¿Para qué me sirve esta actividad? 📚
Esta actividad te servirá para establecer el marco de dirección, los principios generales y las "reglas del juego" obligatorias para proteger la organización ante cualquier evento disruptivo, emergencia o desastre.
Su objetivo principal es formalizar el compromiso institucional de la empresa para garantizar la resiliencia operacional, protegiendo al personal, los activos de información, la infraestructura tecnológica, los servicios en la nube, la cadena de suministro y el cumplimiento de los acuerdos contractuales con los clientes.
De preferencia, debe elaborarse al inicio del proyecto de implementación de tu SGCN y revisarse formalmente al menos una vez al año, o de manera extraordinaria tras la ocurrencia de un cambio significativo en la estructura, tecnología u operaciones de la empresa.
Permite además consolidar en un solo documento rector las directrices de seguridad, trabajo remoto, gestión de accesos, respuesta a incidentes y respaldos, facilitando la comunicación a colaboradores, terceros y proveedores para adherirse a los requerimientos de continuidad y seguridad de la información del negocio.
¿Qué tengo que hacer? 🚀
💡Este documento debe reflejar la realidad operativa, tecnológica y organizacional de tu empresa.
Al trabajar en el template, te recomendamos primero leerlo en su totalidad para así comprender la información que deberás documentar posteriormente. Y para completarlo de forma adecuada, te recomendamos considerar lo siguiente:
Completa el objetivo y alcance del documento.
Verifica que el objetivo contemple la continuidad de las actividades prioritarias de tu negocio, y confirma que aplique a todas las áreas, procesos, recursos (personas, tecnología, infraestructura) y proveedores críticos bajo el alcance de tu SGCN.
Contacto con autoridades / grupos de respuesta.
Actualiza la tabla de contactos de emergencia con las autoridades locales reales con las que puedas comunicarte en caso de presentar eventos disruptivos, de desastre o incidentes (por ejemplo Protección Civil, Bomberos, Policía Cibernética, etcétera).
Indica las comunidades o grupos especializados a los que pertenece la empresa para mantenerse actualizada sobre amenazas (por ejemplo blog de Hackmetrix, Hacknews, boletines, foros, convenciones, etcétera).
Dispositivos móviles y teletrabajo.
Define los requerimientos de seguridad para el trabajo remoto y la protección de los dispositivos o equipos de trabajo, como el uso obligatorio de VPN para acceder a sistemas críticos, cifrado de disco duro, gestor de contraseñas, habilitación de borrado remoto, etcétera.
Gestión de recursos humanos.
Establece la identificación del personal crítico, la inclusión de responsabilidades de continuidad en descripciones de puesto, los programas de capacitación y los procedimientos de comunicación con familiares en emergencias mayores.
Adapta las medidas relacionadas con selección, contratación, confidencialidad, capacitación, desvinculación y devolución de activos según las prácticas reales de tu empresa, para asegurar la continuidad de las operaciones.
Clasificación, etiquetado y destrucción de recursos e información.
Revisa los niveles de información que te proponemos en el template (Confidencial - Sensible, Organizacional - Interna, Pública) y ajústalos si es necesario, para asegurar alineación con el resguardo real de tus datos.
Define los métodos de etiquetado lógico (por ejemplo versionado, marcas de agua, encabezados) y físico (por ejemplo etiquetas rojas para prioridad alta/activos críticos, naranjas para media y verdes para baja) para orientar al personal en caso de evacuación o rescate de equipos.
Formaliza los canales seguros y los responsables autorizados para compartir información durante una crisis, así como los métodos adecuados a aplicar de borrado seguro y destrucción física de activos dañados, según corresponda.
Gestión de riesgos.
Establece la obligatoriedad de evaluar riesgos en todo el ciclo de vida de los proyectos según sea necesario para garantizar que la empresa está realmente preparada para abordar eventos disruptivos, crisis o emergencias.
Gestión de accesos y autenticación.
Revisa que los lineamientos sobre usuarios, permisos, cuentas privilegiadas, contraseñas, doble factor de autenticación y revisión de accesos coincidan con las herramientas realmente utilizadas.
Adapta los ejemplos de contraseñas, gestores, cifrado, VPN, borrado remoto o autenticación adicional según la realidad técnica de la empresa.
Seguridad física y tecnológica.
Describe los controles perimetrales, videovigilancia, sistemas UPS, plantas de energía de emergencia, ubicaciones secundarias o cualquier otro lineamiento sobre seguridad física que sea aplicable a tu organización.
Define las soluciones de seguridad que usarás, como por ejemplo antimalware, firewall, WAF, así como también todos los lineamientos sobre seguridad operativa y tecnológica implementados o por implementar dentro del "entorno" del SGCN.
Evita dejar en la política controles que no estén implementados técnicamente, ya que las auditorías exigen coherencia entre lo escrito y la operación real.
Gestión de vulnerabilidades.
Se recomienda la realización periódica de ejercicios de Ethical Hacking para la identificación de vulnerabilidades técnicas en etapas tempranas, donde la organización pueda aplicar medidas de remediación adecuadas.
Gestión de la seguridad en las redes.
Una de las capas más importantes es la red, por lo que proteger el tráfico de información en las redes, ya sean internas o externas de la organización, es muy importante para garantizar la continuidad del negocio y la resiliencia operativa.
Gestión del ciclo de vida del desarrollo.
Ya sea que tu empresa desarrolle internamente o que tengan el desarrollo tercerizado, es súper importante verificar que se estén aplicando las mejores prácticas que propone la industria, ya que un código débil o desprotegido tendrá muchas más probabilidades de presentar brechas de seguridad, ataques y eventos disruptivos.
Proveedores, nube y respaldos.
Especifica los requerimientos para la contratación de proveedores y/o servicios en la nube, como por ejemplo que tengan cifrado de datos en tránsito, evaluación de la capacidad de BCP/DRP del proveedor, herramientas de autoscaling, entre otros.
Define los lineamientos para la evaluación periódica de proveedores y terceros que participan dentro del funcionamiento del SGCN.
Indica la frecuencia real de tus copias de seguridad (backups), su tiempo de retención y la ejecución de pruebas periódicas de restauración.
Gestión de incidentes.
Establece las bases para una adecuada gestión de incidentes, desde los criterios para su notificación, cómo debe ser analizado y atendido, hasta cómo aplicar las acciones de remediación y su comunicación.
Habilita un canal interno para reportar condiciones de riesgo o interrupciones, define cómo se debe realizar el escalamiento al Comité de Crisis y/o de Continuidad del Negocio, y establece que todo cambio significativo en procesos o tecnología debe ser evaluado previamente para conocer su posible impacto en los tiempos de recuperación (RTO y RPO).
Gestión de la continuidad del negocio.
Asegurar la continuidad de tus operaciones involucra muchos aspectos; requiere una comunicación efectiva, una asignación de responsables adecuados, una planificación pertinente y garantizar que los recursos que sean necesarios (humanos, físicos, tecnológicos), siempre estén disponibles.
Gestión del cumplimiento.
Sabemos que la normativa es una guía de mejores prácticas que te permite robustecer los procesos de tu organización, pero recuerda que los requisitos legales y contractuales tienen un peso mayor, por lo que debes asegurarte que tu SGCN también está alineado con dichos requisitos.
Completa el versionado del documento.
Al finalizar, completa la tabla de versionado indicando quién elaboró la política, quién la aprobó, la fecha de aprobación y la clasificación de la información.
Nuestro template está estructurado con los lineamientos base necesarios que te servirán para establecer una política clara, ordenada y en cumplimiento, pero recuerda que debes ajustarla al contexto real de tu empresa.
💡Los pasos a seguir para terminar la actividad dentro de la plataforma son los siguientes:
Una vez que nuestro equipo haya aprobado la actividad, debes subir el documento final en versión PDF (no editable).
Posteriormente, debes subir la evidencia de su aprobación.
Recomendamos que esta evidencia sea a través de una minuta de sesión de comité (en ese caso, debes subir el documento en PDF de la minuta), o con una captura de pantalla de la respuesta explícita de quién o quiénes lo aprobaron.
Esto debe realizarse por algún medio de comunicación interno de la empresa, como Slack, Teams o el correo electrónico organizacional.
O también puedes utilizar la funcionalidad de aprobación que tiene la plataforma Hackmetrix.
Y por último, debes subir la evidencia de su comunicación.
Al igual que la aprobación, la comunicación del documento puede ser por cualquier medio formal interno de la empresa. Y para esto, debes subir una captura de pantalla donde se muestre que el documento fue comunicado a todos los colaboradores interesados.
O también puedes utilizar la funcionalidad de comunicación que tiene la plataforma Hackmetrix.
Recomendaciones ✅
Asegúrate de que los parámetros técnicos declarados (frecuencia de backups, longitud de contraseñas, uso de VPN) coincidan con la configuración real de tus sistemas.
Esta política impacta la rutina diaria de todo el personal. Extrae las reglas de mayor impacto directo (como el reporte inmediato de incidentes, uso de gestores de contraseñas y normas de teletrabajo) y refuérzalas mediante comunicaciones o capacitaciones internas.
Al ser un documento clave dentro del SGCN, la participación y firma de la Dirección General y/o del Comité de Continuidad es indispensable para otorgarle autoridad y respaldo institucional.
Revisa la política inmediatamente después de un incidente operacional importante o cuando ocurra una reestructuración de la arquitectura tecnológica de la empresa.
¡Califica este artículo 👇, esto nos ayudará a mejorar nuestro contenido para ti! También puedes contactarnos por correo electrónico o a través de la plataforma, y te brindaremos la atención que necesites.