Cómo saber si tu proveedor de TI está haciendo su trabajo

La gerencia paga un servicio de TI cada mes y, casi siempre, no tiene cómo verificar qué se hace. No hace falta ser técnico para saberlo. Hace falta hacer las preguntas correctas y pedir evidencia de cada respuesta.

Ocho preguntas para tu proveedor de TI

Son ocho, y cada respuesta debe venir con su evidencia:

1. ¿Dónde está el inventario de equipos, software y licencias? Debe estar en poder de la empresa, actualizado, no “lo manejamos nosotros”.
2. ¿A nombre de quién están el dominio y el correo? Deben estar a nombre de la empresa, con un administrador interno identificado.
3. ¿Quién tiene cuentas de administrador? Debe existir una lista con nombres, no “solo el técnico”.
4. ¿El correo tiene segundo factor (MFA) para todos? Sí o no. Si es “para algunos”, pide cuáles no y por qué.
5. ¿Cuándo fue la última vez que se restauró un respaldo? No cuándo se hizo: cuándo se restauró y qué se recuperó.
6. ¿Cómo se enteran de una caída? Si la respuesta es “nos llama el usuario”, no hay monitoreo.
7. ¿Qué informe recibimos cada mes? Debe llegar sin pedirlo: incidentes, tiempos de respuesta y estado del respaldo.
8. Después del último incidente, ¿recibimos causa raíz? Qué pasó, a quién afectó y qué se cambió para que no se repita.

Cómo leer las respuestas

Tres patrones de respuesta conviene reconocer:

• “Eso lo tenemos nosotros” no es evidencia para la empresa. Pide copia.
• “Se hace automático” no prueba nada. Pide el registro o la última prueba.
• Respuestas vagas a la 2, la 3 o la 5 son las más graves: dominio, accesos y respaldo son lo que no puedes recuperar si el proveedor se va.

Un buen proveedor responde estas preguntas en un día y agradece que se las hagan. Si quieres ver qué debe existir detrás de cada respuesta, el checklist de auditoría de TI para pymes da, frente por frente, la pregunta y la evidencia que la empresa debe tener.

Qué hacer si no responde o la respuesta no convence

Si varias respuestas quedaron sin evidencia, lo que falta es el estado real por escrito. Estos son los pasos, en este orden:

1. No cambies de proveedor a ciegas. Sin un punto de partida, el nuevo hereda el mismo desorden.
2. Pide una revisión independiente. Alguien que no opere tu TI y que verifique en sitio, con evidencia, sin cambiar configuraciones.
3. Usa el resultado para negociar: lo que falta se convierte en compromisos medibles para el proveedor actual o en requisitos para el siguiente.

Esa revisión independiente tiene su propia guía: qué revisa una auditoría de sistemas y cuándo la necesita una empresa. En CLOUP.CO es la auditoría de sistemas, que verifica en sitio y le muestra a la gerencia qué ejecuta su proveedor; de qué depende su valor lo cuenta cuánto cuesta una auditoría de sistemas.