Políticas y procedimientos

Las políticas y los procedimientos convierten la seguridad de un conocimiento informal en una práctica repetible y exigible. Definen el comportamiento esperado, asignan responsabilidades y proporcionan las evidencias que necesitan los auditores.

Si no está documentado, no puede exigir su cumplimiento ni demostrarlo de forma coherente.

La documentación de seguridad se organiza por capas:

• Política: intención y reglas de alto nivel (el qué y el porqué).
• Estándar: requisitos específicos de cumplimiento obligatorio.
• Procedimiento: instrucciones paso a paso.
• Directriz: práctica recomendada (opcional).

Mantenga clara la diferencia:

• Una política establece una regla: las contraseñas deben tener al menos 12 caracteres.
• Un procedimiento explica cómo hacerlo: los pasos exactos para configurar la política de contraseñas en el proveedor de identidad.

Las políticas son estables; los procedimientos cambian cuando cambian las herramientas.

La mayoría de los programas incluyen:

• Política de uso aceptable.
• Política de control de acceso e identidad.
• Clasificación y tratamiento de datos.
• Política de respuesta ante incidentes.
• Continuidad del negocio y recuperación ante desastres.

La AUP define lo que los usuarios pueden y no pueden hacer con los sistemas y datos de la empresa. Abarca el correo electrónico, Internet, los dispositivos y las consecuencias de las infracciones, y normalmente se acepta durante la incorporación.

Una política de control de acceso formaliza el principio de privilegio mínimo y la periodicidad de las revisiones.

• Cómo se solicita y aprueba el acceso.
• Definiciones de roles y segregación de funciones.
• Con qué frecuencia se revisa y revoca el acceso (por ejemplo, al finalizar la relación laboral).

Esta política define cómo la organización detecta, notifica y gestiona los incidentes de seguridad. Especifica los roles, las vías de escalamiento y las reglas de comunicación, para que una crisis siga un plan en lugar de resolverse mediante la improvisación.

Toda política necesita un responsable que se encargue de mantenerla actualizada, así como responsabilidades claramente asignadas. Sin responsables, los documentos quedan desactualizados y pierden autoridad.

• El responsable aprueba y mantiene el documento.
• Las partes interesadas lo implementan y cumplen.

Los documentos deben aprobarse formalmente y someterse a control de versiones.

• Registre el autor, el aprobador, la fecha de aprobación y el número de versión.
• Realice un seguimiento de los cambios para que los auditores puedan consultar el historial.
• Establezca un ciclo de revisión, normalmente anual.

Una política que nadie lee no sirve de nada. Distribuya los documentos, forme al personal y recopile confirmaciones de lectura. La concienciación convierte las reglas escritas en comportamientos reales y proporciona evidencias de su cumplimiento.

Las políticas deben tener consecuencias. Defina las consecuencias de las infracciones y respáldelas con controles técnicos cuando sea posible (por ejemplo, haga cumplir el estándar de contraseñas en el IdP, no solo sobre el papel). La aplicación coherente mantiene la credibilidad de la política.

Distinga una política de un procedimiento.

La documentación hace que la seguridad sea repetible y demostrable:

• Use la jerarquía: política, estándar, procedimiento y directriz.
• Las políticas establecen reglas; los procedimientos indican los pasos.
• Asigne responsables, apruebe, controle las versiones y revise periódicamente.
• Comunique, forme y haga cumplir las políticas para convertir los documentos en una realidad.