ENS desde dentro (III): Cómo definir una normativa de seguridad (guía paso a paso)

Este artículo forma parte de la serie ENS desde dentro.

👉 Puedes ver la guía completa aquí:
https://www.handersonboratto.com/ens-desde-dentro/

👉 Si es tu primera vez en la serie, te recomiendo empezar por aquí:
https://www.handersonboratto.com/blog/que-es-ens/

Introducción

Si en el artículo anterior hablábamos de la política de seguridad, ahora toca bajar un nivel más: pasamos del “qué” al “cómo”. Y aquí es donde empiezan los problemas reales. Muchas organizaciones tienen política de seguridad, pero cuando preguntas qué puede hacer realmente un usuario o qué está permitido y qué no, no hay una respuesta clara.

Qué es la normativa de seguridad en ENS

La normativa de seguridad es el documento que traduce la política en reglas concretas: define cómo deben usarse los sistemas, qué está permitido, qué está prohibido y qué responsabilidades tiene cada usuario.

El error más común

Crear una normativa genérica que nadie lee: documentos largos, legales, copiados de plantillas, que no se aplican en el día a día.

Cómo construir una normativa útil (paso a paso)

Aquí es donde cambia todo.

1. Empieza por lo que realmente ocurre

No empieces desde la normativa: empieza desde la realidad. Cómo trabajan los usuarios, qué herramientas usan y dónde hay riesgos.

2. Define reglas claras (sin ambigüedad)

Una normativa útil no deja espacio a interpretación. Por ejemplo, en lugar de “se debe hacer un uso responsable del equipo”, es mejor decir “está prohibido instalar software sin autorización”.

3. Cubre los bloques clave

Basado en experiencia real, una normativa debe cubrir como mínimo:

• Uso de equipos: uso corporativo, instalación de software, configuración de equipos.
• Accesos y credenciales: uso individual de cuentas, prohibición de compartir contraseñas, uso de MFA.
• Correo electrónico: uso corporativo, gestión de adjuntos, prevención de phishing.
• Internet: uso permitido, descargas, navegación segura.
• Movilidad y teletrabajo: uso de VPN, prohibición de redes públicas, uso de dispositivos corporativos.
• Dispositivos externos: USB, almacenamiento externo, control de entrada/salida.
• Incidentes: obligación de notificar, tiempos, canal.

4. Añade prohibiciones claras

Esto es clave: tu documento debe cubrir bien el software malicioso, la manipulación de logs, las conexiones no autorizadas y el uso indebido de recursos.

5. Define responsabilidades

Una normativa sin responsabilidades no sirve. Debe quedar claro quién es responsable, qué pasa si no se cumple y quién gestiona la normativa.

6. Asegura revisión y mantenimiento

Otro punto crítico que muchas organizaciones olvidan: la normativa debe revisarse periódicamente, con revisión anual y gestión por comité de seguridad.

El punto clave: que sea aplicable

Aquí está la diferencia entre cumplir ENS o no. No se trata de tener normativa: se trata de que se cumpla.

Cómo demostrarlo en auditoría

Aquí empieza lo importante: las evidencias. Algunos ejemplos reales son el documento firmado por usuarios, el registro de aceptación, la formación realizada y los incidentes reportados.

Error crítico que debes evitar

Hacer la normativa perfecta y no desplegarla. Porque entonces no sirve para nada.

Resumen

La normativa de seguridad traduce la política, define reglas claras, establece responsabilidades y debe ser aplicable en el día a día.

Próximo artículo

👉 Procedimientos de seguridad en ENS: donde todo se convierte en operativa real