Aprobar una política de seguridad de la información es sencillo comparado con aplicarla. El documento puede definir principios correctos, recibir la firma de gerencia y permanecer disponible para una auditoría. El problema aparece cuando la operación no puede demostrar que las decisiones, responsabilidades y controles descritos allí realmente funcionan.
Una política útil no intenta explicar cada configuración técnica. Establece la dirección que la empresa espera seguir, los límites de riesgo que está dispuesta a aceptar y quién debe decidir cuando aparece una excepción. Su valor se comprueba después, en procedimientos, registros y conductas observables. Sin esa conexión, la política se convierte en una declaración institucional que convive con prácticas distintas.
Qué debe lograr una política de seguridad de la información
NIST incorporó la función Govern en la versión 2.0 de su Cybersecurity Framework para situar la estrategia, las expectativas, las políticas, los roles y la supervisión antes de las funciones técnicas de identificar, proteger, detectar, responder y recuperar. El orden conceptual importa: los equipos necesitan criterios para priorizar, asignar recursos y resolver responsabilidades antes de desplegar controles.
ISO/IEC 27001 sigue una lógica similar al tratar la seguridad como un sistema que debe establecerse, implementarse, mantenerse y mejorarse. Esto no significa que toda empresa deba certificarse ni declarar que opera un sistema formal. Sí muestra que la política pierde sentido cuando se separa de los riesgos, los procesos y la estructura real de la organización.
La brecha está entre lo declarado y lo que ocurre
Una política puede exigir accesos según funciones, pero los permisos antiguos continúan activos después de un cambio de cargo. Puede ordenar respaldos periódicos, mientras nadie conserva evidencia de restauraciones. También puede asignar la comunicación de incidentes a un cargo que cambió de nombre o dejó de existir. Ninguna de esas brechas se descubre leyendo el documento de manera aislada.
La distancia aumenta cuando cada área interpreta la política por su cuenta. TI la traduce en configuraciones, Personas en obligaciones para colaboradores, Compras en condiciones para proveedores y Operaciones en restricciones que deben convivir con la continuidad del trabajo. Si no existe un responsable que conecte esas decisiones, surgen controles duplicados, vacíos de ejecución y excepciones informales.
La evidencia convierte principios en controles
La evidencia no debería producirse únicamente cuando llega una auditoría. Debe aparecer como consecuencia normal del proceso: aprobaciones de acceso, registros de cambios, revisiones de privilegios, pruebas de restauración, tratamiento de excepciones, resultados de capacitación o seguimiento de hallazgos. Su forma depende del riesgo y del tamaño de la empresa; acumular documentos sin propósito tampoco demuestra efectividad.
Lo importante es que exista una relación verificable entre la regla, la actividad y el resultado. Si la política establece que los accesos deben revisarse, la empresa debería poder mostrar quién realizó la revisión, con qué alcance, qué desviaciones encontró y cómo fueron resueltas. Esa trazabilidad permite distinguir un control operativo de una práctica que solo se presume.
Una política vigente necesita dueño y capacidad de ajuste
La aprobación de gerencia entrega autoridad, pero la gestión cotidiana requiere un responsable que coordine revisiones, reciba excepciones y promueva correcciones. El propietario de la política no ejecuta todos los controles; mantiene la coherencia entre áreas y evita que los cambios tecnológicos, organizacionales o regulatorios vuelvan obsoleto el documento.
Las excepciones también deben formar parte del modelo. Una empresa puede necesitar conservar una aplicación heredada, mantener un acceso temporal o postergar una medida por continuidad operacional. Ignorar esa realidad no reduce el riesgo. Resulta más útil registrar la decisión, establecer controles compensatorios, asignar una fecha de revisión y dejar claro quién aceptó la exposición residual.
Cómo evaluar si la política realmente funciona
Una revisión efectiva combina documento y operación. Contrasta los compromisos escritos con muestras de evidencia, entrevistas a quienes ejecutan los procesos y observación de controles relevantes. No se limita a preguntar si existe una política; busca determinar si las responsabilidades se entienden, las excepciones se gestionan y los resultados llegan a quienes deben tomar decisiones.
Para las instituciones sujetas a la Ley 21.663, la gestión continua de la seguridad adquiere además una dimensión regulatoria expresa. En otras organizaciones, la exigencia puede provenir de contratos, clientes, estándares, protección de datos o gobierno corporativo. En ambos casos, la diferencia entre cumplimiento formal y capacidad real está en la evidencia disponible.
Del documento a una capacidad de gestión
La política cumple su función cuando orienta decisiones y permite comprobar cómo la empresa gestiona sus riesgos. Si solo aparece durante una licitación o auditoría, todavía no está integrada a la operación. Una auditoría de seguridad puede identificar esa distancia, mientras una asesoría estratégica ayuda a ordenar responsabilidades, criterios y prioridades. AllDefense también desarrolla revisiones de cumplimiento para relacionar obligaciones con evidencias y medidas aplicables.
Fuentes
- NIST Cybersecurity Framework 2.0
- ISO/IEC 27001:2022 — Sistemas de gestión de seguridad de la información
- CIS Critical Security Controls v8.1
- Biblioteca del Congreso Nacional: Ley 21.663
