La política de seguridad de la información es el documento más corto de un sistema ISO 27001 y el que más a menudo sale mal, porque es el que más a menudo se compra. Una política de plantilla tiene treinta páginas, nombra controles que la empresa no aplica y un día llevó el nombre de otra empresa; un auditor la reconoce en la primera página. El apartado 5.2 pide algo mucho más pequeño: una política de la dirección adecuada a aquello para lo que existe la empresa, que lleve los objetivos de seguridad o el marco para fijarlos, comprometa a la empresa con los requisitos a los que está sujeta y con la mejora del sistema, y que esté escrita, contada a las personas de dentro y mostrada a las de fuera que la necesitan. Son siete cosas, y ninguna es un número de páginas. Este artículo lee el apartado para una empresa de software, expone las nueve secciones que lleva una política de dos páginas, enumera lo que señala un auditor, y describe la página gratuita que redacta la política a partir de diez respuestas en seis idiomas.

Lo que pide el apartado, y lo que no

Cuatro de las siete cosas tratan del contenido y tres del manejo. El contenido: la política debe ser adecuada al propósito de la empresa, de modo que la política de una plataforma de nóminas hable de datos de nóminas y de los clientes que los confían, no de "la organización"; debe llevar los objetivos o el marco para fijarlos, y por eso la política nombra los objetivos que mide; compromete a la empresa con los requisitos que le aplican, la ley, las regulaciones y los contratos registrados en el contexto del sistema; y compromete con la mejora continua, lo que en la práctica significa la auditoría interna, la revisión por la dirección y las acciones correctivas que pide el resto de la norma. El manejo: la política es información documentada según el apartado 7.5, con un responsable, una versión y una aprobación; se comunica dentro de la empresa, lo que un auditor comprueba preguntando a un recién llegado; y está disponible para las partes interesadas cuando procede, un cliente o un auditor a petición. Lo que el apartado no pide es una extensión, una plantilla, una ceremonia de firma o una lista de controles: los controles pertenecen a la declaración de aplicabilidad, y las normas de cada tema pertenecen a las políticas temáticas que A.5.1 pide por debajo de esta.

Las nueve secciones de una política breve

Una política que satisface el apartado y se lee bien cabe en nueve secciones. Propósito: qué protege la empresa y por qué, en un párrafo que nombra el producto. Alcance: a quién y a qué vincula la política, remitiendo a la declaración de alcance del apartado 4.3 en vez de repetirla. Por qué importa aquí: el motivo honesto, sea que los clientes hacen de la seguridad una condición del negocio, un regulador la obliga, las licitaciones exigen el certificado o la empresa la eligió antes de que nadie la pidiera. Compromisos: el proceso de riesgos con criterios de aceptación acordados por la dirección, los requisitos aplicables, la concienciación y la formación que reciben las personas, la medición, auditoría, revisión y mejora del sistema, y los recursos que necesita. Objetivos: las líneas medibles del apartado 6.2, de tres a cinco. Funciones: la dirección, la persona que gestiona el sistema, los propietarios de sistemas e información, y todos los demás, cada uno con una línea de responsabilidad. Las políticas que dependen de ella: la lista de políticas temáticas, para que un lector sepa dónde viven las normas sobre acceso, criptografía, copias de seguridad, desarrollo, proveedores e incidentes, y la regla de que esta política prevalece cuando se contradicen. Cumplimiento: cómo se comprueba y qué significa un incumplimiento. Comunicación y revisión: dónde se publica, que forma parte de la incorporación, y el ciclo y los desencadenantes de la revisión.

Objetivos que un auditor puede medir

El apartado 6.2 pide objetivos que se deriven de la política, puedan medirse cuando sea viable, se sigan, se comuniquen a las personas y se mantengan al día, cada uno con un plan detrás. La política es donde se enuncian, y el error es enunciarlos como adjetivos. "Nos tomamos la seguridad en serio" no es un objetivo; "el servicio está disponible en el nivel comprometido con los clientes o por encima, medido cada mes" sí lo es, como lo son "ninguna divulgación no autorizada confirmada de información de clientes, y cada acceso a datos de producción vinculado a una persona con nombre", "cada cambio revisado y probado antes de la puesta en producción, y ninguna vulnerabilidad crítica conocida en producción más allá del plazo de corrección acordado", "cada proveedor con acceso evaluado antes de su alta y revisado según calendario", "cada incidente registrado, evaluado y, cuando exista un deber de notificación, notificado dentro de su plazo" y "todos completan la concienciación en seguridad al incorporarse y al menos una vez al año, y el acceso se retira el último día". Cada uno de ellos es una línea sobre la que informa la revisión por la dirección del apartado 9.3, con una cifra al lado, y eso es lo que busca el auditor cuando abre las actas de la revisión después de la política.

Los errores que señala un auditor

La plantilla con el nombre de otra empresa todavía en un pie de página, o con controles que la declaración de aplicabilidad excluye. La política de treinta páginas que repite la norma, que nadie leyó y que el recién llegado no sabe resumir. La aprobación que falta: sin nombre, sin fecha, sin versión, o con una versión anterior al último cambio del negocio. Objetivos escritos como intenciones, sin nada en la revisión por la dirección que los mida. Sin registro de comunicación: la política existe en una carpeta, pero la incorporación no la menciona y el personal no la ha visto, lo que falla en la parte "comunicada" del apartado. Sin revisión desde la primera versión, en una empresa que desde entonces ha cambiado de productos, alojamiento o proveedores. Y una política superior que contradice a una temática, como una regla de contraseñas en una y otra distinta en la otra, sin decir cuál prevalece. Cada uno es un hallazgo en la primera auditoría, y cada uno se evita escribiendo menos y fechándolo.

Qué hacer con ello

Responda las diez preguntas de la página gratuita: qué entrega la empresa, por qué mantiene el sistema, si trata datos personales de clientes, desarrolla software, externaliza desarrollo o tiene oficinas, quién gestiona el sistema, quién aprueba la política, el ciclo de revisión y los objetivos que medirá. La página redacta las nueve secciones con palabras llanas y enumera las políticas temáticas que las respuestas requieren. Edítela hasta que suene como la empresa, haga que el aprobador la firme y la feche, publíquela donde todo recién llegado la lea, y lleve los objetivos a la revisión por la dirección. Redacte después la declaración de alcance a la que remite, el registro de riesgos que los compromisos prometen, y la declaración de aplicabilidad que enumera los controles; StandardOS redacta la política y las políticas temáticas que dependen de ella a partir de las mismas respuestas, con versiones, y convierte el ciclo de revisión en una fecha del calendario.