Política de Seguridad de la Información

Las políticas y los procedimientos reflejan la guía y orientación de la gerencia para desarrollar controles sobre los sistemas de información y recursos relacionados.

Por que documentarlas?

• Otorgan cumplimiento en aspectos legales y técnicos.
• Son una guía del comportamiento profesional y personal.
• Permiten la unificación de trabajo de personas, es decir, responsabilidades y funciones.
• Permiten recoger comentarios y observaciones que atiendan situaciones anormales.
• Mejorar las prácticas al interior de la organización.
• Logran asociar la filosofía de una organización al trabajo.

Qué son las Políticas?

Según la ISO/IEC: 17799 la define como la "Intención y dirección general expresada formalmente por la gerencia.

Una definición más acaba es la que nos da ISACA:

Las Políticas son documentos de alto nivel. Ellas representan la filosofía corporativa de una organización y el pensamiento estratégico de la alta gerencia y de los dueños de los procesos del negocio. Las políticas deben ser claras y concisas para que sean efectivas. La administración debe crear un ambiente de control positivo, asumiendo la responsabilidad de formular, desarrollar, documentar, promulgar y controlar las políticas que abarcan las metas y las directrices generales. La gerencia debe emprender las acciones necesarias para asegurar que los empleados afectados por una política específica reciban una explicación completa de la política y entiendan cuál es su propósito. Además, las políticas pueden también aplicarse a terceros y a outsources, quienes necesitarán estar vinculados para seguir las políticas a través de contratos o de declaraciones de trabajo.

La administración debe revisar todas las políticas periódicamente. Es necesario que las políticas sean actualizadas, para que reflejen lo nuevo de la tecnología y los cambios significativos en los procesos de negocio que hacen uso de tecnología de información para obtener eficiencia y eficacia de la productividad o logros competitivos. Las políticas formuladas deben permitir el logro de los objetivos de negocio y la implementación de controles en los sistemas de información.

Política de Seguridad de la Información

La política de seguridad de información provee a la administración la dirección y el soporte para la seguridad de información en conformidad con los requerimientos del negocio y las leyes y regulaciones relevantes. La administración debe fijar una dirección clara de política en línea con los objetivos del negocio y demostrar apoyo y compromiso con la seguridad de información a través de la emisión y mantenimiento de una política de seguridad de información para la organización.

Una política de seguridad comunica un estándar coherente de seguridad a los usuarios, a la gerencia y al personal técnico. Una política de seguridad para tecnología de información y tecnologías relacionadas es un primer paso para construir la infraestructura de seguridad para organizaciones impulsadas por la tecnología.
Las políticas a menudo fijarán la etapa en términos de qué herramientas y procedimientos se necesitan para la organización. Las políticas de seguridad deben balancear el nivel de control con el nivel de productividad. En otras palabras, el costo de un control nunca debe exceder el beneficio que se espera obtener. En el diseño e implementación de las Políticas, la cultura organizacional jugará un papel importante. La política de seguridad debe ser aprobada por la alta gerencia. Debe ser documentada y comunicada a todos los empleados y proveedores de servicio, según corresponda. Usualmente la política de seguridad es usada por los auditores de SI como un marco de referencia para realizar diferentes trabajos de auditoría de SI.


 

Ejemplo de Política de Seguridad de la Información:

Política de Seguridad de la Información

Practicas Recomendadas para el contenido de una política:

• Debe existir una declaración de la Política.
• Nombre y cargo de quién autorizó o aprobó la política.
• Nombre de la dependencia o persona que es el autor de la política.
• Debe especificarse quién debe acatar la política y quién es el responsable de garantizar el cumplimiento.
• Indicadores si se cumple o no la política.
• Referencias a otras políticas y regulaciones.
• Enunciar el proceso para solicitar excepciones.
• Describir los pasos para solicitar los cambios o actualizaciones a la política.
• Explicar que acciones se seguiran en caso de contravenir la política.
• Fecha a partir de la cual tiene vigencia la política.
• Fecha de revisión de la conveniencia y la obsolescencia.
• Incluir la dirección de correo electrónico, la web y el teléfono de las personas que deben contactar en caso de consultas.

Otras recomendaciones a seguir:

• Uso de un lenguaje sencillo.
• Escribir la política como si fuese a utilizarse siempre.
• Debe escribirse para que cualquier persona la pueda entender.
• Se debe evitar describir técnicas o métodos particulares para realizar las cosas.