Elaboración y revisión de políticas de seguridad
Normalmente puedo distinguir en pocos minutos si una política de seguridad se ha redactado realmente para la organización que la posee o si se ha copiado de una plantilla y se ha modificado ligeramente. Las copiadas contienen referencias a sistemas que la empresa no utiliza, funciones que no existen y requisitos que nadie ha aplicado jamás. Su única finalidad es cumplir con los requisitos de un auditor, y todos los implicados saben en silencio que eso es todo lo que sirven.
Una política que realmente funcione debe ser lo suficientemente breve como para que la gente la lea, lo suficientemente específica como para indicar a las personas qué deben hacer realmente en una situación real —uso aceptable, clasificación de datos, notificación de incidentes, acceso remoto— y estar en consonancia con lo que su organización puede aplicar de forma realista. Una política de contraseñas que exija algo que sus sistemas no pueden exigir técnicamente, o una norma de tratamiento de datos que nadie compruebe, enseña a las personas que la política es una farsa, y esa actitud se extiende a las políticas que realmente importan.
Cómo redacto y reviso estos
Empiezo por comprender cómo funciona realmente su organización, no por tomar una plantilla de un marco de trabajo y rellenar el nombre de la empresa. ¿Qué necesitan hacer realmente las personas con los datos en su día a día?, ¿qué sistemas entran en el ámbito de aplicación?, ¿cuál es su tolerancia al riesgo en aspectos como el uso de dispositivos personales o el acceso remoto? A partir de ahí, redacto una política que refleje la realidad, con una atribución clara de quién se encarga de hacerla cumplir y qué ocurre cuando se incumple.
Si ya dispone de políticas, las reviso comparándolas con lo que realmente se está llevando a la práctica, lo que suele poner de manifiesto lagunas en ambos sentidos: aspectos que la política exige y que nadie cumple, y aspectos que la gente está llevando a cabo y que la política no aborda en absoluto. Prefiero reducir un documento normativo de sesenta páginas a algo que la gente realmente lea y siga, antes que entregarle un documento exhaustivo que quede en una unidad compartida sin que nadie lo consulte.
¿A quién va dirigido?
Si sus políticas actuales son heredadas, se basan en plantillas o no se han modificado desde su redacción inicial; si está desarrollando un programa de seguridad y no sabe por dónde empezar con la documentación; o si una auditoría ha detectado una discrepancia entre la política y la práctica, merece la pena subsanar esta situación adecuadamente.
Póngase en contacto con nosotros y hablemos de lo que sus políticas deben cubrir realmente.