What is an IT Security Policy?

El objetivo de una política de seguridad de TI

El objetivo es establecer claramente las reglas y procedimientos para usar los activos corporativos. Esto incluye información dirigida tanto a los usuarios finales como al personal de TI y seguridad. Las políticas de seguridad de TI deben diseñarse para identificar y abordar los riesgos de seguridad de TI de una organización. Lo hacen abordando los tres objetivos principales de la seguridad de TI (también llamada tríada de la CIA):

• Confidencialidad: Proteger los datos confidenciales de ser expuestos a partes no autorizadas.
• Integridad: Asegurar que los datos no se hayan modificado mientras están almacenados o en tránsito.
• Disponibilidad: Proporcionar acceso continuo a datos y sistemas a usuarios legítimos.

Estos tres objetivos se pueden lograr de varias maneras diferentes. Una organización puede tener múltiples políticas de seguridad de TI dirigidas a diferentes audiencias y abordando diversos riesgos y dispositivos.

La importancia de una política de seguridad de TI

Una seguridad de TI es un registro escrito de las reglas y políticas de seguridad de TI de una organización. Esto puede ser importante por varias razones diferentes, incluyendo:

• Comportamiento del usuario final: Los usuarios necesitan saber qué pueden y qué no pueden hacer en los sistemas de TI corporativos. Una política de seguridad informática establecerá reglas para el uso aceptable y sanciones en caso de incumplimiento.
• Administración de riesgos: Una política de seguridad de TI define cómo se puede acceder y usar los activos de TI corporativos. Esto define la superficie de ataque corporativo y la cantidad de riesgo cibernético que enfrenta la compañía.
• Continuidad del negocio: Un ataque cibernético u otro evento que interrumpa el negocio inhibe la productividad y le cuesta dinero a la organización. Las políticas de seguridad de TI ayudan a que estos eventos sean menos probables y a resolverlos de manera eficiente si ocurren.
• Respuesta a incidentes: En caso de una violación de datos u otro incidente de seguridad, la respuesta correcta y rápida es crítica. Una política de seguridad de TI define las acciones que se deben tomar cuando ocurre un incidente.
• Cumplimiento regulatorio: Muchas regulaciones, como el GDPR e ISO, requieren que una organización tenga políticas y procedimientos de seguridad implementados y documentados. La creación de estas políticas es necesaria para lograr y mantener el cumplimiento normativo.

Información clave sobre políticas de seguridad de TI

Las políticas de seguridad de TI de una organización deben diseñarse para satisfacer las necesidades del negocio. Pueden ser una única política consolidada o un conjunto de documentos que aborden diferentes temas.

A pesar de esto, las políticas de seguridad de TI de todas las organizaciones deben contener cierta información clave. Ya sea como documentos independientes o secciones en uno más grande, una política de seguridad de TI corporativa debe incluir lo siguiente:

• Uso aceptable: Cómo se permite a los usuarios finales utilizar los sistemas de TI
• Administración de cambios: Procesos para implementar, actualizar y retirar activos de TI
• Retención de datos: cuánto tiempo se pueden almacenar los datos y cómo eliminarlos adecuadamente
• Respuesta a incidentes: Procesos para administrar posibles incidentes de seguridad
• Seguridad de Red: Políticas para asegurar la red corporativa
• Contraseña: Reglas para crear y administrar contraseñas de usuario
• Conciencia de seguridad: Políticas para capacitar a los empleados sobre las amenazas cibernéticas

Más allá de estas políticas centrales, una política de seguridad de TI también puede incluir secciones dirigidas a las necesidades específicas de una organización. Por ejemplo, una empresa puede necesitar traer su propio dispositivo (BYOD) o políticas de trabajo remoto.

Cómo escribir una política de seguridad de TI

Al escribir una política de seguridad de TI, un buen punto de partida son las mejores prácticas establecidas. Organizaciones como SANS Institute han publicado plantillas para políticas de seguridad de TI.

Estas plantillas se pueden editar para satisfacer las necesidades únicas de una organización. Por ejemplo, una empresa puede necesitar agregar secciones para abordar casos de uso únicos o adaptar el lenguaje para que se ajuste a la cultura corporativa.
Una política de seguridad de TI debe ser un documento vivo. Debe revisarse y actualizarse periódicamente para satisfacer las necesidades cambiantes de la empresa.

Soluciones de seguridad informática de Check Point

Al redactar sus políticas de seguridad de TI, considere los productos y servicios de Check Point. Aprenda a apoyar y hacer cumplir de manera eficiente su política de seguridad de TI corporativa leyendo este whitepaper. Luego, vea usted mismo el poder de la plataforma de seguridad integrada de Check Point con una demostración gratuita.