Una política de seguridad informática no debería ser un documento que la empresa redacta, guarda en una carpeta y nadie vuelve a consultar.
Su objetivo es mucho más práctico: establecer unas reglas claras sobre cómo deben utilizarse los sistemas, dispositivos y datos de la empresa, quién es responsable de cada medida y cómo actuar cuando aparece un problema.
Esto cobra especial importancia cuando una organización tiene varios empleados, correo corporativo, aplicaciones cloud, ordenadores portátiles, trabajo remoto y diferentes niveles de acceso.
Una política eficaz no tiene que ser extensa. Tiene que ser comprensible, aplicable y coherente con los riesgos reales de la empresa.
En resumen: una política de seguridad informática debería definir cómo se gestionan usuarios y permisos, contraseñas, dispositivos, correo, software, información, teletrabajo y posibles incidentes, además de establecer responsables y revisiones periódicas.
Qué es una política de seguridad informática
Una política de seguridad informática es el conjunto de normas y criterios que determinan cómo debe protegerse la información y cómo deben utilizarse los sistemas tecnológicos de una empresa.
No es lo mismo que instalar un antivirus, configurar un firewall o activar el doble factor. Esas son medidas técnicas. La política establece cómo debe actuar la organización para que esas medidas se utilicen correctamente.
Por ejemplo, no basta con disponer de autenticación multifactor. La política puede establecer que las cuentas corporativas deben utilizar MFA cuando esté disponible, quién debe comprobarlo y qué procedimiento seguir si un empleado pierde el dispositivo utilizado para autenticarse.
Una política también debe establecer responsabilidades. El empleado debe saber qué puede hacer; el responsable IT, qué controles debe aplicar; y dirección, qué normas y recursos deben aprobarse.
Por eso, una buena política responde a cuatro preguntas:
Qué se protege, quién puede acceder, cómo debe utilizarse y qué hacer cuando algo falla.
Antes de crearla: identifica los riesgos de tu empresa
El primer error es empezar a redactar normas sin saber qué se quiere proteger.
Antes conviene realizar una evaluación de riesgos informáticos sencilla. No hace falta convertirla en un proyecto interminable: el objetivo es identificar los sistemas y datos importantes, las amenazas que podrían afectarlos y las consecuencias de que algo salga mal.
Por ejemplo, una empresa puede descubrir que su principal riesgo no está en los ordenadores de oficina, sino en el correo corporativo porque desde él se gestionan facturas, proveedores y documentación sensible.
Otra puede descubrir que tiene antiguos empleados con cuentas todavía activas o que varios trabajadores acceden a información desde dispositivos personales.
El proceso puede resumirse así:
Activo → amenaza → vulnerabilidad → impacto → medida de protección.
Si el activo es el correo corporativo, una amenaza puede ser el robo de credenciales. La vulnerabilidad puede ser la ausencia de MFA y la medida puede ser establecer autenticación multifactor, formación y revisión periódica de accesos.
La política debe surgir de este análisis, no de una plantilla genérica.
Qué tiene que incluir una política de seguridad informática
Una política útil debe cubrir las situaciones que los empleados encuentran realmente durante su jornada.
Contraseñas y autenticación
Debe establecer que las contraseñas son personales y no deben compartirse. También puede definir requisitos mínimos, utilización de gestores de contraseñas y cuándo debe utilizarse MFA.
El objetivo no es imponer reglas difíciles de cumplir, sino reducir situaciones habituales como contraseñas compartidas, claves reutilizadas o cuentas protegidas únicamente con una contraseña.
Usuarios y permisos
Cada empleado debería disponer de los permisos necesarios para realizar su trabajo, pero no de acceso indiscriminado a todos los sistemas.
La política debe contemplar altas, cambios de puesto y bajas. Cuando una persona cambia de departamento, sus permisos deben revisarse. Cuando abandona la empresa, sus cuentas deben desactivarse y sus accesos retirarse.
Equipos y dispositivos
Hay que establecer qué dispositivos pueden utilizarse para trabajar y qué requisitos deben cumplir.
Por ejemplo, la empresa puede exigir equipos actualizados, protección activa, bloqueo automático y cifrado cuando sea necesario.
Si se permiten dispositivos personales, la política debe explicar qué condiciones deben cumplir para acceder a información corporativa.
Correo electrónico
El correo merece un apartado específico porque es una de las principales vías utilizadas para phishing, malware y fraude empresarial.
Los empleados deben saber cómo actuar ante correos sospechosos, archivos adjuntos inesperados, solicitudes urgentes de pago o cambios de datos bancarios.
Software y aplicaciones
La política debería establecer quién puede instalar programas y qué herramientas están autorizadas.
Esto también permite controlar aplicaciones cloud y herramientas de inteligencia artificial que los empleados puedan utilizar por su cuenta.
Información y documentos
Hay que establecer cómo se almacena, comparte y elimina la información.
No toda la información tiene el mismo nivel de sensibilidad. Una política puede diferenciar entre documentación pública, interna, confidencial o especialmente sensible.
Cómo convertir las medidas de ciberseguridad en normas aplicables
Una política no debería limitarse a enumerar medidas de ciberseguridad para empresas. Tiene que convertirlas en reglas que los empleados puedan entender y que la empresa pueda comprobar.
Por ejemplo:
Medida técnica: utilizar doble factor de autenticación.
Norma interna: todas las cuentas corporativas que permitan MFA deberán utilizarlo y las cuentas críticas deberán revisarse periódicamente.
Otro ejemplo:
Medida técnica: realizar copias de seguridad.
Norma interna: la información crítica debe incluirse en el sistema de backup establecido por la empresa y las restauraciones deben comprobarse periódicamente.
Esta diferencia es fundamental. Una medida dice qué tecnología utilizamos; una política establece cómo debe utilizarse dentro de la organización.
Quién debe hacer qué
Una política funciona mucho mejor cuando las responsabilidades están claras.
Empleado: proteger sus credenciales, utilizar correctamente los dispositivos y comunicar incidentes.
Responsable IT: configurar sistemas, aplicar controles, gestionar accesos y supervisar alertas.
Dirección: aprobar las normas, asignar recursos y establecer prioridades.
Responsable de seguridad o proveedor externo: revisar riesgos, proponer mejoras y comprobar periódicamente que las medidas siguen siendo adecuadas.
No todas las empresas necesitan personas diferentes para cada función. En una pyme, varias responsabilidades pueden recaer sobre el mismo proveedor o responsable interno. Lo importante es que alguien sea responsable de cada tarea.
Cómo gestionar las altas y bajas de empleados
El ciclo de vida de los usuarios debería formar parte de la política desde el principio.
Cuando llega un empleado nuevo, debe existir un procedimiento para crear sus cuentas y asignar únicamente los permisos necesarios.
Si cambia de puesto, hay que revisar sus accesos.
Cuando abandona la empresa, se deben desactivar sus cuentas, retirar permisos, recuperar dispositivos y gestionar correctamente su información profesional.
Esto evita uno de los problemas más sencillos y peligrosos de solucionar: mantener activos accesos de personas que ya no trabajan en la organización.
Qué debe hacer un empleado ante un incidente
Una política también tiene que explicar qué ocurre cuando algo ya ha sucedido.
El empleado no necesita saber investigar un ataque. Necesita saber cuándo debe dejar de actuar por su cuenta y comunicar el problema.
Debe existir un procedimiento para casos como:
- correo sospechoso
- pérdida de un portátil
- contraseña comprometida
- malware
- acceso extraño
- archivos cifrados
- posible fuga de información
La respuesta técnica posterior puede desarrollarse dentro de un plan de respuesta a incidentes, pero el trabajador debe saber desde el primer momento a quién avisar.
Teletrabajo y dispositivos personales
El teletrabajo hace que las normas de seguridad tengan que salir de la oficina.
La política debe establecer desde qué dispositivos se permite acceder, qué requisitos de seguridad deben cumplir y cómo se protegen las conexiones externas.
También debe definir qué información puede descargarse en un ordenador personal, cómo se almacenan los documentos y qué ocurre si se pierde un dispositivo.
El objetivo no es impedir el teletrabajo, sino evitar que cada empleado termine creando su propio sistema de acceso.
Cómo implantar la política sin que se quede en un documento
Una política puede estar perfectamente redactada y ser completamente inútil si nadie la conoce.
Por eso conviene presentarla al equipo con ejemplos cotidianos y explicar por qué existe cada norma.
También es importante acompañarla de controles técnicos. Si la política exige MFA, debe estar configurado. Si prohíbe instalar determinadas aplicaciones, debe existir algún mecanismo de control.
La formación tampoco debería limitarse a una charla inicial. Las amenazas cambian y los empleados también.
Una política útil debe revisarse periódicamente y especialmente cuando cambia la infraestructura, aparecen nuevas aplicaciones, aumenta el teletrabajo o se produce un incidente.
Errores habituales al crear una política de seguridad
| Error | Consecuencia |
|---|---|
| Copiar una política genérica | No refleja los riesgos reales de la empresa. |
| Hacerla demasiado compleja | Los empleados no la entienden ni la aplican. |
| No definir responsables | Las normas quedan sin supervisión. |
| No formar al equipo | Se desconoce cómo actuar ante los riesgos. |
| No aplicar controles técnicos | La política queda en una declaración de intenciones. |
| No actualizarla | Puede quedar obsoleta ante nuevos sistemas o amenazas. |
El objetivo no es tener el documento más largo, sino conseguir que las normas importantes se conozcan, se puedan cumplir y sean verificables.
Checklist para saber si tu empresa tiene una política útil
Comprueba si puedes responder afirmativamente:
- ¿Se han identificado los principales riesgos?
- ¿Está claro quién puede acceder a cada sistema?
- ¿Existen normas sobre contraseñas y MFA?
- ¿Se regula el uso del correo electrónico?
- ¿Está definido qué dispositivos pueden utilizarse?
- ¿Se contempla el teletrabajo?
- ¿Se controla la instalación de software?
- ¿Existe un procedimiento de altas y bajas?
- ¿Los empleados saben cómo comunicar un incidente?
- ¿Hay responsables definidos?
- ¿Se revisa periódicamente la política?
Si varias respuestas son negativas, probablemente exista margen para mejorar.
Cuándo necesita una empresa ayuda para definir su política de seguridad
Una política empieza a ser especialmente necesaria cuando la empresa crece y la seguridad deja de depender de unas pocas personas que conocen todos los sistemas.
También es un buen momento para revisarla si se incorpora teletrabajo, aumentan las aplicaciones cloud, se manejan datos sensibles, se incorporan nuevos empleados o ya se ha producido algún incidente.
En Amigo Informático podemos ayudarte a identificar riesgos y convertirlos en medidas y normas concretas que tu equipo pueda aplicar en el día a día.
Si quieres conocer el estado actual de la seguridad de tu empresa, puedes consultar nuestro servicio de ciberseguridad para empresas.
Una política de seguridad útil no tiene que ser complicada. Tiene que estar adaptada a tu empresa y poder cumplirse.
Preguntas frecuentes sobre política de seguridad informática
¿Qué debe incluir una política de seguridad informática?
Debe establecer normas sobre usuarios, permisos, contraseñas, dispositivos, correo, software, información, teletrabajo y actuación ante incidentes, además de definir responsables y revisiones.
¿Quién debe crear una política de seguridad informática?
Depende de la organización. Puede participar dirección, el responsable IT y profesionales especializados en seguridad. En una pyme, parte de estas funciones puede externalizarse.
¿Es obligatoria una política de seguridad informática?
No existe una única política idéntica que sirva para todas las empresas. Las obligaciones concretas dependen de factores como el sector, los datos tratados y la normativa aplicable. En cualquier caso, establecer normas internas de seguridad ayuda a controlar riesgos y responsabilidades.
¿Cada cuánto debe revisarse?
Debe revisarse cuando cambien los sistemas, usuarios, proveedores o riesgos de la empresa y periódicamente para comprobar que las normas siguen siendo adecuadas.
¿Qué diferencia hay entre una política de seguridad y un plan de respuesta a incidentes?
La política de seguridad establece principalmente las normas preventivas y responsabilidades. El plan de respuesta a incidentes define cómo actuar cuando ya se ha producido un problema de seguridad.
¿Una pyme necesita una política de seguridad informática?
Sí puede ser muy útil. No tiene que ser un documento extenso: debe centrarse en los riesgos, sistemas y situaciones que realmente afectan al negocio.
¿Qué pasa si los empleados no cumplen la política?
La empresa debe establecer previamente las responsabilidades y procedimientos correspondientes. Además, muchas normas deberían apoyarse en controles técnicos para que la seguridad no dependa únicamente del comportamiento del usuario.
