Una política de ciberseguridad es un documento fundamental que le ofrece a su pequeña empresa una forma clara de explicar cómo los empleados deben proteger los sistemas, las cuentas, los dispositivos y los datos digitales de la empresa.
Transforma la seguridad de un consejo disperso en expectativas compartidas al responder preguntas como qué prácticas están permitidas, qué deben evitar los empleados, quién es el propietario de qué decisiones y qué sucede cuando algo sale mal.
Esta guía le ofrece un marco de trabajo práctico para redactar o revisar una política de ciberseguridad para su pequeña empresa. Puede utilizarla como plantilla inicial, adaptar cada sección a sus herramientas y riesgos, y conectar la política con controles operativos que faciliten su cumplimiento.
¿Qué es una política de ciberseguridad?
Por qué las pequeñas empresas necesitan una política de ciberseguridad
Plantilla de política de ciberseguridad: 9 secciones principales
¿Por qué fallan las políticas de seguridad de TI para las empresas?
Cómo Proton Pass for Business respalda la aplicación de la política
¿Qué es una política de ciberseguridad?
Una política de ciberseguridad es un documento escrito que define cómo su empresa protege la información, los sistemas, los dispositivos y las cuentas de las amenazas cibernéticas(nueva ventana). Debe explicar lo que se espera que hagan los empleados y contratistas, incluidos los gerentes y administradores, en su trabajo diario.
Una política sólida debe percibirse como una referencia que las personas realmente puedan usar cuando las decisiones no estén claras. Debe responder a preguntas como:
- ¿Qué contraseñas y cuentas necesitan protección adicional?
- ¿Pueden los empleados usar dispositivos personales para el trabajo?
- ¿Dónde deben estar almacenados los datos confidenciales?
- ¿Quién puede aprobar el acceso a los sistemas de la empresa?
- ¿Qué debe hacer alguien si sospecha de una vulneración?
- ¿Con qué frecuencia se revisará la política?
- ¿Qué ocurre con el acceso cuando alguien deja la empresa?
Para las PYMES, la mejor política de ciberseguridad es corta, clara y lo suficientemente específica como para borrar las conjeturas.
Por qué las pequeñas empresas necesitan una política de ciberseguridad
Una política de ciberseguridad puede ayudar a su empresa de tres maneras:
Establece expectativas: los empleados saben qué está permitido, qué es obligatorio y qué requiere aprobación.
Crea responsabilidad: si el acceso, los dispositivos, el manejo de datos y la respuesta a incidentes tienen propietarios claros, la seguridad deja de depender de la memoria de cada persona.
Respalda el cumplimiento y la confianza del cliente: cumplir con las regulaciones de datos como el GDPR exige que su empresa procese datos personales de forma segura utilizando medidas técnicas y organizativas adecuadas, que incluyen análisis de riesgos, políticas organizativas y medidas técnicas.
Una política escrita de seguridad de la información ayuda a mostrar que su empresa ha considerado esas responsabilidades y ha creado controles para reducir el riesgo.
El informe de ciberseguridad para PYMES de Proton refuerza por qué esto es importante para los equipos más pequeños: las PYMES a menudo enfrentan riesgos de seguridad reales sin contar con los mismos recursos que las grandes empresas. Una política práctica les brinda a esos equipos una manera de priorizar lo básico y hacerlo repetible.
Plantilla de política de ciberseguridad: 9 secciones principales
Utilice la siguiente estructura como plantilla de política de ciberseguridad. No es necesario que extienda demasiado cada sección. El objetivo es definir la regla, asignar la responsabilidad y explicar cómo deben aplicarla los empleados.
1. Propósito y alcance de la política
Comience por explicar por qué existe la política y a quién se aplica. Esta sección evita un problema común: que las personas asuman que la política solo se aplica a los “sistemas de TI” o a los empleados de tiempo completo.
Texto de la plantilla:
Esta política de ciberseguridad define cómo [Company Name] protege los sistemas, cuentas, dispositivos y datos de la empresa. Se aplica a empleados, contratistas, trabajadores temporales y terceros que acceden a la información o a los sistemas de la empresa.
El alcance debe incluir los dispositivos propiedad de la empresa, los servicios en la nube aprobados, las cuentas comerciales, los entornos de trabajo remoto, los dispositivos personales utilizados para el trabajo y el acceso de proveedores.
2. Política de uso aceptable
La sección de uso aceptable explica cómo pueden usar los empleados los sistemas y las cuentas de la empresa.
Debe cubrir:
- Software y servicios comerciales aprobados
- Restricciones sobre aplicaciones o extensiones de navegador no autorizadas
- Reglas para descargar archivos y software
- Uso de la mensajería y del correo electrónico de la empresa
- Uso personal de los dispositivos de la empresa
- Actividades prohibidas, como compartir cuentas sin aprobación o eludir los controles de seguridad
Mantenga esta sección práctica. Los empleados deben comprender qué opciones cotidianas son aceptables sin necesidad de interpretar lenguaje técnico.
Texto de la plantilla:
Los empleados deben utilizar sistemas comerciales aprobados para el trabajo de la empresa. No se deben utilizar aplicaciones no aprobadas, cuentas de almacenamiento personales ni extensiones de navegador no autorizadas para almacenar, procesar o compartir datos de la empresa, a menos que lo apruebe el [rol/equipo].
3. Requisitos de gestión de contraseñas y accesos
Es importante tener en cuenta los controles del administrador. Una política puede definir quién debe tener acceso, cuándo se requiere la autenticación de dos factores (2FA) y cómo debe funcionar la salida de empleados, pero los equipos aún necesitan una forma operativa de aplicar esas reglas. Un gestor de contraseñas empresarial como Proton Pass for Business ofrece soporte para ello a través de su panel de administración, donde su equipo puede gestionar el acceso, aplicar políticas, revisar la actividad y reducir la dependencia del manejo informal de contraseñas.
Su política debe establecer que:
- Las contraseñas de trabajo deben ser únicas y seguras.
- Las contraseñas no se deben reutilizar en cuentas comerciales y personales.
- Las credenciales compartidas no se deben enviar a través de medios no aprobados, como correo electrónico, chat, capturas de pantalla, tickets o documentos.
- La 2FA debe estar activada en todas partes, comenzando por las cuentas de alto riesgo.
- El acceso se debe conceder en función del rol y las necesidades de la empresa.
- El acceso se debe borrar cuando alguien cambia de rol o se va de la empresa.
- Las excepciones se deben documentar, incluidos los casos en los que aún no se pueda activar la 2FA, una cuenta compartida sea temporalmente inevitable, un proveedor necesite un acceso elevado con límite de tiempo o un sistema heredado no pueda cumplir con los requisitos estándar de contraseñas o de acceso.
La guía de Proton para crear una política de contraseñas puede ofrecer soporte a esta sección con más detalles sobre las reglas de contraseñas, el uso compartido, la gestión de accesos y la autenticación de dos factores.
Aquí es también donde la política necesita soporte operativo. Una regla que dice “use contraseñas únicas” es débil si los empleados todavía tienen que crear y recordar cada contraseña de forma manual.
Un gestor de contraseñas empresarial como Proton Pass for Business ayuda a los equipos a convertir los requisitos de contraseñas en una práctica diaria: los empleados pueden generar contraseñas seguras y únicas, almacenarlas en bóvedas cifradas, usar el completado automático y compartir contraseñas de forma segura en lugar de utilizar canales inseguros, todo en una sola aplicación.
Texto de la plantilla:
Las contraseñas de trabajo deben ser únicas, seguras y estar almacenadas en el gestor de contraseñas empresarial aprobado. Las contraseñas no se deben reutilizar en cuentas personales y comerciales ni compartir a través de correo electrónico, chat, capturas de pantalla, tickets o documentos. Se debe activar la autenticación multifactor para las cuentas de alto riesgo, y el acceso se debe conceder según el rol y las necesidades de la empresa. Cuando un empleado, contratista o proveedor ya no necesite acceso, los permisos se deben revisar y borrar.
4. Clasificación y manejo de datos
Una política de ciberseguridad debe definir los tipos de información que maneja su empresa y cómo se debe proteger cada uno de ellos. A continuación, se presentan tres niveles que una pequeña empresa puede utilizar sin complicar las cosas:
Público: información aprobada para uso público
Interno: información comercial para empleados y contratistas aprobados que no sería apropiado compartir de forma externa
Confidencial: datos de clientes, datos financieros, credenciales, contratos, expedientes de empleados o información operativa confidencial, cualquier cosa que pueda causar daños si se produce una filtración
Texto de la plantilla:
La información confidencial solo debe estar almacenada en sistemas aprobados, compartirse con personas autorizadas y protegerse del acceso no autorizado. Los empleados no deben almacenar datos comerciales confidenciales en cuentas personales, documentos no gestionados o dispositivos no aprobados.
5. Reporte de incidentes y primera respuesta
Su política debe explicar qué deben hacer los empleados cuando identifiquen o sospechen de una vulnerabilidad. No es necesario que sea un plan de respuesta a incidentes completo, pero debe definir las primeras acciones y la responsabilidad.
Incluya ejemplos como:
- Alertas de inicio de sesión sospechosas
- Dispositivos perdidos o robados
- Correos electrónicos de suplantación
- Intercambio de datos accidental
- Advertencias de malware
- Actividad inusual en la cuenta
- Acceso no autorizado a documentos o sistemas
Utilice la guía de Proton para la prevención de vulneraciones de datos para empresas para obtener más orientación sobre cómo reducir el riesgo de vulneraciones antes de que ocurra un incidente.
Texto de la plantilla:
Los empleados deben reportar los incidentes de seguridad sospechosos de inmediato a [role/team/contact]. Los empleados no deben eliminar pruebas, restablecer los sistemas afectados ni comunicarse de forma externa sobre un incidente a menos que lo indique el responsable del incidente.
6. Reglas para el trabajo remoto y el uso de dispositivos propios (BYOD)
El trabajo remoto y los dispositivos personales dentro de su red empresarial pueden generar riesgos innecesarios si no se gestionan adecuadamente. Su política de ciberseguridad debe explicar si los empleados pueden usar dispositivos personales, qué requisitos de seguridad se aplican (como la seguridad de BYOD) y qué sucede si un dispositivo se pierde o alguien se va de la empresa.
Incluya:
- Dispositivos y sistemas operativos aprobados
- Bloqueos de pantalla y encriptación de dispositivos
- Reportar dispositivos perdidos o robados
- Uso de WiFi público(nueva ventana)
- Acceso a los sistemas de la empresa desde dispositivos personales
- Reglas para el almacenamiento en la nube personal
- Requisitos para aplicaciones de autenticación y 2FA
- Pasos de salida para empleados remotos
Las guías de Proton sobre la política de trabajo remoto y la política de BYOD pueden ofrecer soporte a esta sección con reglas más detalladas para equipos distribuidos y dispositivos propiedad de los empleados.
Texto de la plantilla:
Los empleados solo pueden acceder a los sistemas de la empresa desde dispositivos aprobados que cumplan con los requisitos de seguridad. Los dispositivos perdidos o robados se deben reportar de inmediato. Los datos de la empresa no deben estar almacenados en cuentas personales en la nube ni en aplicaciones no gestionadas.
7. Acceso de terceros proveedores
Las pequeñas empresas a menudo dependen de agencias, contratistas, proveedores de software, contadores, consultores y proveedores de servicios gestionados. El acceso de los proveedores nunca debe tratarse de forma informal porque puede crear una puerta trasera que su empresa no controle por completo.
Un gestor de contraseñas empresarial puede ayudar a que ese control sea más práctico al ayudar a los equipos a mantener las credenciales de los proveedores limitadas, monitoreadas y fáciles de revocar cuando finalice un contrato.
Su política debe definir:
- Quién puede aprobar el acceso de los proveedores
- A qué sistemas pueden acceder los proveedores
- Si las cuentas de los proveedores deben ser individuales o compartidas
- Cuánto tiempo dura el acceso
- Con qué frecuencia se audita el acceso de los proveedores
- Cómo se determinan los permisos mínimos para cada proveedor
- Qué sucede cuando finaliza un contrato
Esta sección también respalda la seguridad de la cadena de suministro. Los 10 pasos de la NCSC(nueva ventana) la incluyen como un área clave para gestionar el riesgo cibernético, lo cual es especialmente relevante para las pequeñas empresas que subcontratan partes de TI, finanzas, marketing u operaciones.
Texto de la plantilla:
El acceso de terceros debe ser aprobado por [role/team], limitarse a los sistemas requeridos para el trabajo y revisarse al finalizar el contrato. El acceso del proveedor se debe borrar cuando ya no sea necesario.
8. Requisitos de capacitación de los empleados
Una política de ciberseguridad no funcionará si las personas solo la ven durante la incorporación. Una capacitación periódica en concientización sobre seguridad garantiza que su política se cumpla siempre.
Su política debe explicar:
- Cuándo reciben capacitación en seguridad los empleados
- Qué temas cubre la capacitación
- Con qué frecuencia se realizan las actualizaciones
- Quién debe completar la capacitación
- Cómo se comunican los nuevos riesgos o los cambios en la política
Los temas de capacitación pueden incluir suplantación, gestión de contraseñas, 2FA, intercambio de archivos seguro, manejo de datos, trabajo remoto, seguridad de los dispositivos y reporte de incidentes.
Mantenga la capacitación corta y práctica. Una política sucinta de cinco páginas con una lista de verificación respaldada por ejemplos cortos suele ser más útil que un documento de 40 páginas sobrecargado y detallado.
Texto de la plantilla:
Los empleados deben completar la capacitación en ciberseguridad durante la incorporación y al menos [annually/twice a year]. La capacitación cubrirá la seguridad de las contraseñas, la suplantación de identidad, el manejo de datos, la seguridad de los dispositivos y el reporte de incidentes.
9. Frecuencia de revisión de la política
Una política de ciberseguridad debe cambiar a medida que cambia la empresa. Los nuevos sistemas, los patrones de trabajo remoto, los proveedores, las regulaciones y los incidentes pueden hacer que las reglas antiguas queden incompletas.
Defina:
- Con qué frecuencia se revisa la política
- Un responsable para la revisión de la política de ciberseguridad
- Cómo se aprueban los cambios
- Cómo se comunican las actualizaciones
- Qué desencadena una revisión fuera de ciclo
Texto de la plantilla:
Esta política será revisada cada [six or 12 months] por [owner]. También debe revisarse después de un incidente de seguridad importante, un cambio significativo en el sistema, una actualización regulatoria o un cambio sustancial en las operaciones comerciales
¿Por qué fallan las políticas de seguridad de TI para las empresas?
La mayoría de las políticas de ciberseguridad fallan por razones prácticas:
La política es demasiado larga: una política de ciberseguridad para pequeñas empresas no debe intentar cubrir todos los escenarios posibles. Si se vuelve demasiado larga, los empleados dejan de usarla. Manténgala concisa y proporcione un enlace a procedimientos más profundos donde sea necesario.
El lenguaje es demasiado técnico: los empleados no deberían necesitar conocimientos de seguridad para seguir las pautas de ciberseguridad de la empresa. Utilice un lenguaje sencillo y reemplace los términos técnicos con explicaciones cotidianas siempre que sea posible.
La política se presenta solo durante la incorporación: si la política solo se menciona una vez durante la incorporación, no influirá en el comportamiento diario. Refuércela mediante capacitación, recordatorios, guías de referencia rápida y actualizaciones cuando cambien los procesos.
La política nunca se revisa: es posible que una política redactada hace dos años no refleje los sistemas actuales, las prácticas de trabajo remoto, el acceso de los proveedores o las expectativas regulatorias. Revísela periódicamente.
La política no se aplica: esta es la razón más común del fracaso. Una política puede decir que las contraseñas deben estar almacenadas de forma segura, que la 2FA debe estar activada o que el acceso de los proveedores se debe borrar, pero esas reglas no importan si nadie las supervisa. La aplicación de la política significa asignar responsables, utilizar controles de administrador donde estén disponibles, revisar las excepciones y hacer que el comportamiento seguro sea más fácil que usar un atajo.
Para la gestión de contraseñas y accesos, Proton Pass for Business puede ayudar a ofrecer soporte para la aplicación de políticas de manera operativa. Ofrece a los equipos bóvedas cifradas, uso compartido seguro, generación de contraseñas y visibilidad para el administrador, de modo que su empresa no dependa únicamente de la teoría. Los administradores también pueden monitorear el estado de la contraseña, la reutilización de credenciales y la exposición a vulneraciones en la dark web en toda la organización de forma segura, sin conocer las contraseñas de los empleados.
Cómo Proton Pass for Business respalda la aplicación de la política
Una política de ciberseguridad solo es útil si la empresa puede ponerla en práctica. Las reglas de contraseñas y accesos son un buen ejemplo. Puede escribir que las contraseñas deben ser únicas, compartirse de forma segura y borrarse cuando las personas se vayan. Pero si los empleados siguen utilizando navegadores, hojas de cálculo, mensajes de chat o notas personales, la política es fácil de ignorar.
Proton Pass for Business ofrece a los empleados una forma segura de generar, almacenar, usar el completado automático y compartir credenciales, al tiempo que proporciona a los administradores una mejor visibilidad de cómo se gestiona el acceso. Esto hace que la sección de gestión de contraseñas y accesos de su política sea más fácil de seguir.
Para las pequeñas empresas, el beneficio es práctico. No se necesita un equipo de seguridad grande para comenzar a mejorar la higiene de las credenciales. Un gestor de contraseñas empresarial le brinda a su equipo un lugar central para las credenciales de trabajo, respalda una colaboración más segura y ayuda a reducir el riesgo de reutilización de contraseñas o de un uso compartido sin control.
El control de acceso es uno de los lugares más prácticos para convertir la política en acción. Cuando las credenciales son más fáciles de generar, almacenar, compartir y revocar de forma segura, es menos probable que los empleados dependan de soluciones alternativas inseguras. Los gerentes también obtienen una forma más clara de respaldar los requisitos de contraseñas y accesos en las operaciones diarias.
Aplique su política de ciberseguridad con un gestor de contraseñas empresarial seguro como Proton Pass for Business.
