Qué es la Política de Seguridad de la Información, características, partes y cómo elaborar una para tu empresa, un paso importante para la ISO 27001.
Contar con una Política de Seguridad de la Información en tu empresa es necesario para implementar la ISO 27001 y certificarte. Aquí te explicamos qué debe incluir y cómo elaborarla.
Si eres empresario o te han dado la responsabilidad de investigar sobre seguridad de la información ya sea para certificar tu empresa en ISO 27001 o por alguna otra razón que no sea el certificado en esta norma y quieres saber específicamente qué es, qué se necesita y cómo se realizan las políticas de seguridad, este es el lugar correcto.
Si quieres saber más sobre la norma ISO 27001 ve a nuestra sección de esa norma y encontrarás entradas más específicas para ese tema.
Te tomará 8 minutos leer toda la entrada, pero espero te ayude a comprender lo que implica y cómo se desarrolla una eficiente Política de Seguridad.
Una política de seguridad de la información o ISP por sus siglas en inglés, como más comúnmente se le conoce, es un conjunto de reglas, políticas y procedimientos diseñados para garantizar que todos los usuarios finales y las redes dentro de una organización cumplan con los requisitos mínimos de seguridad de acceso y uso de la información tanto en papel como en digital y de protección de datos.
La ISP debe incluir todos los datos, programas, sistemas, instalaciones, infraestructura, usuarios autorizados, terceras y cuartas partes de tu empresa.
La ISP tiene como objetivo verificar protecciones a la información dentro de la empresa tanto propia como de sus clientes y asociados y limitar su distribución sólo a aquellos con acceso autorizado.
Las organizaciones crean la ISP para:
La creación de una política de seguridad de la información eficaz y que cubra todos los requisitos de cumplimiento es un paso fundamental para prevenir incidentes de seguridad como fugas y violaciones de datos.
Una ISP es importante para las organizaciones nuevas y establecidas. El aumento de la digitalización significa que cada empleado está generando datos y una parte de esos datos debe protegerse contra el acceso no autorizado.
Dependiendo del tipo de tu empresa, incluso puedes estar obligado por ley a estar protegido contra intrusiones cibernéticas o violaciones a confidencialidad de la información que poseas de tus clientes, pensemos por ejemplo en una empresa de auditorías contables o fiscales.
Los datos confidenciales, la información de identificación personal o PII por sus siglas en inglés y la propiedad intelectual deben protegerse con un estándar más alto que otros datos.
Nos guste o no, la seguridad de la información es importante en todos los niveles de tu organización y fuera de ella.
Es importante aclarar que no existen políticas de seguridad de la información cómodas. Es incómoda la seguridad, pero es un “mal necesario” si se quiere, a fin de cuentas, porque peor es no tenerla y sufrir una violación al sistema de seguridad de la información.
El aumento de la subcontratación ha provocado que los proveedores externos también tengan acceso a los datos. Es por eso por lo que la gestión de riesgos de terceros y la gestión de riesgos de proveedores es parte de cualquier política eficiente de seguridad de la información.
El riesgo de terceros y el riesgo de proveedores no son una burla: la mitad de las fallas de un sistema de seguridad de la información provienen de descuidos de los proveedores o asociados externos, pero quien está obligado a responder por las consecuencias es la empresa que los contrató.
Por eso una buena política de seguridad de la información obliga a terceros y asociados a cumplir con los protocolos, procesos y comportamientos especificados en la política de seguridad.
Una política de seguridad de la información puede ser tan amplia como desees, sin embargo, es importante no extralimitarse.
Por ejemplo, si parte de la información que la empresa posee no es sensible o confidencial y las consecuencias de su divulgación no son perjudiciales, no es necesario agregar el costo a la empresa de lo que implica mantenerla segura.
Otro ejemplo: toda la información que aparece en el sitio de Internet de la empresa, por definición es pública, bueno pues la información no es necesario protegerla, pero sí la página. Son cosas diferentes.
En la Política de Seguridad de la Información debes cubrir la seguridad de TI y la seguridad física, así como el uso de las redes sociales, la gestión del ciclo de vida y la capacitación en seguridad.
En general, una Política de Seguridad de la Información tendrá estos nueve elementos clave:
Veamos lo que contiene cada uno de esos elementos:
Es el resumen del propósito de tu Política de Seguridad de la Información, que debería:
Consiste en definir a quién se aplica la Política de Seguridad de la Información y a quién no se aplica. Puedes sentirte tentado a decir que los proveedores externos no están incluidos como parte de tu política de seguridad de la información, lo cual no sería conveniente.
Esto puede parecer no ser una gran idea, pero deben tomarse en cuenta los riesgos de terceros y de proveedores. No importa si tienen o no la obligación legal o reglamentaria de proteger los datos de tus clientes de filtraciones y filtraciones de datos de extraños.
Los clientes aún pueden culpar a tu organización por infracciones que no estaban bajo tu control total y el daño a la reputación de tu marca puede ser enorme.
Estos son los objetivos que la dirección general ha acordado, así como las estrategias utilizadas para alcanzarlos.
Al final, la seguridad de la información se refiere al concepto comúnmente conocido como CICD:
En esta parte se especifica quién tiene la autoridad para decidir qué datos se pueden compartir y cuáles no. Recuerda, es posible que esto no siempre dependa de tu organización.
Por ejemplo, si eres el Comisario de Seguridad de un hospital (así se denomina a la persona responsable de vigilar el desarrollo y cumplimiento de la política de seguridad), es probable que debas cumplir con HIPAA y sus requisitos de protección de datos.
HIPAA es el acrónimo en inglés de Health Insurance Portability and Accountability Act o Ley de Transferencia y Responsabilidad de Seguro Médico, muy exigido a la mayoría de las empresas de servicios médicos en el mundo y exigible a cualquier empresa de servicios médicos de Estados Unidos.
Para esta norma, los registros médicos no se pueden compartir con una parte no autorizada, ya sea en persona o en línea y esa parte autorizada debe ser especificada por escrito y notificada de las sanciones legales, financieras y administrativas en caso de incumplimiento aún si existir afectación alguna a terceros, el simple hecho de incumplir es motivo de sanciones.
Una política de control de acceso te puede ayudar a delinear el nivel de autoridad sobre los datos y los sistemas de TI y físicos para cada nivel de tu organización. Debe describir cómo manejar la información confidencial, quién es responsable de los controles de seguridad, qué control de acceso existe y qué estándares de seguridad son aceptables.
También puede incluir una política de seguridad de red que describa quién puede tener acceso a las redes y servidores de tu empresa, así como qué requisitos de autenticación se necesitan, incluidos requisitos de contraseña segura, datos biométricos, tarjetas de identificación y tokens de acceso, por ejemplo.
En algunos casos, el personal está obligado por contrato a cumplir con la Política de Seguridad de la Información antes de que se les conceda acceso a los sistemas de información y centros de datos. Cuando esto es necesario se deben hacer evaluación de ética del futuro colaborador y así evitar sorpresas desagradables, en pocas palabras: confía, pero verifica.
Una ISP debe clasificar los datos en categorías. Una buena manera de clasificar los datos es en cinco niveles que especifique una creciente necesidad de protección:
En esta clasificación, los niveles 2-5 se clasificarían como información confidencial y necesitarían algún tipo de protección.
Una vez que has clasificado los datos, debes describir cómo se manejarán en cada nivel. En general, debe haber tres componentes en esta parte de tu Política de Seguridad de la Información:
Una Política de Seguridad de la Información perfecta que nadie sigue es igual que no tener política alguna.
Es fundamental y debería ser motivo incluso de despido que tu personal comprenda lo que se requiere de ellos.
Debes realizar capacitación para informarle sobre los requisitos de seguridad, incluida la protección de datos, la clasificación de datos, el control de acceso, las amenazas de seguridad generales, los comportamientos y prácticas, el uso de dispositivos móviles, el uso de memorias externas, el uso de cámaras y hasta la utilización de chats.
Esta capacitación debe incluir:
Te recomendamos leer también: ¿Qué es la Cultura de Seguridad de la Información? [Incluye test]
Aquí es donde pones en práctica tu Política de Seguridad de la Información. Esta parte debe describir a los propietarios de:
La lista anterior son algunos de los principales elementos adicionales para tu ISP. Además, puedes incluir los que por las características particulares de tu empresa consideres necesarios.
A continuación, y para finalizar te dejo la lista de Buenas Prácticas para la gestión de la seguridad de la información más comunes y que generalmente son las básicas para contar con una ISP adecuada (los acrónimos están en inglés, te los dejo así porque es la forma en que se conocen dentro del argot y práctica de la seguridad de la información):
Hay mucho trabajo en cada una de estas políticas, pero puedes encontrar muchos ejemplos de ellas en Internet para tomar como referencia.
Recuerda que uno de los primeros síntomas de inseguridad es creer que tu empresa está segura. Si esto no lo has verificado, cuando te suceda un evento de seguridad te demostrará que creías estar seguro, pero no verificaste que efectivamente lo fueras.
Realiza tu política de seguridad o ISP y efectúa las auditorías internas de seguridad para estar plenamente cierto de que tu empresa es segura.
Te invitamos a conocer Innevo y nuestro servicio de implementación de la norma ISO 27001, con el que guiamos a las empresas en la elaboración de esta política y los demás elementos del SGSI de acuerdo con los lineamientos de la ISO 27001 a fin de que puedan certificarse con éxito.
Comprende de qué tratan los controles ISO 27001 y qué tomar en cuenta para una implementación y seguridad óptimas en tu organización.
No te confíes al no detectar incidentes. Para la seguridad de la información, algo de tecnología y empleados confiables son insuficientes. ¿Por qué?
Conoce los principales cambios y novedades de la ISO 27001 Última Versión. Mantén actualizado tu SGSI y recertifícate sin problemas. ¡Lee ahora!