Una política de seguridad define las normas para proteger los activos de una organización. Indica qué está permitido, qué está prohibido y quién es responsable. Incluye requisitos de contraseña, uso aceptable, clasificación de datos, informes de incidentes y acceso remoto. Cada área cuenta con su propia política o una sección dentro de un documento más amplio. La política es la base. Los procedimientos y estándares se construyen sobre ella.

Una política que nadie lee no sirve para nada. Las mejores políticas son breves, claras y se aplican rigurosamente. Explican el porqué, no solo el qué. Los empleados siguen las normas que entienden e ignoran las que les parecen arbitrarias. El desarrollo de políticas involucra a las partes interesadas de toda la organización: los departamentos legal, de recursos humanos, de informática y de las unidades de negocio. La política debe ajustarse a las leyes y regulaciones vigentes, y ser práctica. Una política que prohíba todas las unidades USB es fácil de redactar, pero difícil de aplicar. Una política que exija el cifrado de las unidades autorizadas es más viable. Las políticas necesitan revisión. El negocio, las amenazas y las regulaciones cambian. Una revisión anual mantiene la política actualizada. Sin ella, el documento describe una empresa que ya no existe.

Políticas de seguridad comunes

• Uso aceptable: qué pueden hacer los empleados con los sistemas de la empresa.
• Control de acceso: quién tiene acceso a qué y cómo.
• Clasificación de datos: cómo se etiquetan y gestionan los datos.
• Respuesta ante incidentes: cómo informar y gestionar las brechas de seguridad.
• Acceso remoto: normas para trabajar fuera de la oficina

Una política es una promesa. Les dice a los empleados qué espera la organización y qué hará la organización para protegerlos.