Las políticas y procedimientos son los documentos que definen cómo se gestiona la seguridad en una organización. Mientras los controles técnicos protegen los sistemas, estos documentos establecen las reglas, responsabilidades y formas de actuar que hacen que la seguridad sea consistente y no dependa de la improvisación.
Se organizan en niveles, de lo más general (qué se quiere lograr) a lo más concreto (cómo hacerlo exactamente).
Los cuatro niveles:
- Política → regla de alto nivel. Define qué se debe cumplir y por qué. Es de cumplimiento obligatorio. Ej.: "Toda la información sensible debe estar cifrada."
- Estándar → requisito específico y obligatorio que apoya a la política. Define el con qué. Ej.: "Usar cifrado AES-256."
- Procedimiento → paso a paso detallado para ejecutar una tarea. Define el cómo. Ej.: "Pasos exactos para cifrar un disco."
- Guía (guideline) → recomendación no obligatoria que orienta la toma de decisiones. Ej.: "Se sugiere rotar las contraseñas cada 90 días."
Por qué importan:
| Beneficio | Explicación |
|---|---|
| Consistencia | Todos actúan igual, sin depender del criterio personal |
| Responsabilidad | Queda claro quién hace y responde por cada cosa |
| Cumplimiento | Ayudan a satisfacer leyes y normas (ISO, GDPR, etc.) |
| Respuesta | Permiten reaccionar rápido y ordenado ante incidentes |
Una forma habitual de visualizarlo es como una pirámide: en la cima la política (lo general) y, al descender, estándares, procedimientos y guías (cada vez más concretos).
Las políticas son el corazón de la gobernanza de seguridad y se relacionan directamente con marcos como ISO 27001 y NIST, que se ven en el pilar de GRC y Cumplimiento.