Casi todas las empresas tienen una política de seguridad de la información. El problema aparece cuando hay que demostrar que alguien la ha leído, que se revisa cada cierto tiempo y que lo que dice el documento coincide con lo que está realmente configurado en los ordenadores de la plantilla. Es el primer documento que pide un auditor y también el que más se copia y peor se adapta.
En este artículo vemos qué es exactamente una política de seguridad de la información, qué normativas la exigen, qué apartados debe incluir, cómo se elabora paso a paso y cuáles son los errores más frecuentes al redactarla.
¿Qué es una política de seguridad de la información?
La política de seguridad de la información es el documento aprobado por la dirección en el que una organización declara su compromiso con la protección de la información y fija los principios que van a regir esa protección. Establece el alcance, asigna responsabilidades y marca el marco dentro del cual se toman después las decisiones técnicas y organizativas.
Es un documento de alto nivel. No entra en cómo se configura un cortafuegos ni en cada cuántos días caduca una contraseña. Fija el qué y el porqué, y deja el cómo para las normas y procedimientos que cuelgan de ella. Por eso una política bien escrita raramente pasa de cuatro o cinco páginas.
Cubre toda la información de la organización con independencia del soporte. Los datos de los sistemas internos, la documentación en papel, la información que se comparte con proveedores y la que circula en conversaciones o en soportes portátiles quedan dentro del mismo paraguas.
Política de seguridad de la información y políticas de seguridad, ¿son lo mismo?
Es la confusión más habitual y conviene resolverla antes de seguir. En singular hablamos del documento marco, el que firma la dirección y del que dependen todos los demás. En plural hablamos de las políticas temáticas, que son las que desarrollan cada área concreta y las que de verdad aplica la plantilla en su día a día.
La jerarquía documental suele tener tres niveles.
- Política general: documento marco aprobado por la dirección, breve y estable en el tiempo.
- Políticas temáticas: control de accesos, uso de dispositivos, teletrabajo, copias de seguridad, clasificación de la información, gestión de incidentes o desarrollo seguro, entre otras.
- Procedimientos y registros: el detalle operativo de cada política y la evidencia de que se ha ejecutado.
¿Para qué sirve una política de seguridad de la información?
Su función principal es dar dirección. Cuando aparece una situación que nadie había previsto, la política es el criterio al que se acude para decidir. Sin ella cada área resuelve como puede y las decisiones de seguridad acaban dependiendo de quién esté disponible ese día.
Además cumple cuatro funciones concretas.
- Visibiliza el compromiso de la dirección: la seguridad deja de ser un asunto del departamento de IT y pasa a estar respaldada desde arriba.
- Reparte responsabilidades: cada rol sabe qué le corresponde y a quién debe escalar.
- Habilita la exigencia interna: sin una norma comunicada y aceptada resulta difícil reclamar su incumplimiento a un empleado.
- Sostiene el resto del sistema: las políticas temáticas, los procedimientos y los controles técnicos se apoyan en ella y se justifican desde ella.
A esto se suma un uso cada vez más frecuente fuera de la organización. Los clientes grandes y las administraciones públicas piden la política de seguridad en los procesos de homologación de proveedores, y muchas aseguradoras la solicitan antes de emitir una póliza de ciberriesgo.
¿Cómo afecta la política de seguridad de la información a la certificación ISO 27001?
La ISO 27001 es la norma internacional que certifica los sistemas de gestión de seguridad de la información, y la política condiciona esa certificación desde el primer momento. Su ausencia es eliminatoria, porque la cláusula 5.2 forma parte del cuerpo normativo y no admite exclusión en la Declaración de Aplicabilidad. Sin política aprobada por la alta dirección no hay certificación posible.
Su calidad marca el resto de la auditoría. El control A.5.1 exige que la política se apruebe, se publique, se comunique, sea reconocida por el personal y se revise de forma periódica. Como las políticas temáticas y los procedimientos se apoyan en ella, un fallo aquí arrastra no conformidades en cadena. Su alcance también delimita el del certificado, porque lo que quede fuera del documento queda fuera del sistema.
Fuera de la ISO 27001 ocurre lo mismo. NIS2 abre su lista de medidas mínimas con las políticas de seguridad de los sistemas de información, el Esquema Nacional de Seguridad la sitúa como primera medida de su marco organizativo y el RGPD obliga a documentar las medidas organizativas aplicadas al tratamiento de datos.
¿Qué debe incluir una política de seguridad de la información?
No hay un índice obligatorio. Sí hay un conjunto de apartados que aparecen en casi todas las políticas que superan una auditoría.
1. Objetivo y alcance
El objetivo explica para qué existe el documento y debe estar alineado con los objetivos del negocio. El alcance es la parte que más se descuida y la que más problemas da después. Tiene que delimitar con precisión qué procesos, sedes, sistemas, activos y personas quedan cubiertos.
Un alcance mal definido genera dos efectos. Si es demasiado amplio, la empresa se compromete a proteger cosas que no puede controlar. Si es demasiado estrecho, la certificación pierde valor frente a clientes que esperaban ver cubierta toda la operación.
2. Principios y compromiso de la dirección
Aquí se recogen los principios que orientan la seguridad en la organización. Los habituales son la gestión basada en riesgos, la seguridad por defecto, el mínimo privilegio, la defensa en profundidad y la mejora continua.
El compromiso de la dirección debe ser explícito y verificable. Incluye la asignación de recursos, la aprobación formal del documento y la participación en la revisión periódica del sistema. Una declaración genérica de intenciones sin respaldo presupuestario ni firma identificable aporta poco.
3. Roles y responsabilidades
La política define quién hace qué. Lo mínimo suele ser el responsable de seguridad de la información, el comité de seguridad si existe, los propietarios de cada activo o proceso y las obligaciones generales de toda la plantilla.
Cada rol debe tener funciones concretas. Vale la pena aclarar también las interacciones con protección de datos, con el delegado de protección de datos cuando lo hay y con los responsables de recursos humanos, porque las altas y bajas de personal disparan tareas de seguridad que a menudo quedan sin dueño.
4. Políticas temáticas de referencia
La política general enumera las políticas específicas que la desarrollan y explica dónde consultarlas. Las más frecuentes son control de accesos, uso aceptable de los recursos, dispositivos móviles y BYOD, teletrabajo, clasificación y tratamiento de la información, copias de seguridad, criptografía, gestión de incidentes, relación con proveedores y desarrollo seguro.
No hace falta describirlas. Basta con listarlas, indicar quién es su propietario y dejar clara la referencia documental.
5. Excepciones y consecuencias del incumplimiento
Toda política se encuentra antes o después con un caso en el que una medida no se puede aplicar. El documento debe indicar quién puede autorizar una excepción, con qué justificación, durante cuánto tiempo y dónde queda registrada.
Las consecuencias del incumplimiento tienen que estar recogidas de forma expresa y dentro de lo que permite la normativa laboral. Sin este apartado, la organización pierde capacidad de respuesta ante un incumplimiento grave.
6. Control de versiones y aprobación
Una política sin control de versiones es una política que no se puede auditar. La portada o el pie del documento debe incluir el número de versión, la fecha de aprobación, el órgano que aprueba, el autor, la fecha de la próxima revisión y un histórico de cambios.
Este apartado parece menor y es de los primeros que revisa un auditor. Le permite comprobar en treinta segundos si el sistema está vivo o si el documento lleva cuatro años sin tocarse.
¿Cómo elaborar una política de seguridad de la información?
Redactar el documento es la parte corta del trabajo. Lo que le da contenido es lo que ocurre antes y lo que ocurre después.
1. Inventariar los activos y analizar los riesgos
La política protege activos concretos, así que el primer paso es saber cuáles son. El inventario debe recoger equipos, servidores, aplicaciones y servicios en la nube, datos, soportes y las personas con acceso a cada uno. En un parque de dispositivos repartido entre oficina y teletrabajo, esta foto solo se mantiene actualizada si se toma de forma automática.
Con el inventario en la mano se identifican amenazas y vulnerabilidades, se valora su probabilidad e impacto y se decide qué riesgos se aceptan, se mitigan, se transfieren o se evitan. Los principios que acaben en la política salen de aquí, y esa es la diferencia entre un documento propio y una plantilla descargada.
2. Redactar y aprobar el documento
La redacción debe ser comprensible para toda la plantilla, incluidas las personas sin perfil técnico. Frases cortas, glosario al final y ningún término que no se pueda explicar en una línea.
La aprobación corresponde a la dirección, con fecha y firma identificable. En organizaciones con comité de seguridad, la práctica habitual es que el comité proponga el texto y que la dirección lo apruebe formalmente en acta.
3. Comunicarla y registrar su aceptación
Publicar la política en una carpeta compartida no es comunicarla. La norma pide que el personal afectado la reconozca, así que hace falta una evidencia de que cada persona la ha recibido y aceptado, con fecha.
La forma más limpia de resolverlo es integrarlo en el onboarding. La persona recibe el documento al incorporarse, lo acepta de forma digital y ese registro queda asociado a su expediente. Cuando la política cambia de versión, la aceptación vuelve a solicitarse a toda la plantilla. Ese histórico es exactamente lo que se pide en una auditoría.
4. Revisarla y actualizarla
La revisión se hace a intervalos planificados, y lo habitual es una vez al año dentro de la revisión por la dirección. También se revisa ante cambios significativos, como una fusión, un cambio de infraestructura, la entrada en un nuevo marco regulatorio o un incidente de seguridad relevante.
Cada revisión deja rastro aunque no haya cambios. Registrar que el documento se revisó en una fecha concreta y se mantuvo sin modificaciones también es evidencia válida.
Ejemplo de política de seguridad de la información
Muchas organizaciones publican su política en abierto, y son una referencia útil para ver el tono y la extensión reales. Al revisarlas se aprecian dos patrones. El documento rara vez supera las cinco páginas, y todos incluyen una tabla de control de versiones en la primera o la última página.
Un índice tipo de una política de seguridad de la información sería el siguiente.
- Objeto y ámbito de aplicación
- Marco normativo de referencia
- Principios de seguridad de la información
- Compromiso de la dirección
- Organización de la seguridad, roles y responsabilidades
- Gestión de riesgos
- Normativa y políticas específicas de desarrollo
- Formación y concienciación
- Gestión de incidentes
- Cumplimiento, excepciones y régimen disciplinario
- Revisión y control de versiones
Ese esqueleto sirve como punto de partida. El contenido de cada apartado solo tiene valor si sale del análisis de riesgos de la propia organización.
Errores frecuentes al redactar una política de seguridad de la información
La mayoría de las políticas que fallan una auditoría lo hacen por los mismos cuatro motivos.
- Copiar una plantilla sin adaptar el alcance: aparecen sedes que no existen, departamentos que la empresa no tiene o sistemas nunca desplegados. Un auditor lo detecta en la primera lectura y revisa el resto del sistema con más desconfianza.
- Que la apruebe el departamento de IT en lugar de la dirección: la norma pide que sea la alta dirección quien la establezca. Una política firmada solo por el responsable técnico incumple el requisito y transmite que la seguridad no está respaldada desde arriba.
- Confundir la política con el procedimiento: si el documento fija la longitud mínima de las contraseñas o la frecuencia de las copias, cada ajuste operativo obliga a reaprobarlo en dirección. La política deja de actualizarse y se desalinea de la realidad en pocos meses.
- Dejar fuera a proveedores y personal externo: muchas políticas contemplan únicamente a la plantilla interna y olvidan a autónomos, subcontratas y proveedores con acceso a sistemas. Es una de las vías de entrada más habituales y una de las que más se revisa en auditoría.
- No poder demostrar que el personal la conoce: el documento existe, está aprobado y publicado, aunque nadie puede acreditar quién lo ha leído. Sin registro de aceptación falla el requisito de comunicación y reconocimiento.
- Que lo escrito no coincida con lo configurado en los equipos: la política declara cifrado de disco, bloqueo automático y contraseñas robustas, y al revisar el parque una parte de los dispositivos no cumple ninguna de las tres condiciones. Es el fallo con más consecuencias, porque convierte una no conformidad menor en una mayor.
Aplica la política de seguridad de la información con Factorial IT
Una política solo sirve si lo que declara está aplicado en los equipos y si esa aplicación se puede demostrar. Cuanto más manual sea el proceso, más se separan el documento y la realidad.
Factorial IT enrola los dispositivos de la empresa y les aplica las políticas de cifrado, bloqueo de pantalla y contraseñas en Mac, Windows y Linux, sin revisar equipo por equipo. La política se entrega y se acepta durante el onboarding, y esa aceptación queda registrada con fecha en el expediente de cada persona.
El resultado es que la política pasa a tener detrás un informe de estado con qué equipos cumplen cada medida y quién ha aceptado el documento.
