Responder a un cuestionario de seguridad de proveedores de WiFi: una lista de verificación con la evidencia que debe adjuntar

Utilice esto para definir el alcance de un cuestionario de seguridad de WiFi para proveedores. Con 60 preguntas y un 70% de evidencia reutilizable, le devuelve 14.5 horas de trabajo. De esas preguntas, 18 requieren evidencia reciente. La lista de verificación vincula cada pregunta con el artefacto que se debe adjuntar, desde la configuración de autenticación y los registros de acceso hasta los certificados ISO 27001 y los registros de segmentación PCI DSS.

¿Qué devuelve esta herramienta de cuestionario de seguridad de WiFi?

Un cuestionario de seguridad de WiFi para proveedores llega al equipo de red con una fecha límite y poco contexto. Puede provenir de un cliente corporativo, un socio de pagos, una aseguradora, un franquiciador o su propio equipo de compras. Las preguntas se repiten de una revisión a otra. Sin embargo, la evidencia se encuentra en varias consolas y en varias bandejas de entrada.

Esta herramienta convierte eso en un plan. Consta de dos partes, y cada una devuelve algo sobre lo que puede actuar:

• La calculadora de esfuerzo devuelve tres cosas: las horas para completar la sección de WiFi, el número de preguntas que requieren evidencia reciente y las horas que le ahorra su paquete de evidencia permanente.
• La lista de verificación de evidencia devuelve los artefactos que debe mantener archivados, agrupados por red. La mayoría de las respuestas se convierten en una consulta en lugar de un proyecto.

Cada pregunta se vincula a una de las tres redes, o a la gobernanza:

• La red abierta administra a los invitados y la incorporación de dispositivos propios (BYOD). Se unen a través de un portal cautivo, la página web que controla el acceso antes de que un dispositivo se conecte.
• La red segura administra al personal en IEEE 802.1X, el estándar que hace que cada dispositivo se autentique antes de recibir una dirección.
• La red xPSK le otorga a cada dispositivo o residente su propia clave precompartida. Una clave filtrada nunca expone a todos los demás.

En las tres redes, la identidad establece la VLAN, el segmento de red lógico en el que se ubica un dispositivo.

{"kind":"flow","direction":"lr","caption":"Cómo pasa un cuestionario de seguridad WiFi desde su llegada hasta un paquete de evidencias más completo","alt":"Un flujo desde la llegada del cuestionario a través del etiquetado, coincidencia de evidencia, captura reciente y aprobación, regresando en bucle para actualizar el paquete permanente.","nodes":[{"id":"a","label":"El cuestionario llega","sub":"De un cliente, aseguradora, socio o auditor","tone":"neutral"},{"id":"b","label":"Etiquetar cada pregunta","sub":"Abierta, segura, xPSK o de gobernanza","tone":"brand"},{"id":"c","label":"Cotejar con el paquete permanente","sub":"Exportaciones fechadas, capturas de pantalla, certificados","tone":"brand"},{"id":"d","label":"Capturar evidencia reciente","sub":"Sitios muestreados, prueba de bajas, prueba de segmentación","tone":"neutral"},{"id":"e","label":"El propietario revisa y firma","sub":"Cada respuesta cita la evidencia adjunta","tone":"neutral"},{"id":"f","label":"Enviar y actualizar el paquete","sub":"Los nuevos artefactos se unen al paquete para la próxima vez","tone":"success"}],"edges":[{"from":"a","to":"b"},{"from":"b","to":"c"},{"from":"c","to":"d","label":"brechas"},{"from":"c","to":"e","label":"cubiertas"},{"from":"d","to":"e"},{"from":"e","to":"f"},{"from":"f","to":"c","label":"siguiente revisión","style":"dashed"}]}

Ese bucle es el objetivo. Cada cuestionario que responde debe dejar el paquete más completo, de modo que el siguiente cueste menos.

La evidencia proviene de consolas que ya opera:

• Cisco Meraki Dashboard
• HPE Aruba Central
• Ruckus SmartZone
• Juniper Mist
• La aplicación Ubiquiti UniFi Network

Junto a ellas, Purple Access le brinda visibilidad y reportes a través de las redes abiertas, seguras y xPSK.

¿Cómo uso la calculadora y la lista de verificación de evidencias?

Comience con la calculadora. Cuente las preguntas en la sección de WiFi. Luego, estime la proporción que puede responder a partir de la evidencia que ya posee, con fecha del último trimestre. Sea honesto con ese segundo dato. Una captura de pantalla sin fecha del año pasado no es evidencia reutilizable.

{"title":"Calculadora de esfuerzo para cuestionario de seguridad WiFi","intro":"Ingrese el tamaño de la sección de WiFi y cuánto cubre su paquete de evidencia existente. Devolverá las horas necesarias para responder, las preguntas que requieren evidencia fresca y las horas que el paquete le ahorra.","inputs":[{"id":"questions","label":"Preguntas de WiFi en el cuestionario","unit":"preguntas","default":60,"min":5,"max":400,"step":1},{"id":"reuse","label":"Porcentaje con respuesta en su paquete de evidencia desactualizado","unit":"%","default":70,"min":0,"max":100,"step":5},{"id":"reusetime","label":"Minutos por pregunta contestada usando el paquete","unit":"min","default":6,"min":1,"max":60,"step":1},{"id":"freshtime","label":"Minutos por pregunta que requiere evidencia fresca","unit":"min","default":30,"min":5,"max":240,"step":5},{"id":"sites","label":"Sitios de los que el revisor toma muestras","unit":"sitios","default":4,"min":0,"max":50,"step":1},{"id":"sitetime","label":"Minutos de captura de evidencia por sitio muestreado","unit":"min","default":20,"min":5,"max":120,"step":5}],"outputs":[{"id":"hours","label":"Horas para completar la sección de WiFi","expr":"(questions*reuse/100*reusetime+questions*(100-reuse)/100*freshtime+sites*sitetime)/60","format":"decimal1","unit":"horas"},{"id":"fresh","label":"Preguntas que requieren evidencia fresca","expr":"ceil(questions*(100-reuse)/100)","format":"int","unit":"preguntas"},{"id":"saved","label":"Horas ahorradas por el paquete existente","expr":"questions*reuse/100*(freshtime-reusetime)/60","format":"decimal1","unit":"horas"}],"example":"Con 60 preguntas, 70% reutilizable, seis y 30 minutos por respuesta y cuatro sitios muestreados a 20 minutos cada uno, el resultado es 14.5 horas, 18 preguntas que requieren evidencia fresca y 16.8 horas ahorradas.","assumptions":["Las cifras de tiempo son estimaciones de planificación ilustrativas, no referencias oficiales de Purple: reemplácelas con las suyas.","Reutilizable significa con fecha dentro del último trimestre y asignado a una persona responsable.","El tiempo por sitio cubre capturas de pantalla de la consola y una exportación de registros de muestra.","No se incluyen las rondas de seguimiento del revisor."]}

A continuación, trabaje a través de la lista de verificación. Es su paquete de evidencia permanente, agrupado por red. Descárguelo como un archivo CSV y asigne un responsable a cada fila. Luego registre la fecha en que se capturó cada artefacto por última vez.

{"title":"Paquete de evidencias de WiFi permanente","groups":[{"heading":"Gobernanza y evidencias del proveedor","items":[{"text":"Certificado ISO 27001 y declaración de alcance de Purple"},{"text":"Certificado Cyber Essentials de Purple"},{"text":"Acuerdo de procesamiento de datos que cubre los datos del portal cautivo bajo GDPR"},{"text":"Diagrama de red de SSIDs, VLANs y salida a internet, con fecha de este trimestre"}]},{"heading":"Red segura: personal","items":[{"text":"Captura de pantalla de la consola del SSID del personal configurado en WPA2- o WPA3-Enterprise con 802.1X"},{"text":"Exportación de la política RADIUS que muestra EAP-TLS y la VLAN devuelta por grupo"},{"text":"Conexión del proveedor de identidad: Microsoft Entra ID, Okta o Google Workspace"},{"text":"Prueba de baja fechada: cuenta deshabilitada, acceso revocado, ambas marcas de tiempo capturadas"},{"text":"Fecha de vencimiento del certificado del servidor RADIUS y responsable de la renovación"},{"text":"Perfil de MDM que entrega los certificados de dispositivo"}]},{"heading":"Red xPSK: dispositivos y residentes","items":[{"text":"Exportación de inventario de claves: una clave por dispositivo o residente, con su VLAN"},{"text":"Registro de revocación para una clave eliminada"},{"text":"Regla de rotación para claves en dispositivos sin interfaz gráfica como escáneres y señalización"}]},{"heading":"Red abierta: invitados y BYOD","items":[{"text":"Reglas de VLAN y firewall que muestran que los invitados no pueden acceder a las redes del personal o de pagos"},{"text":"Configuración de aislamiento de clientes desde la consola del punto de acceso"},{"text":"Texto de consentimiento del Captive Portal y un registro de consentimiento de muestra"},{"text":"Resultado de la última prueba de segmentación PCI DSS, si el inmueble procesa tarjetas"}]},{"heading":"Registros y monitoreo","items":[{"text":"Exportación de registro de autenticación de muestra desde Purple Access, con marcas de tiempo"},{"text":"Periodo de retención de registros establecido y el SIEM que recibe los registros"},{"text":"Informe de puntos de acceso no autorizados desde su controlador"},{"text":"Contacto designado para incidentes y ruta de escalación"}]}],"download":{"filename":"wifi-questionnaire-evidence-pack.csv"}}

El checklist utiliza algunos términos que vale la pena definir:

• RADIUS (RFC 2865) es el protocolo que transporta las solicitudes de autenticación desde el punto de acceso hacia el servidor.
• EAP-TLS (RFC 5216) autentica cada dispositivo mediante un certificado en lugar de una contraseña.
• MDM es la gestión de dispositivos móviles, el sistema que envía dichos certificados a los dispositivos.
• SIEM es su plataforma de gestión de eventos e información de seguridad.

Elimine los grupos correspondientes a las redes que no opere. Si no cuenta con una red xPSK, elimine esas tres filas. En ese caso, cualquier pregunta sobre xPSK pasará a ser "no me aplica" con una breve justificación de una línea.

{"tone":"warning","title":"Oculte información confidencial antes de adjuntar","text":"Elimine los secretos compartidos de RADIUS, las claves compartidas previamente y las claves privadas de certificados de cada exportación y captura de pantalla. La respuesta de un cuestionario a menudo circula mucho más allá del evaluador que la solicitó."}

Ejemplo práctico: una evaluación de 60 preguntas para una cadena minorista de 140 tiendas

La propiedad a continuación es ilustrativa, no es un cliente nombrado de Purple. Es un grupo minorista con 140 tiendas en Cisco Meraki y una oficina central en HPE Aruba. Un socio de pagos envía una evaluación de seguridad de proveedores con una sección de 60 preguntas sobre WiFi.

El grupo opera las tres redes:

• Abierta: los compradores se conectan a través de un portal cautivo, en su propio VLAN.
• Segura: el personal se conecta con EAP-TLS contra Microsoft Entra ID.
• xPSK: los escáneres portátiles y la señalización digital tienen cada uno su propia clave.

Entrada	Valor	Base
Preguntas sobre WiFi	60	Contadas a partir del cuestionario
Proporción respondible desde el paquete	70%	42 preguntas vinculadas a artefactos fechados
Minutos por respuesta reutilizada	6	Pegar, verificar la fecha, nombrar al propietario
Minutos por respuesta nueva	30	Capture, redactar, escribir, revisar
Sitios muestreados	4	Tres tiendas y oficina central
Minutos por sitio muestreado	20	Capturas de pantalla de la consola más una exportación de registros

Con esas entradas, la calculadora devuelve 14.5 horas:

• Las 42 respuestas reutilizadas toman 4.2 horas.
• Las 18 respuestas nuevas toman nueve horas.
• Los cuatro sitios muestreados agregan alrededor de 1.3 horas.

Sin el paquete, la misma sección tomaría 31.3 horas. El paquete ahorra 16.8 horas en esta sola revisión.

¿Cuáles 18 preguntas necesitaron evidencia nueva? En este ejemplo, la mayoría eran específicas del sitio o tenían una nueva redacción. El revisor quería tres cosas que el paquete no contenía:

• Una prueba de baja fechada.
• Prueba de segmentación de invitados a pagos para las tiendas muestreadas.
• Un periodo de retención de registros por escrito.

La siguiente tabla mapea las preguntas típicas con la evidencia adjunta. Descárguela y agregue la redacción de sus propios revisores.

{"caption":"Preguntas comunes del cuestionario de WiFi y la evidencia a adjuntar","asOf":"2026-06-10","columns":[{"key":"q","label":"Pregunta según la redactan los revisores"},{"key":"net","label":"Red"},{"key":"ev","label":"Evidencia a adjuntar"}],"rows":[["¿El acceso inalámbrico se autentica por individuo?","Segura","Captura de pantalla de SSID que muestre 802.1X; exportación de política RADIUS que muestre EAP-TLS"],["¿Se utilizan contraseñas de WiFi compartidas?","xPSK, segura","Inventario de claves que muestre una clave por dispositivo; personal en 802.1X"],["¿Cómo se elimina del WiFi al personal que causa baja?","Segura","Prueba con fecha del personal dado de baja y registro del proveedor de identidad"],["¿El tráfico de invitados está separado de los sistemas internos?","Abierta","Mapa de VLAN, reglas de firewall y configuración de aislamiento de clientes"],["¿El WiFi puede alcanzar el entorno de datos de cuentahabientes?","Las tres","Resultado de la última prueba de segmentación PCI DSS"],["¿Qué cifrado protege el WiFi corporativo?","Segura","Configuración de seguridad del SSID: WPA2- o WPA3-Enterprise"],["¿Cuánto tiempo se conservan los registros de acceso a WiFi?","Las tres","Período de retención por escrito más exportación de muestra de registros"],["¿Detectan puntos de acceso no autorizados (rogue)?","Las tres","Reporte de puntos de acceso no autorizados del controlador"],["¿Cómo se manejan los datos personales del WiFi de invitados?","Abierta","Redacción del consentimiento en Captive Portal y acuerdo de procesamiento"],["¿Qué certificaciones tiene su proveedor de WiFi?","Gobernanza","Certificados Purple ISO 27001 y Cyber Essentials"]],"footnote":"Cada respuesta describe un control y adjunta evidencia del mismo. El juicio sobre si se cumple con un estándar corresponde al evaluador.","download":{"filename":"wifi-questionnaire-question-map.csv"}}

Observe la redacción en la columna de evidencia. Cada respuesta describe un control y adjunta evidencia al respecto. Ninguna afirma categóricamente que la infraestructura cumple con un estándar. Esto mantiene sus respuestas defendibles si el revisor hace un seguimiento.

¿Cómo se calcula la cifra de 14.5 horas?

La calculadora suma tres bloques de trabajo y luego divide entre 60 para convertir los minutos a horas:

1. Respuestas reutilizadas: preguntas × porcentaje de reutilización × minutos por respuesta reutilizada. Con los valores predeterminados: 42 × 6 = 252 minutos.
2. Respuestas nuevas: preguntas × (100% - porcentaje de reutilización) × minutos por respuesta nueva. Con los valores predeterminados: 18 × 30 = 540 minutos.
3. Sitios muestreados: sitios × minutos por sitio. Con los valores predeterminados: 4 × 20 = 80 minutos.

El total es de 872 minutos, o 14.5 horas. El recuento de preguntas nuevas se redondea hacia arriba, porque una pregunta cubierta parcialmente aún necesita su propia evidencia.

El resultado de horas ahorradas asigna precio a las respuestas reutilizadas como si fueran nuevas: 42 × (30 - 6) ÷ 60 = 16.8 horas. Al sumar 16.8 a 14.5 se obtiene el costo de 31.3 horas que implicaría responder desde cero.

El porcentaje de reutilización es la clave del proceso:

• Con 60 preguntas, cada 10 puntos de reutilización ahorran 2.4 horas.
• Aumentar la reutilización del 70% al 90% reduce la sección de 14.5 horas a 9.7.
• Los sitios muestreados apenas modifican el total, a menos que el revisor solicite evidencia de múltiples ubicaciones.

Todas las cifras de tiempo son estimaciones de planificación para este ejemplo, no referencias de Purple. Reemplácelas una vez que haya tomado el tiempo de un cuestionario real. Comparta los supuestos si un revisor le pregunta cómo estableció la fecha de respuesta.

{"tone":"tip","title":"Tome el tiempo del siguiente","text":"Anote los minutos que dedica a cada respuesta en su próximo cuestionario. Ingrese esas cifras en la calculadora y sus estimaciones dejarán de ser suposiciones."}

¿Cómo adapto la lista de verificación a mi propiedad?

Defina las entradas a partir del documento que tiene enfrente

Cuenten las preguntas sobre WiFi en el cuestionario real en lugar de adivinar por su título. Los formularios estandarizados y las revisiones a medida de los clientes difieren ampliamente en extensión. Defina la proporción de reutilización solo después de haber emparejado cada pregunta con una fila fechada en la lista de verificación.

Propiedades de varios proveedores

Planifique un sitio muestreado por consola, ya que los revisores a menudo quieren una captura de pantalla de cada plataforma. Una propiedad con Cisco Meraki y HPE Aruba necesita al menos dos. Agregue sitios con Juniper Mist o Ubiquiti UniFi y la entrada aumentará con ellos.

Las configuraciones que se deben capturar son las mismas en cada consola:

• El modo de seguridad del SSID.
• El servidor RADIUS al que apunta el SSID.
• Asignación dinámica de VLAN, que utiliza los atributos de túnel RADIUS en RFC 3580.

Franquicias y propiedades gestionadas

Cuando los franquiciados son dueños de los puntos de acceso, la evidencia central cubre únicamente la política. Reduzca la proporción de reutilización para las preguntas del sitio y aumente los minutos del sitio muestreado. Las capturas de pantalla de los franquiciados tardan más en recopilarse.

Los sectores verticales cambian las redes dentro del alcance

Las redes que importan dependen de quién se conecta:

• Sector hotelero y de hospitalidad: los huéspedes se conectan a la red abierta y el personal a la red segura. Whitbread ejecuta WiFi segmentado para el personal en Purple.
• Propiedades multinquilino como desarrollos para alquiler (BTR) y viviendas estudiantiles: los residentes suelen conectarse a xPSK. Espere preguntas sobre el aislamiento de residente a residente.
• Venta al por menor (Retail): los revisores se centran en la segmentación de PCI DSS entre la red de compradores y los sistemas de pago.
• Sector salud: los pacientes y visitantes se conectan a la red abierta. Los dispositivos clínicos a menudo se conectan a xPSK.

Mantenga una columna de redacción por revisor

Agregue una columna al CSV descargado para la redacción de cada revisor. Diferentes revisores hacen la misma pregunta con diferentes palabras. Mapear su redacción a un solo artefacto es lo que aumenta su proporción de reutilización la próxima vez.

¿Qué debo hacer con el resultado antes de la próxima revisión?

Lea el resultado de las horas en función de tres rangos:

• Menos de 10 horas: el paquete está en buen estado. Actualice las filas fechadas cada trimestre.
• Entre 10 y 20 horas: observe dónde se concentran las preguntas nuevas, por red.
• Más de 20 horas: el paquete es escaso o una red tiene una brecha estructural que ninguna captura de pantalla puede cubrir.

Si las preguntas nuevas se concentran en la red del personal, verifique si se ejecuta en una frase de contraseña compartida. Una clave compartida no puede evidenciar el acceso individual ni la eliminación limpia de una baja de empleado.

La solución no requiere hardware nuevo:

1. Mueva al personal a la WiFi para personal en la red segura.
2. Configure el SSID en WPA2- o WPA3-Enterprise.
3. Apúntelo al RADIUS en la nube de Purple.
4. Deje que el proveedor de identidad decida la VLAN.

Nuestra guía de 802.1X para grupos de restaurantes multisitio explica ese despliegue en cientos de ubicaciones. La configuración de MDM para certificados de dispositivos toma de cinco a diez minutos, una sola vez, para toda la organización.

{"tone":"proof","text":"McDonald's redujo en un 80% las solicitudes al centro de soporte de TI con Purple. JPMorgan opera la WiFi para personal con Purple en 5,000 sucursales, y Whitbread opera WiFi segmentada para personal con Purple."}

Dos verificaciones más pertenecen a la lista:

• Fechas de vencimiento de certificados. Un certificado de servidor RADIUS vencido bloquea al personal y convierte una revisión aprobada en un incidente. Nuestra guía sobre un certificado de servidor RADIUS que ha vencido cubre la recuperación. Agregue la fecha de renovación al paquete.
• El panorama general. Para su postura de seguridad más allá del cuestionario, lea la guía de seguridad WiFi empresarial.

Preguntas frecuentes

¿Esto funciona con los puntos de acceso que ya tenemos?

Sí. Purple Access se ejecuta como una superposición en la nube en Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Solo apunta la configuración RADIUS y el Captive Portal del SSID a Purple en la consola que ya utiliza. No se necesita hardware nuevo. Las capturas de pantalla de su paquete de evidencias provienen de las mismas consolas que su equipo abre todos los días. Purple opera en más de 80,000 ubicaciones en 90 países.

¿Cómo debemos redactar las respuestas sobre PCI-DSS y GDPR?

Describa el control y luego adjunte la evidencia correspondiente. Escriba "el tráfico de invitados se ubica en una VLAN independiente sin ruta hacia la red de pagos; se adjunta prueba de segmentación". Evite una declaración general de que cumple con el estándar. El evaluador decide si se cumple un requisito bajo el GDPR o PCI-DSS. Su trabajo es hacer que ese juicio sea rápido, con evidencia fechada y un responsable asignado para cada respuesta.

¿Cuánto tiempo se tarda en crear el paquete de evidencias permanente?

Aproximadamente lo mismo que responder un cuestionario desde cero. Con los valores predeterminados de la calculadora, son 31.3 horas para 60 preguntas sin reutilización, incluidas cuatro ubicaciones muestreadas. Después de eso, cada revisión cuesta la cifra de 14.5 horas o menos. Una actualización trimestral de las filas fechadas lo mantiene en ese nivel. Si los certificados del personal provienen de su MDM, la configuración toma de cinco a diez minutos, una sola vez, para toda la organización.

¿Cuánto cuesta Purple Access?

El precio se cotiza según su infraestructura, con base en las redes que opera y el número de ubicaciones dentro del alcance. Traiga los resultados de esta herramienta a la conversación: su número de ubicaciones, las redes detrás de sus preguntas recientes y las horas que toma cada revisión. Eso le brindará una visión clara del tiempo de equipo que Purple le devuelve frente a la suscripción.

¿Necesitamos reemplazar nuestro servidor RADIUS para responder a estas preguntas?

No. Puede responder con evidencia de cualquier elemento que autentique al personal en la actualidad. Si la columna reciente se sigue llenando con renovaciones de certificados, parches de servidor o registros de bajas faltantes, la nube RADIUS de Purple elimina ese trabajo local de su infraestructura. Nuestra guía sobre alternativas a Cisco ISE establece lo que debe comparar al evaluar la migración.

¿Cómo demostramos la eliminación de personal dado de baja en cientos de sitios?

Realice una prueba de baja con fecha e adjunte el registro del proveedor de identidad. El personal en 802.1X se autentica mediante Microsoft Entra ID, Okta o Google Workspace. Al deshabilitar la cuenta allí, Purple revoca el acceso a WiFi en toda la empresa, no sitio por sitio. Las altas, cambios de área y bajas fluyen directamente desde el directorio. Por lo tanto, esa única prueba sirve como evidencia para cada ubicación.

¿El filtrado de DNS pertenece a la sección de WiFi?

Sí, cuando los revisores preguntan qué impide que los dispositivos de los visitantes accedan a sitios dañinos. El filtrado de DNS en Purple se realiza mediante Shield, un complemento de seguridad, por lo que debe adjuntar su resumen de políticas junto con la evidencia de la red abierta. Mantenga esa respuesta separada de las preguntas de autenticación. El filtrado controla hacia dónde va el tráfico. 802.1X y xPSK controlan quién se conecta y a qué VLAN llega.

¿Podemos reutilizar el mismo paquete para una revisión de seguridad de un cliente y para una aseguradora?

Sí. La mayor parte de la evidencia se conserva, ya que ambos revisores preguntan quién puede conectarse, a qué pueden acceder y cómo lo sabe usted. Mantenga una columna en el CSV para la redacción de cada revisor y vincúlela al mismo artefacto. Solo los sitios muestreados y las fechas de captura cambian entre las revisiones. Después, mantenga sus certificados de Cyber Essentials y ISO 27001 de forma centralizada para cada solicitud.