Responder a un cuestionario de seguridad de proveedores sobre WiFi: una lista de verificación con las evidencias que debe adjuntar

Utilice esto para determinar el alcance del cuestionario de seguridad del proveedor sobre WiFi. Con 60 preguntas y un 70 % de pruebas reutilizables, permite recuperar 14,5 horas de trabajo. De esas preguntas, 18 requieren pruebas actualizadas. La lista de comprobación asigna cada pregunta al documento que se debe adjuntar, desde la configuración de autenticación y los registros de acceso hasta los certificados de ISO 27001 y los registros de segmentación de PCI DSS.

¿Qué ofrece esta herramienta de cuestionario de seguridad sobre WiFi?

Un cuestionario de seguridad del proveedor sobre WiFi llega al equipo de red con un plazo límite y poco contexto. Puede proceder de un cliente corporativo, un socio de pagos, una aseguradora, un franquiciador o su propio equipo de compras. Las preguntas se repiten de una revisión a otra. Sin embargo, las pruebas se encuentran repartidas en varias consolas y carpetas de entrada.

Esta herramienta convierte todo esto en un plan. Consta de dos partes y cada una ofrece resultados sobre los que puede actuar:

• La calculadora de esfuerzo ofrece tres datos: las horas necesarias para completar la sección de WiFi, el número de preguntas que requieren pruebas nuevas y las horas que le ahorra su paquete de pruebas permanente.
• La lista de comprobación de pruebas indica los documentos que debe guardar en archivo, agrupados por red. De este modo, la mayoría de las respuestas se convierten en una simple consulta en lugar de un proyecto.

Cada pregunta se asigna a una de las tres redes o a la gobernanza:

• La red abierta da acceso a invitados y a la incorporación de dispositivos propios (BYOD). Se conectan a través de un portal cautivo, la página web que gestiona el acceso antes de que un dispositivo se una.
• La red segura da acceso al personal mediante IEEE 802.1X, el estándar que obliga a cada dispositivo a autenticarse antes de obtener una dirección.
• La red de xPSK proporciona a cada dispositivo o residente su propia clave compartida previamente. Así, la filtración de una clave nunca expone al resto de los usuarios.

En las tres redes, la identidad define la VLAN, el segmento de red lógico en el que recae un dispositivo.

{"kind":"flow","direction":"lr","caption":"Cómo pasa un cuestionario de seguridad WiFi de su recepción a un paquete de evidencias completo","alt":"Flujo desde la recepción del cuestionario hasta la clasificación, cotejo de evidencias, nueva captura y firma, cerrando el ciclo al actualizar el paquete existente.","nodes":[{"id":"a","label":"Recepción del cuestionario","sub":"De un cliente, aseguradora, socio o auditor","tone":"neutral"},{"id":"b","label":"Clasificación de preguntas","sub":"Abierta, segura, xPSK o gobernanza","tone":"brand"},{"id":"c","label":"Cotejo con el paquete existente","sub":"Exportaciones fechadas, capturas, certificados","tone":"brand"},{"id":"d","label":"Captura de nuevas evidencias","sub":"Sedes muestreadas, prueba de bajas, prueba de segmentación","tone":"neutral"},{"id":"e","label":"Revisión y firma del responsable","sub":"Cada respuesta cita la evidencia adjunta","tone":"neutral"},{"id":"f","label":"Entrega y actualización del paquete","sub":"Los nuevos artefactos se incorporan para la próxima vez","tone":"success"}],"edges":[{"from":"a","to":"b"},{"from":"b","to":"c"},{"from":"c","to":"d","label":"brechas"},{"from":"c","to":"e","label":"cubierto"},{"from":"d","to":"e"},{"from":"e","to":"f"},{"from":"f","to":"c","label":"siguiente revisión","style":"dashed"}]}

Ese bucle es el objetivo. Cada cuestionario al que responde debe dejar el paquete más completo, de modo que el siguiente requiera menos esfuerzo.

La evidencia procede de las consolas que ya utiliza:

• Cisco Meraki Dashboard
• HPE Aruba Central
• Ruckus SmartZone
• Juniper Mist
• La aplicación Ubiquiti UniFi Network

Junto a ellas, Purple Access le ofrece visibilidad e informes en todas las redes abiertas, seguras y xPSK.

¿Cómo utilizo la calculadora y la lista de comprobación de evidencias?

Comience con la calculadora. Cuente las preguntas de la sección de WiFi. A continuación, estime la proporción a la que puede responder con las evidencias de las que ya dispone, fechadas en el último trimestre. Sea honesto con ese segundo dato. Una captura de pantalla sin fecha del año pasado no es una evidencia reutilizable.

{"title":"Calculadora de esfuerzo para cuestionarios de seguridad WiFi","intro":"Introduzca el tamaño de la sección de WiFi y qué parte cubre su paquete de evidencias actual. Devuelve las horas necesarias para responder, las preguntas que requieren evidencias nuevas y las horas que ahorra el paquete.","inputs":[{"id":"questions","label":"Preguntas sobre WiFi en el cuestionario","unit":"preguntas","default":60,"min":5,"max":400,"step":1},{"id":"reuse","label":"Proporción respondible desde su paquete de evidencias antiguo","unit":"%","default":70,"min":0,"max":100,"step":5},{"id":"reusetime","label":"Minutos por pregunta respondida desde el paquete","unit":"min","default":6,"min":1,"max":60,"step":1},{"id":"freshtime","label":"Minutos por pregunta que requiere evidencias nuevas","unit":"min","default":30,"min":5,"max":240,"step":5},{"id":"sites","label":"Sedes muestreadas por el revisor","unit":"sedes","default":4,"min":0,"max":50,"step":1},{"id":"sitetime","label":"Minutos de captura de evidencias por sede muestreada","unit":"min","default":20,"min":5,"max":120,"step":5}],"outputs":[{"id":"hours","label":"Horas para completar la sección de WiFi","expr":"(questions*reuse/100*reusetime+questions*(100-reuse)/100*freshtime+sites*sitetime)/60","format":"decimal1","unit":"horas"},{"id":"fresh","label":"Preguntas que requieren evidencias nuevas","expr":"ceil(questions*(100-reuse)/100)","format":"int","unit":"preguntas"},{"id":"saved","label":"Horas ahorradas por el paquete de evidencias actual","expr":"questions*reuse/100*(freshtime-reusetime)/60","format":"decimal1","unit":"horas"}],"example":"Con 60 preguntas, un 70 % reutilizable, seis y 30 minutos por respuesta y cuatro sedes muestreadas a 20 minutos cada una, el resultado es 14,5 horas, 18 preguntas que requieren evidencias nuevas y 16,8 horas ahorradas.","assumptions":["Las cifras de tiempo son estimaciones orientativas de planificación, no referencias de Purple: sustitúyalas por las suyas propias.","Reutilizable significa que tiene fecha dentro del último trimestre y pertenece a una persona responsable identificada.","El tiempo por sede incluye capturas de pantalla de la consola y un export de registros de muestra.","No se incluyen las rondas de seguimiento del revisor."]}

A continuación, revise la lista de comprobación. Es su paquete de evidencias permanente, agrupado por red. Descárguelo como CSV y asigne un responsable a cada fila. Después, registre la fecha en la que se capturó cada artefacto por última vez.

{"title":"Paquete de evidencias continuas de WiFi","groups":[{"heading":"Gobernanza y evidencias del proveedor","items":[{"text":"Certificado ISO 27001 y declaración de alcance de Purple"},{"text":"Certificado Cyber Essentials de Purple"},{"text":"Acuerdo de procesamiento de datos que cubra los datos del Captive Portal bajo GDPR"},{"text":"Diagrama de red de los SSID, VLAN y salida a internet, con fecha de este trimestre"}]},{"heading":"Red segura: personal","items":[{"text":"Captura de pantalla de la consola con el SSID del personal configurado en WPA2 o WPA3 con 802.1X"},{"text":"Exportación de políticas RADIUS que muestre EAP-TLS y la VLAN devuelta por grupo"},{"text":"Conexión del proveedor de identidades: Microsoft Entra ID, Okta o Google Workspace"},{"text":"Prueba con fecha de usuario dado de baja: cuenta deshabilitada, acceso revocado, ambas marcas de tiempo registradas"},{"text":"Fecha de caducidad del certificado del servidor RADIUS y responsable de la renovación"},{"text":"Perfil de MDM que entrega los certificados de dispositivo"}]},{"heading":"Red xPSK: dispositivos y residentes","items":[{"text":"Exportación del inventario de claves: una clave por dispositivo o residente, con su VLAN"},{"text":"Registro de revocación de una clave eliminada"},{"text":"Regla de rotación para claves en dispositivos desatendidos como escáneres y señalización"}]},{"heading":"Red abierta: invitados y BYOD","items":[{"text":"Reglas de VLAN y firewall que demuestren que los invitados no pueden acceder a las redes del personal o de pago"},{"text":"Ajuste de aislamiento de clientes desde la consola del punto de acceso"},{"text":"Redacción del consentimiento del Captive Portal y un registro de consentimiento de muestra"},{"text":"Resultado de la última prueba de segmentación PCI-DSS, si la empresa acepta pagos con tarjeta"}]},{"heading":"Registros y supervisión","items":[{"text":"Exportación de muestra del registro de autenticación de Purple Access, con marcas de tiempo"},{"text":"Período de retención de registros establecido y el SIEM que recibe los registros"},{"text":"Informe de puntos de acceso no autorizados desde su controlador"},{"text":"Contacto designado para incidentes y ruta de escalada"}]}],"download":{"filename":"wifi-questionnaire-evidence-pack.csv"}}

El checklist utiliza algunos términos que conviene definir:

• RADIUS (RFC 2865) es el protocolo que transmite las solicitudes de autenticación desde el punto de acceso al servidor.
• EAP-TLS (RFC 5216) autentica cada dispositivo mediante un certificado en lugar de una contraseña.
• MDM es la gestión de dispositivos móviles, el sistema que distribuye dichos certificados a los dispositivos.
• SIEM es su plataforma de gestión de eventos e información de seguridad.

Elimine los grupos correspondientes a las redes que no gestione. Si no cuenta con una red xPSK, elimine esas tres filas. En ese caso, las preguntas sobre xPSK pasarán a ser "no aplicable" especificando el motivo en una sola línea.

{"tone":"warning","title":"Oculte información confidencial antes de adjuntar","text":"Elimine los secretos compartidos de RADIUS, las claves precompartidas y las claves privadas de los certificados de todas las exportaciones y capturas de pantalla. La respuesta a un cuestionario suele difundirse mucho más allá del revisor que la solicitó."}

Ejemplo práctico: revisión de 60 preguntas para un minorista con 140 tiendas

La propiedad a continuación es ilustrativa, no representa a un cliente con nombre de Purple. Se trata de un grupo minorista con 140 tiendas en Cisco Meraki y una sede central en HPE Aruba. Un socio de pagos envía una evaluación de seguridad de proveedores con una sección de 60 preguntas sobre WiFi.

El grupo opera las tres redes:

• Abierta: los compradores se conectan a través de un portal cautivo, en su propio VLAN.
• Segura: el personal se conecta con EAP-TLS mediante Microsoft Entra ID.
• xPSK: los escáneres portátiles y la señalización digital tienen cada uno su propia clave.

Datos de entrada	Valor	Base
Preguntas sobre WiFi	60	Contadas a partir del cuestionario
Proporción de respuestas reutilizables del paquete	70%	42 preguntas vinculadas a artefactos con fecha
Minutos por respuesta reutilizada	6	Pegar, comprobar la fecha y nombrar al responsable
Minutos por respuesta nueva	30	Capturar, redactar, escribir y revisar
Centros muestreados	4	Tres tiendas y la sede central
Minutos por centro muestreado	20	Capturas de pantalla de la consola y exportación de registros

Con estos datos de entrada, la calculadora da como resultado 14,5 horas:

• Las 42 respuestas reutilizadas requieren 4,2 horas.
• Las 18 respuestas nuevas requieren nueve horas.
• Los cuatro centros muestreados añaden unas 1,3 horas.

Sin el paquete, la misma sección requeriría 31,3 horas. El paquete ahorra 16,8 horas en esta sola revisión.

¿Qué 18 preguntas necesitaban pruebas nuevas? En este ejemplo, la mayoría eran específicas de un centro o tenían una redacción nueva. El revisor solicitó tres elementos que el paquete no incluía:

• Una prueba con fecha del personal saliente.
• Prueba de la segmentación entre invitados y pagos para las tiendas muestreadas.
• Un periodo por escrito de retención de registros.

La siguiente tabla relaciona las preguntas habituales con las pruebas adjuntas. Descárguela y añada la redacción de sus propios revisores.

{"caption":"Common WiFi questionnaire questions and the evidence to attach","asOf":"2026-06-10","columns":[{"key":"q","label":"Question as reviewers phrase it"},{"key":"net","label":"Network"},{"key":"ev","label":"Evidence to attach"}],"rows":[["Is wireless access authenticated per individual?","Secure","SSID screenshot showing 802.1X; RADIUS policy export showing EAP-TLS"],["Are shared WiFi passwords in use?","xPSK, secure","Key inventory showing one key per device; staff on 802.1X"],["How are leavers removed from WiFi?","Secure","Dated leaver test and identity provider record"],["Is guest traffic separated from internal systems?","Open","VLAN map, firewall rules and client isolation setting"],["Can WiFi reach the cardholder data environment?","All three","Latest PCI DSS segmentation test result"],["Which encryption protects corporate WiFi?","Secure","SSID security setting: WPA2- or WPA3-Enterprise"],["How long are WiFi access logs retained?","All three","Written retention period plus sample log export"],["Do you detect rogue access points?","All three","Rogue access point report from the controller"],["How is personal data from guest WiFi handled?","Open","Captive portal consent wording and processing agreement"],["What certifications does your WiFi provider hold?","Governance","Purple ISO 27001 and Cyber Essentials certificates"]],"footnote":"Each answer describes a control and attaches evidence for it. The judgement on whether a standard is met belongs to the assessor.","download":{"filename":"wifi-questionnaire-question-map.csv"}}

Fíjese en la redacción de la columna de pruebas. Cada respuesta describe un control y adjunta pruebas para respaldarlo. Ninguna afirma categóricamente que la infraestructura cumpla una norma por completo. Esto garantiza que sus respuestas sean defensibles en caso de que el evaluador pida más detalles.

¿Cómo se calcula la cifra de 14,5 horas?

La calculadora suma tres bloques de trabajo y luego los divide entre 60 para convertir los minutos en horas:

1. Respuestas reutilizadas: preguntas × porcentaje de reutilización × minutos por respuesta reutilizada. Con los valores predeterminados, 42 × 6 = 252 minutos.
2. Respuestas nuevas: preguntas × (100% - porcentaje de reutilización) × minutos por respuesta nueva. Con los valores predeterminados, 18 × 30 = 540 minutos.
3. Ubicaciones muestreadas: ubicaciones × minutos por ubicación. Con los valores predeterminados, 4 × 20 = 80 minutos.

El total es de 872 minutos, o 14,5 horas. El recuento de preguntas nuevas se redondea al alza, ya que una pregunta parcialmente cubierta sigue necesitando su propia prueba.

El resultado de horas ahorradas valora las respuestas reutilizadas como si fueran nuevas: 42 × (30 - 6) ÷ 60 = 16,8 horas. Al sumar 16,8 a 14,5 se obtiene el coste de 31,3 horas que supondría responder desde cero.

El porcentaje de reutilización es la clave:

• Con 60 preguntas, cada 10 puntos de reutilización ahorran 2,4 horas.
• Aumentar la reutilización del 70% al 90% reduce el tiempo de esta sección de 14,5 horas a 9,7.
• Las ubicaciones muestreadas apenas varían el total, a menos que el evaluador solicite pruebas de un gran número de instalaciones.

Todas las cifras de tiempo son estimaciones de planificación para este ejemplo, no referencias de Purple. Sustitúyalas una vez que haya cronometrado un cuestionario real. Comparta las hipótesis si un revisor le pregunta cómo ha fijado la fecha de respuesta.

{"tone":"tip","title":"Cronometre el siguiente","text":"Anote los minutos que dedica a cada respuesta en su próximo cuestionario. Introduzca esas cifras en la calculadora y sus estimaciones dejarán de ser suposiciones."}

¿Cómo adapto la lista de comprobación a mi entorno?

Establezca los datos de entrada a partir del documento que tiene delante

Cuente las preguntas sobre WiFi en el cuestionario real en lugar de adivinarlas por su título. Los formularios estandarizados y las revisiones a medida de los clientes varían mucho en longitud. Establezca el porcentaje de reutilización solo después de haber cotejado cada pregunta con una fila fechada en la lista de comprobación.

Entornos con múltiples proveedores

Planifique una ubicación muestreada por consola, ya que los revisores suelen pedir una captura de pantalla de cada plataforma. Un entorno basado en Cisco Meraki y HPE Aruba necesita al menos dos. Añada ubicaciones de Juniper Mist o Ubiquiti UniFi y los datos de entrada aumentarán con ellas.

Los ajustes que hay que capturar son los mismos en cada consola:

• El modo de seguridad del SSID.
• El servidor RADIUS al que apunta el SSID.
• La asignación dinámica de VLAN, que utiliza los atributos de túnel RADIUS de la norma RFC 3580.

Entornos gestionados y franquicias

Cuando los franquiciados son propietarios de los puntos de acceso, las pruebas centrales solo cubren la directiva. Reduzca la cuota de reutilización para las preguntas sobre la ubicación y aumente los minutos de la ubicación muestreada. Las capturas de pantalla de los franquiciados tardan más en recopilarse.

Los sectores verticales cambian las redes incluidas en el alcance

Las redes que importan dependen de quién se conecte:

• Hostelería y restauración: los clientes se conectan a la red abierta y el personal a la red segura. Whitbread ejecuta WiFi de personal segmentado sobre Purple.
• Propiedades multinquilino como las viviendas de alquiler gestionado (BTR) y las residencias de estudiantes: los residentes suelen utilizar xPSK. Prevea preguntas sobre el aislamiento entre residentes.
• Comercio minorista (Retail): los revisores se centran en la segmentación de la normativa PCI DSS entre la red de los compradores y los sistemas de pago.
• Sector sanitario: los pacientes y visitantes se conectan a la red abierta. Los dispositivos clínicos a menudo se conectan a xPSK.

Mantenga una columna de redacción por cada revisor

Añada una columna al CSV descargado para la redacción de cada revisor. Distintos revisores hacen la misma pregunta con palabras diferentes. Mapear su redacción en un único artefacto es lo que elevará su porcentaje de reutilización la próxima vez.

¿Qué debo hacer con el resultado antes de la próxima revisión?

Compare las horas obtenidas con tres franjas:

• Menos de 10 horas: el paquete de documentación está en buen estado. Actualice las filas fechadas cada trimestre.
• Entre 10 y 20 horas: observe dónde se concentran las preguntas nuevas, según la red.
• Más de 20 horas: el paquete de documentación es escaso, o bien una red tiene una brecha estructural que ninguna captura de pantalla puede cubrir.

Si las preguntas nuevas se concentran en la red del personal, compruebe si funciona con una frase de paso compartida. Una clave compartida no puede acreditar el acceso individual ni la eliminación limpia de un empleado saliente.

La solución no requiere hardware nuevo:

1. Pase al personal a la WiFi para personal en la red segura.
2. Configure el SSID como WPA2- o WPA3-Enterprise.
3. Apúntelo al RADIUS en la nube de Purple.
4. Deje que el proveedor de identidad decida la VLAN.

Nuestra guía sobre 802.1X para grupos de restauración con múltiples ubicaciones explica ese despliegue en cientos de centros. La configuración del MDM para certificados de dispositivos lleva de cinco a diez minutos, una sola vez, para toda la organización.

{"tone":"proof","text":"McDonald's vio un 80% menos de solicitudes al servicio de soporte de TI con Purple. JPMorgan ejecuta la WiFi para personal en Purple en 5000 sucursales, y Whitbread ejecuta WiFi para personal segmentada en Purple."}

Hay dos comprobaciones más que incluir en la lista:

• Fechas de caducidad de certificados. Un certificado de servidor RADIUS caducado bloquea al personal y convierte una revisión superada en un incidente. Nuestra guía sobre un certificado de servidor RADIUS caducado aborda la recuperación. Añada la fecha de renovación al expediente.
• La perspectiva general. Para su postura de seguridad más allá del cuestionario, lea la guía de seguridad de WiFi empresarial.

Preguntas frecuentes

¿Esto funciona con los puntos de acceso que ya tenemos?

Sí. Purple Access se ejecuta como una capa superpuesta en la nube sobre Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Solo tiene que apuntar la configuración RADIUS del SSID y el Captive Portal a Purple en la consola que ya utiliza. No se necesita hardware nuevo. Las capturas de pantalla de su expediente de evidencias proceden de las mismas consolas que su equipo abre todos los días. Purple funciona en más de 80 000 recintos en 90 países.

¿Cómo debemos redactar las respuestas sobre PCI-DSS y GDPR?

Describa el control y, a continuación, adjunte la evidencia del mismo. Escriba "el tráfico de invitados se ubica en una VLAN independiente sin ruta hacia la red de pagos; se adjunta prueba de segmentación". Evite una declaración genérica de que cumple con la norma. El evaluador decide si se cumple un requisito del GDPR o de PCI-DSS. Su trabajo consiste en hacer que ese juicio sea rápido, con evidencias fechadas y un responsable designado para cada respuesta.

¿Cuánto tiempo se tarda en crear el expediente de evidencias permanente?

Aproximadamente el mismo tiempo que responder a un cuestionario desde cero. Con los valores predeterminados de la calculadora, son 31,3 horas para 60 preguntas sin reutilización, incluidas cuatro sedes muestreadas. A partir de ahí, cada revisión cuesta la cifra de 14,5 horas o menos. Una actualización trimestral de las filas fechadas lo mantiene en esa cifra. Si los certificados del personal proceden de su MDM, la configuración lleva de cinco a diez minutos, una sola vez, para toda la organización.

¿Cuánto cuesta Purple Access?

El precio se presupuesta para su infraestructura, según las redes que ejecute y el número de recintos incluidos en el alcance. Traiga los resultados de esta herramienta a la conversación: su número de centros, las redes detrás de sus nuevas preguntas y las horas que lleva cada revisión. Esto le dará una visión clara del tiempo de equipo que Purple le devuelve frente a la suscripción.

¿Necesitamos sustituir nuestro servidor RADIUS para responder a estas preguntas?

No. Puede responder con evidencias procedentes de lo que sea que autentique al personal a día de hoy. Si la columna recién creada se sigue llenando con renovaciones de certificados, parches de servidores o registros de bajas que faltan, la solución RADIUS en la nube de Purple libera a su infraestructura de ese trabajo en las instalaciones. Nuestra guía sobre alternativas a Cisco ISE expone qué comparar a la hora de sopesar el cambio.

¿Cómo demostramos la eliminación de bajas en cientos de sedes?

Realice una prueba de bajas fechada y adjunte el registro del proveedor de identidades. El personal en 802.1X se autentica en Microsoft Entra ID, Okta o Google Workspace. Desactivar la cuenta ahí significa que Purple revoca el acceso a la red WiFi en toda la red de sedes, no en un único centro cada vez. Las altas, cambios de rol y bajas proceden directamente del directorio. Por lo tanto, esa única prueba sirve como evidencia para todas las ubicaciones.

¿El filtrado DNS debe ir en la sección de WiFi?

Sí, cuando los evaluadores pregunten qué impide que los dispositivos de invitados accedan a sitios nocivos. El filtrado DNS en Purple es Shield, un complemento de seguridad, por lo que debe adjuntar el resumen de su directiva junto con las evidencias de la red abierta. Mantenga esa respuesta separada de las preguntas de autenticación. El filtrado rige adónde va el tráfico. 802.1X y xPSK rigen quién se une y en qué VLAN aterriza.

¿Podemos reutilizar el mismo paquete para una revisión de seguridad de clientes y para una aseguradora?

Sí. La mayor parte de las evidencias se pueden aprovechar, ya que ambos evaluadores preguntan quién puede unirse, a qué se puede acceder y cómo se comprueba. Mantenga una columna en el CSV para la redacción de cada evaluador y vincúlela al mismo artefacto. Solo cambian entre las revisiones las sedes muestreadas y las fechas de captura. Después, conserve sus certificados de Cyber Essentials y ISO 27001 de forma centralizada para responder a cualquier solicitud.