Inventariamos
Qué es y qué pide la norma
La política de seguridad de la información es un documento corto en el que la dirección de la empresa dice qué quiere proteger, con qué reglas generales y quién responde de cada cosa. No es un manual técnico ni lista contraseñas o configuraciones: de eso se encargan los procedimientos que cuelgan de ella. Piensa en una gestoría de 15 personas: la política cabe en tres o cuatro páginas y la firma quien manda, no quien administra los ordenadores.
Si te planteas certificar la empresa en ISO/IEC 27001:2022, la política es obligatoria en dos sitios. La cláusula 5.2 exige que la alta dirección establezca una política de seguridad de la información adecuada al propósito de la organización, que incluya objetivos (o un marco para fijarlos), el compromiso de cumplir los requisitos aplicables y el de mejorar de forma continua, que esté documentada, se comunique dentro de la organización y esté disponible para las partes interesadas. El control 5.1 del Anexo A añade que las políticas deben definirse, aprobarse por la dirección, publicarse, comunicarse y revisarse a intervalos planificados o cuando haya cambios significativos.
En el Esquema Nacional de Seguridad (Real Decreto 311/2022, BOE-A-2022-7191) el artículo 12 se titula «Política de seguridad y requisitos mínimos de seguridad», y la medida org.1 del Anexo II la desarrolla. Según la categoría del sistema (BÁSICA, MEDIA o ALTA) la medida org.1 se aplica igual, sin refuerzos. El ENS afecta al sector público y a las empresas que le prestan servicios o soluciones, así que si facturas a un ayuntamiento, una diputación o un hospital público, esto te toca de cerca.
Aunque no aspires a ninguna certificación, el RGPD (art. 32) te obliga a aplicar medidas técnicas y organizativas adecuadas al riesgo, y una política firmada es la forma más sencilla de demostrar que esas medidas responden a una decisión de la dirección y no a la iniciativa de cada empleado.
Qué debe contener como mínimo
La medida org.1 del ENS pide que la política se plasme en un documento en el que se precise, al menos, lo siguiente:
- Los objetivos o la misión de la organización.
- El marco legal y regulatorio en el que se desarrollan las actividades.
- Los roles o funciones de seguridad, con sus deberes y responsabilidades, y el procedimiento para designarlos y renovarlos.
- La estructura del comité o comités de gestión y coordinación de la seguridad, con su ámbito de responsabilidad, sus integrantes y su relación con el resto de la organización.
- Las directrices para estructurar la documentación de seguridad, su gestión y su acceso.
El artículo 12 añade que la política debe tener en cuenta los riesgos derivados del tratamiento de datos personales y que se desarrolla conforme a los requisitos mínimos de seguridad que enumera (organización del proceso de seguridad, análisis y gestión de riesgos, gestión de personal, control de accesos, continuidad de la actividad, mejora continua, entre otros).
En una pyme que no está en el ámbito del ENS, ese mismo esquema sirve de lista de comprobación. No necesitas un comité formal de diez personas: en una clínica con seis profesionales, un comité puede ser la gerente, el responsable de administración y el proveedor informático, reunidos una vez al trimestre y con acta de media página.
Índice de una política de ejemplo
Este es un esqueleto razonable para una oficina de 10 a 30 puestos. Abre cada apartado para ver qué se escribe en él.
1Objeto y alcance
2Objetivos de seguridad
3Marco legal
4Roles y responsabilidades
5Principios y reglas generales
6Gestión del riesgo
7Políticas y procedimientos relacionados
8Incumplimientos
9Aprobación y revisión
Nueve apartados bastan. Si el documento supera las cinco páginas, probablemente estás metiendo procedimientos donde van principios.
Roles y responsabilidades
El ENS distingue cuatro figuras (artículo 13): el responsable de la información, el responsable del servicio, el responsable de la seguridad y el responsable del sistema. El responsable de la seguridad debe ser una persona distinta del responsable del sistema, porque quien administra la tecnología no debería ser quien controla si está bien protegida.
| Rol | Qué decide o vigila | Quién suele ser en una oficina |
|---|---|---|
| Responsable de la información | Qué datos se tratan, quién puede acceder a ellos y qué nivel de protección necesitan. | Socio o gerente; en una clínica, la dirección médica. |
| Responsable del servicio | Qué prestaciones se dan a clientes o pacientes y qué requisitos de seguridad tienen. | Gerente o responsable de cada área. |
| Responsable de la seguridad | Que las medidas se cumplan, que se revise la política y que se comuniquen los incidentes. | Persona de administración con apoyo externo; nunca el mismo que administra los sistemas. |
| Responsable del sistema | Que los equipos, la red y las cuentas funcionen y estén configurados según lo acordado. | El proveedor informático o la persona que lo coordina. |
La ISO 27001 pide asignar y comunicar responsabilidades y autoridades de los roles relevantes (cláusula 5.3), sin imponer nombres. En una pyme una misma persona puede cubrir dos roles (por ejemplo, el gerente como responsable de la información y del servicio), siempre que quede escrito y que no coincidan seguridad y sistema. Apunta también un suplente para cada rol, porque la política falla justo cuando el único responsable está de vacaciones.
Aprobación, difusión y revisión
La aprueba la dirección. La ISO 27001 lo dice expresamente (la alta dirección establece la política) y es lo que más suele fallar: un documento redactado por el proveedor informático y archivado sin firma no vale como política. Aunque lo redacte otra persona, la firma, con fecha y número de versión, tiene que ser de quien dirige la empresa.
Después hay que comunicarla. Un PDF en una carpeta que nadie abre no cuenta. Lo que funciona en una oficina:
- Entregarla a cada persona en el alta (junto al resto de documentación del puesto) y pedir acuse de recibo firmado o por correo.
- Publicarla en un sitio fijo que todos conozcan, como el SharePoint de la empresa, en una biblioteca de solo lectura.
- Hacer una sesión de 20 minutos al año con ejemplos reales: el correo de «factura pendiente» que casi se abre, el portátil olvidado en un tren.
- Entregar a proveedores con acceso a vuestros sistemas la parte que les afecta.
La revisión debe hacerse a intervalos planificados y cuando cambie algo importante (nueva sede, cambio de proveedor informático, teletrabajo generalizado, un incidente grave). La norma no fija un plazo; una revisión anual, con fecha apuntada en el propio documento y una línea de historial de versiones («v1.1, 12/10/2026, se añade la política de teletrabajo»), es el criterio habitual y fácil de defender ante un auditor.
Políticas temáticas que cuelgan de ella
La política general fija principios. Las reglas concretas van en documentos más cortos, cada uno con su responsable. La ISO 27001 prevé esta estructura en el control 5.1: una política de nivel superior y políticas específicas por tema. Para una pyme suele bastar con estas:
- Uso aceptable de equipos, correo e internet (ISO 27001, 5.10). Qué se puede hacer con el ordenador de la empresa y qué no.
- Control de accesos y contraseñas (5.15, 5.18, 8.5; en ENS, op.acc.4 y op.acc.6). Altas, bajas, doble factor y revisión periódica de permisos. Mira la guía de altas y bajas de empleados.
- Copias de seguridad (8.13; ENS mp.info.6). Qué se copia, cada cuánto y cada cuánto se prueba una restauración. Más en la guía de copias de seguridad.
- Gestión de incidentes (5.24 a 5.28; ENS op.exp.7), incluida la notificación de brechas de datos personales a la AEPD en un máximo de 72 horas (RGPD, art. 33). Ver gestionar incidencias informáticas.
- Trabajo en remoto y portátiles (6.7; ENS mp.eq.3). Cifrado de disco, redes públicas y qué hacer si se pierde un equipo: teletrabajo con portátiles.
- Retirada y borrado de equipos y soportes (7.14, 7.10; ENS mp.si.5). Detalles en la guía de borrado seguro.
- Inventario de activos (5.9; ENS op.exp.1), que da base a todo lo anterior: inventario de equipos informáticos.
No hace falta escribirlas todas el primer día. Redacta la política general, firma, y ve añadiendo una temática por trimestre empezando por la que más riesgo te preocupe. Cada una cabe en una o dos páginas.
Fuentes oficiales
Cómo lo hacemos en Inventariamos
La política la firma tu dirección, y la certificación de ISO 27001 o ENS la emite una entidad acreditada (en España, con acreditación de ENAC), no nosotros. Lo que sí hacemos, según el alcance acordado, es preparar y mantener las evidencias técnicas que respaldan lo que la política dice: el inventario de equipos en el panel de Inventariamos, las altas y bajas de cuentas, el estado de las copias y el registro de incidencias, además de ayudarte con la parte de ciberseguridad que tu política necesite aterrizar. Si quieres revisar tu borrador o saber por dónde empezar, escríbenos.