1.Política de seguridad

Una política de seguridad es el documento donde una organización deja por escrito qué quiere proteger, por qué y con qué reglas. Es la base de todo lo demás: sin ella, cada quien decide por su cuenta.

Es como el reglamento de una escuela: no explica cómo se da cada clase, pero sí lo que está permitido, lo que no, quién decide y qué pasa si alguien no lo cumple.

En términos técnicos

• Es un documento corto y de alto nivel, aprobado por la dirección.
• Define el alcance (qué áreas, sistemas e información cubre), los objetivos de seguridad, las responsabilidades y las consecuencias de incumplirla.
• Se apoya en políticas específicas (uso aceptable, contraseñas, respaldos, acceso remoto) y en procedimientos que explican el paso a paso.
• Se revisa periódicamente (por ejemplo, cada año) o cuando cambian los riesgos.

¿Dónde la vas a encontrar?

En empresas, escuelas y dependencias de gobierno; es obligatoria para certificarse en ISO/IEC 27001 y la piden muchos clientes y auditores. En una familia o para uso personal, equivale a unas pocas reglas claras acordadas por todos.

Un caso verosímil

En una preparatoria, cada docente guarda las calificaciones como quiere: en su laptop, en una USB, en su correo personal. Un día, una USB con las listas de varios grupos (nombres, calificaciones y teléfonos de tutores) se pierde en el transporte público. Nadie sabe quién debía haberlo evitado, si había que avisar a las familias ni a quién reportarlo.

Qué se perdió

• Datos personales de alumnos y tutores, con posibles consecuencias legales para la escuela.
• Tiempo y confianza: semanas reconstruyendo listas y respondiendo a padres molestos.

Qué lo habría evitado

Una política, de una o dos páginas, que dijera: «las calificaciones se guardan solo en el sistema escolar», «las USB personales no se usan para datos de alumnos» y «cualquier pérdida de información se reporta el mismo día a la coordinación». No hace falta tecnología cara: hace falta que la regla exista y que todos la conozcan.

Qué debe incluir una política general

Por nivel

La política es la pieza que conecta las seis funciones: indica qué se espera de Identificar, Proteger, Detectar, Responder y Recuperar.

• Una política que nadie lee no protege: comunícala, explícala y pide firma de enterado.
• Corta es mejor: la política general cabe en pocas páginas; los detalles van en políticas específicas.
• Debe ser realista: si exige cosas imposibles con los recursos actuales, todos la ignorarán.
• Con el respaldo de la dirección: sin su aprobación, la política no tiene autoridad.
• Revísala después de un incidente, de un cambio de sistemas o cuando cambie la ley.
• No copies una plantilla sin adaptarla: debe reflejar tu organización, sus riesgos y su lenguaje.

• NIST. The NIST Cybersecurity Framework (CSF) 2.0 (2024), función Gobernar. https://www.nist.gov/cyberframework
• ISO/IEC. ISO/IEC 27001:2022, cláusula 5.2 (Política) y control 5.1 (Políticas de seguridad de la información).
• SANS Institute. Information Security Policy Templates. https://www.sans.org/information-security-policy/
• INCIBE. Políticas de seguridad para la pyme. https://www.incibe.es/empresas/herramientas/politicas