Políticas de seguridad que las personas pueden aplicar

Una política de seguridad debe ayudar a una persona a decidir qué hacer en una situación real. Su valor depende de unas reglas claras, de unos controles disponibles y de una forma práctica de cumplirlas. Un documento que promete controles que sus sistemas no pueden aplicar genera confusión entre los empleados y evidencias poco fiables para los revisores.

Para un CTO, el desarrollo de políticas es, por tanto, un ejercicio de implantación: definir el comportamiento exigido, comprobar las dependencias técnicas, asignar responsabilidades y probar si la regla funciona en la práctica.

Empiece por la decisión que las personas necesitan tomar

Elija una actividad concreta, como compartir archivos con terceros, conceder acceso a producción o notificar la pérdida de un dispositivo. Identifique la información, los sistemas, las personas y las actividades cubiertos, incluidos los contratistas y los proveedores externos cuando proceda.

Sustituya formulaciones vagas como «comparta la información de forma segura» por requisitos que alguien pueda aplicar. Para el uso compartido externo, especifique las clases de información permitidas, los canales aprobados, la autorización, el acceso de los destinatarios y las excepciones. Explique brevemente el motivo: el acceso nominativo de los destinatarios reduce la divulgación accidental y permite retirar el acceso.

Mantenga diferenciados tres niveles:

Vincule la política con el procedimiento que el personal utiliza realmente. Así se evita reescribir la política cada vez que cambia la interfaz de una herramienta.

Recorra un ejemplo realista antes de la aprobación

Supuestos ilustrativos: un equipo de proyecto comparte archivos de diseño confidenciales con un consultor externo. Su plataforma de colaboración admite destinatarios nominativos y la caducidad del acceso, pero la clasificación es manual.

Una regla aplicable podría exigir que el responsable del proyecto autorice la comunicación, que el remitente utilice la plataforma aprobada y que el acceso caduque al finalizar el encargo. No se permitirían enlaces públicos para esta clase de información.

Recorra el borrador a lo largo del flujo de trabajo real:

• El remitente identifica la clasificación del archivo mediante la guía de clasificación.
• El responsable del proyecto confirma que el consultor necesita la información.
• El remitente concede acceso a la cuenta verificada del consultor y establece la caducidad acordada.
• El registro de aprobación identifica el archivo, el destinatario, la finalidad y la fecha de fin.
• El responsable del sistema comprueba que el acceso caduca o se retira cuando finaliza el encargo.

Las evidencias incluirían la autorización, la configuración del uso compartido y el registro de retirada del acceso. Si el consultor no puede autenticarse, la respuesta no es un enlace público informal: utilice el proceso de excepciones u otro método de entrega aprobado.

Compruebe si la organización puede cumplirla

Revise el borrador con las personas que deberán aplicarlo, incluidos el personal del servicio de atención al usuario y los responsables de los sistemas. Pídales que completen el flujo de trabajo en lugar de limitarse a aprobar la redacción.

Confirme que existen las herramientas, el tiempo, la competencia, los permisos y el apoyo necesarios. Si la caducidad no puede automatizarse, decida si basta con una tarea manual programada de retirada. De lo contrario, modifique el plan de implantación antes de declarar operativo el control.

Defina un proceso de excepciones con una persona que apruebe, una justificación, el alcance afectado, las salvaguardas, la caducidad y la revisión. Mantenga las excepciones visibles para la gestión de riesgos sin difundir innecesariamente detalles sensibles. Las excepciones repetidas pueden indicar una regla inadecuada o una capacidad que falta, no simplemente un incumplimiento por parte de los empleados.

Integre la adopción en la implantación

Publique las políticas donde los empleados puedan encontrarlas mientras trabajan, no solo en una carpeta de auditoría. Incluya enlaces a las políticas en los formularios de solicitud y los materiales de incorporación pertinentes. Explique qué ha cambiado y quién debe actuar.

Utilice formaciones breves basadas en escenarios: pida a un remitente que configure un uso compartido externo o pregunte a un empleado cómo notificaría la pérdida de un portátil. Ofrezca una vía de notificación que pueda utilizarse sin el dispositivo perdido. Los registros de acuse de recibo demuestran la comunicación; no demuestran que alguien sepa ejecutar el proceso.

Conecte los requisitos con las evidencias operativas

ISO/IEC 27001 se refiere a un sistema de gestión de la seguridad de la información con un alcance definido. Relacione las políticas con los requisitos aplicables y las decisiones de tratamiento de riesgos dentro de ese alcance, en lugar de importar todas las plantillas como obligatorias. Mantenga esas correspondencias separadas de las instrucciones dirigidas a los empleados.

Para cada regla importante, identifique su responsable, el control que la respalda, las evidencias y el método de revisión. En el caso del uso compartido de archivos, examine una muestra de usos compartidos reales para comprobar la autorización, las restricciones de destinatarios y los límites de acceso. Como recomendación práctica, combine las evidencias de configuración con los registros de las operaciones: una captura de pantalla de unos valores predeterminados seguros no demuestra por sí sola que todos los usos compartidos siguieran el proceso.

Mantenga las políticas alineadas con unos sistemas cambiantes

Conserve el responsable, la autoridad de aprobación, la versión, la fecha de entrada en vigor, el registro de comunicación y el historial de revisiones. Revise las políticas a intervalos planificados y cuando cambien los sistemas, los incidentes, los contratos o las obligaciones pertinentes.

La IA puede ayudar a redactar a partir de requisitos aprobados y procedimientos existentes. Revise cada afirmación sobre la implantación actual antes de su publicación.

En Secani, vincule el material de origen de las políticas con los requisitos, los controles, los responsables y las evidencias; convierta las brechas en tareas y conserve las decisiones revisadas. La revisión humana sigue siendo explícita, lo que ayuda a que la política siga vinculada a la implantación real.

Empiece con un flujo de trabajo de alta frecuencia. Pruébelo con sus usuarios, resuelva las capacidades que faltan y recopile evidencias operativas antes de ampliar el conjunto de políticas.