---------|-------------------|
| **≥90** | Coincidencia directa de alta confianza | Aprobación rápida |
| **70-89** | Coincidencia sólida con reformulación menor | Revisar para verificar exactitud |
| **40-69** | Coincidencia parcial: existe contenido relevante en la biblioteca | Revisión exhaustiva o nueva respuesta |
| **Menos de 40** | Sin buena coincidencia en la biblioteca | Redactar desde cero o rechazar |

### Acciones masivas

Desde la pantalla de revisión:

- **Aprobar todo con confianza ≥90**: aprobación rápida de coincidencias evidentes
- **Marcar todo con confianza inferior a 40**: clasificar los elementos desconocidos
- **Reasignar al responsable**: derivar categorías específicas a su responsable (legal, seguridad, ingeniería)

## Flujo de revisión

1. Abra la pantalla de **Review** del cuestionario
2. Filtre por confianza, sección o responsable
3. Para cada pregunta:
   - Lea el borrador de respuesta
   - Edite en línea si es necesario
   - Haga clic en **Approve** para finalizar
   - Haga clic en **Needs Input** para derivar a otra persona con un comentario
4. Una vez aprobadas todas las preguntas, haga clic en **Export**

### Colaboración

Varios revisores pueden trabajar en el mismo cuestionario de forma simultánea:

- Asigne secciones a responsables (seguridad, legal, ingeniería)
- Agregue comentarios en preguntas que requieran discusión
- Vea quién está consultando una sección en ese momento (indicador de presencia)
- Las menciones (`@username`) envían notificaciones por correo electrónico

### Control de versiones

Cada edición queda registrada. Revierta a cualquier versión anterior de una respuesta en **Review → [Question] → History**.

## Exportación

Cuando todas las respuestas estén aprobadas, exporte el cuestionario:

1. Haga clic en **Export**
2. Elija el formato:
   - **Original XLSX**: respuestas insertadas en la estructura del archivo original
   - **Formatted DOCX**: respuestas presentadas en un documento Word con formato
   - **PDF**: PDF estático y bloqueado
   - **CSV**: pares de pregunta-respuesta sin formato
3. Haga clic en **Download**

Las exportaciones preservan:
- El orden original de las preguntas
- Los encabezados de sección y el formato
- Cualquier marca o encabezado del archivo original

### Registro de auditoría

La exportación incluye una página opcional de registro de auditoría que detalla:

- Quién aprobó cada respuesta
- Cuándo se aprobó
- La fuente de la biblioteca de respuestas (ID canónico)
- Cualquier edición realizada durante la revisión

Actívelo en **Export → Include Audit Trail**.

## Reutilización en distintos cuestionarios

Tras completar 2-3 cuestionarios, su biblioteca es lo suficientemente sólida como para que los nuevos cuestionarios obtengan entre un 70 % y un 90 % de coincidencias automáticas con una confianza ≥70. El tiempo de revisión se reduce considerablemente después de los primeros cuestionarios.

### Crecimiento típico de la biblioteca

| Cuestionarios completados | Tamaño de la biblioteca | Tasa de coincidencia automática |
|--------------------------|--------------|-----------------|
| 1 | ~200 respuestas | 20-30% |
| 3 | ~500 respuestas | 50-65% |
| 10 | ~1.200 respuestas | 75-85% |
| 25+ | ~2.000+ respuestas | 85-95% |

## Integraciones

| Integración | Uso |
|-------------|-----|
| **Google Drive** | Importar cuestionarios directamente desde Drive |
| **Slack** | Recibir notificaciones cuando se le asignen cuestionarios |
| **Jira / Linear** | Crear tickets para preguntas que requieran aportación del equipo de ingeniería |
| **Vanta / Drata** | Incorporar controles de cumplimiento directamente a la biblioteca de respuestas |
| **SharePoint** | Importar masivamente cuestionarios históricos |

Configure las integraciones en **Settings → Integrations**.

## Permisos

| Rol | Capacidades |
|------|-------------|
| **Admin** | Cargar cuestionarios, gestionar la biblioteca, aprobar respuestas, exportar |
| **Reviewer** | Revisar y aprobar borradores de respuestas para las secciones asignadas |
| **Contributor** | Agregar respuestas a la biblioteca (pendiente de aprobación del administrador) |
| **Viewer** | Acceso de solo lectura |

Configure permisos por sección para cuestionarios sensibles (legal, financiero, recursos humanos).

## Seguridad

Todo el contenido de los cuestionarios y los datos de la biblioteca de respuestas se cifran en reposo y en tránsito. Los cuestionarios están delimitados a su organización: nunca se utilizan como datos de entrenamiento ni se comparten entre distintos clientes.

Los registros de acceso rastrean cada consulta, edición y exportación. Exporte los registros en **Settings → Audit → Security Questionnaires**.

## Solución de problemas

| Problema | Solución |
|-------|-----|
| El análisis del cuestionario omitió preguntas | Vuelva a analizar con límites de sección manuales, o edite directamente el resultado de la extracción |
| Confianza baja en la mayoría de las preguntas | La biblioteca es insuficiente: inicialícela con cuestionarios y políticas anteriores |
| El formato de exportación no coincide con el original | Use el modo "Original XLSX"; si el problema persiste, el original usaba plantillas no estándar |
| Las respuestas se contradicen entre sí | Revise la biblioteca en busca de entradas en conflicto; marque las más antiguas como obsoletas |
| El revisor no puede ver una sección | Verifique los permisos a nivel de sección en la pantalla de revisión |

> **Tip:**
> Inicialice su biblioteca antes de su primer cuestionario cargando su informe SOC 2, los resultados de pruebas de penetración y los últimos 1-2 cuestionarios completados. La calidad del primer borrador mejora considerablemente con tan solo 100 a 200 entradas en la biblioteca.

## Relacionado

- [Global Context →](https://docs.graph8.com/studio/global/) — Detalles de marca y empresa referenciados en las respuestas
- [Custom Records →](https://docs.graph8.com/studio/custom-records/) — Modele objetos relacionados (políticas, controles)
- [Skills →](https://docs.graph8.com/studio/skills/) — La elaboración de respuestas está impulsada por skills