¿Cómo hacer una política de seguridad informática efectiva?

Las políticas de seguridad informática implican un conjunto de reglas, pautas y procedimientos que definen cómo una organización gestiona, protege y administra su infraestructura de TI.

El objetivo de implementar este tipo de políticas es que tu organización logre reducir el riesgo de filtraciones de datos, accesos no autorizados y otras amenazas de seguridad a través de un enfoque estructurado, que se adapte a las necesidades específicas y al perfil de tu negocio.

¿Por qué es urgente actuar hoy? Según Deloitte, el costo promedio de una brecha de datos oscila entre USD $4.45 y $5 millones, sin contar el daño reputacional.

9 elementos clave para implementar políticas de seguridad informática

1. Propósito

Define el propósito para establecer las directrices y procedimientos necesarios para poder proteger los activos de información de la organización. Esto puede incluir lo siguiente:

• Preservar la seguridad de la información de tu organización
• Detectar y prevenir brechas de seguridad causadas por proveedores externos, uso indebido de redes, aplicaciones y dispositivos móviles
• Proteger la reputación de la organización
• Cumplir con los requisitos éticos, legales y regulatorios
• Proteger los datos de los clientes

2. Audiencia

Para saber a quién se aplica la política y a quién no. Es fundamental incluir a proveedores externos en la política debido al riesgo que representan para la seguridad de la información.

De acuerdo con IBM, el 56% de las filtraciones de 2024 involucraron accesos de terceros o almacenamiento en la nube sin controles adecuados.

3. Objetivos

La idea es establecer las metas a alcanzar para proteger los datos y sistemas. Los objetivos se pueden basar en los siguientes puntos:

• Confidencialidad: Asegurar que los datos y la información están protegidos contra el acceso no autorizado
• Integridad: Garantizar que los datos sean exactos y no hayan sido alterados de manera no autorizada
• Disponibilidad: Asegurar que la información y los sistemas de TI estén accesibles cuando se necesiten

4. Autoridad y control de acceso

Aquí se debe establecer cómo se manejará la información sensible, quién es responsable de los controles de seguridad y qué estándares de seguridad son aceptables.

También puede incluir una política de seguridad de red que describa quién puede tener acceso a las redes y servidores de la empresa, así como los requisitos de autenticación necesarios, incluidos requisitos de contraseñas fuertes, biometría, tarjetas de identificación y tokens de acceso.

5. Clasificación de datos

Se deben categorizar los datos en diferentes niveles según su sensibilidad. Puedes tomar en cuenta los siguientes 5 niveles:

6. Capacitación y conciencia de seguridad

Instruir a los empleados es un punto medular. El objetivo es informarles sobre los requisitos de seguridad, la clasificación de datos y el control de acceso. La capacitación debe incluir:

• Ingeniería social: Conciencia sobre ataques de phishing y otras técnicas de manipulación
• Política de escritorio limpio: Mantener la seguridad de documentos y dispositivos
• Uso aceptable: Qué pueden usar los empleados en sus dispositivos de trabajo e Internet y qué está restringido 

Cisco reportó que en México solo el 50% de los empleados comprende las amenazas que representa la IA, a pesar de que el 88% de las organizaciones ya la reconocen como un riesgo activo. La brecha de conocimiento es hoy el mayor vector de exposición.

7. Política de cifrado

El cifrado implica codificar datos para mantenerlos inaccesibles u ocultos de partes no autorizadas. Las organizaciones deben definir:

• Dispositivos y medios que necesitan ser cifrados
• Definir cuándo es obligatorio el cifrado
• Los estándares mínimos aplicables al software de cifrado elegido 

8. Política de copia de seguridad

Establece los procedimientos para realizar copias de seguridad de datos y garantizar su recuperación:

• Identificación de qué datos necesitan ser respaldados
• Frecuencia de copias de seguridad
• Ubicación de almacenamiento de las copias de seguridad
• Responsables de gestionar el proceso de respaldo 

Este es un componente integral de la protección general de datos, la continuidad del negocio y la estrategia de recuperación ante desastres.

9. Uso de soluciones de seguridad informática

Además de los puntos anteriores, es necesario respaldar las políticas de seguridad informática y las buenas prácticas de ciberseguridad con soluciones tecnológicas integrales, que cuiden el uso de la información mientras se mantiene accesible para las personas adecuadas.

Estas herramientas deben incluir:

• Protección contra virus y malware
• Métodos para identificar accesos no autorizados
• Soluciones para seguridad de información y dispositivos durante el trabajo remoto
• Requisitos de seguridad física con medidas para proteger el acceso físico a los datos

Implementar servicios de navegación segura y soluciones avanzadas ciberseguridad empresarial dentro de tus políticas de seguridad no solo fortalece tu postura de defensa, también proporciona una capa adicional de protección contra ataques y brechas de seguridad.

En PlanNet, como Cisco Preferred Partner en México, te guíamos en un proceso de implementación y adopción de tecnología rentable, asegurando que obtengas el máximo provecho de tu inversión en soluciones tecnológicas como Cisco Umbrella.

No dejes la seguridad de tu información al azar. Solicita una consultoría TI para ayudarte a establecer tus políticas de seguridad con el respaldo de un equipo de ingenieros certificados por Cisco.

Te puede interesar leer el checklist para la seguridad de tu red corporativa en 6 pasos