¿Para qué sirve una política de seguridad?
Es la base de tu SGSI y la primera pregunta de casi cualquier cuestionario de cliente. También la pide la NIS2 y la esperan las aseguradoras.
¿Qué apartados lleva la plantilla de política?
Plantilla
Política de seguridad de la información
1. Objetivo y alcance
Esta política establece cómo [Empresa] protege su información y sus sistemas. Se aplica a todas las personas que trabajan para la empresa y a los proveedores con acceso a sus datos.
2. Responsables
La dirección aprueba esta política y designa a [Nombre] como responsable de seguridad. Cada persona es responsable de cumplirla en su trabajo.
3. Accesos y contraseñas
Cada persona tiene su propio usuario. Las contraseñas se guardan en el gestor de la empresa y los accesos al correo y a los sistemas usan doble factor. Los accesos se retiran el mismo día en que alguien deja la empresa.
4. Equipos y correo
Todos los equipos tienen antivirus gestionado y actualizaciones automáticas. Los pagos no habituales y los cambios de cuenta se confirman por teléfono y con dos firmas.
5. Copias
Se hacen copias diarias de la información crítica, al menos una fuera de la red principal, y se prueba una restauración cada mes.
6. Incidentes
Cualquier incidente o sospecha se comunica de inmediato a . Se registran todos, y se notifican a quien corresponda en los plazos legales.
¿Cómo se adapta la plantilla a tu empresa?
- 1
Cambia los corchetes
Nombre de la empresa, responsable, fechas.
- 2
Quita lo que no hagas
Mejor una política más corta y cierta que una larga que no se cumple.
- 3
Añade lo específico de tu sector
Datos de salud, certificados de clientes, planta industrial…
- 4
Que la firme la dirección
Y comunícala a todo el equipo.
- 5
Revísala cada año
Y cada vez que cambie algo importante.
Errores comunes
Se suele pensar
«Cuanto más larga, mejor»
En realidad
Una política que nadie lee no sirve. Lo importante es que sea cierta y conocida.
Se suele pensar
«Me la descargo y ya está»
En realidad
Si dice cosas que no haces, en una auditoría juega en tu contra.
Preguntas frecuentes
¿Tiene que firmarla la dirección?
Sí. Es un compromiso de empresa, no un documento técnico.
¿Tengo que enviársela a mis clientes?
Cuando te la pidan. Tenerla lista acelera cualquier cuestionario.
¿Me sirve para la ISO 27001?
Es un buen punto de partida, pero la norma pide contenidos concretos que habrá que añadir.
