En una política de seguridad existen elementos claves que nos ayudarán a alinear dichas medidas con el objetivo del negocio.

Por mi experiencia trabajando en empresas que no son tecnológicas, sé de la importancia de alinear este tipo de políticas con el negocio así como buscar el punto de equilibrio entre seguridad y funcionalidad.

Por ejemplo, de nada vale poner una política de contraseñas muy estricta si eso hace que al final el usuario se la acabe apuntando en un papel.

Elementos clave en una política de seguridad:

• Ser fácil de entender

Los técnicos muchas veces pecamos de escribir políticas, procedimientos y normas en un lenguaje demasiado técnico.

Es importante valorar el nivel de comprensión de la audiencia objetivo.

Los materiales entregados deberán ser muy claros o de lo contrario, causarán el efecto opuesto.

• Ser adecuable

Tal y como he comentado anteriormente es imprescindible, ligar la política de seguridad con las necesidades específicas de la organización.

• Ser factible

¿Puede la organización y sus empleados alcanzar sus objetivos de negocio si la política es puesta en práctica?

Si la política de seguridad es muy restrictiva puede correr el riesgo de inhibir o dificultar las capacidades de realizar el objetivo de negocio.

• Ser aplicable y evitar absolutos

Intenta buscar un equilibrio entre permitir alguna libertad y cumplir con la necesidad del negocio.

Por ejemplo, para el uso de los teléfonos corporativos podríamos decir algo así:

«Los teléfonos corporativos deben ser usados para las funciones aprobadas por dirección»

Siempre es mejor que no aparezcan absolutos o prohibiciones extremas en la política de seguridad.

• Introducirla progresivamente

Lo adecuado aquí sería publicar una política y luego enviar un plan de cumplimiento realista.

• Ser proactiva

Es importante hacer hincapié en la naturaleza viva de la política.

• Cumplir con los objetivos del negocio

Los profesionales de la seguridad debemos aprender que los controles deben ayudar a la organización en un nivel aceptable del riesgo.

Una seguridad del 100% es una productividad del 0%.