ENS desde dentro (II): Cómo crear una política de seguridad en ENS (y que no sea papel mojado)

Introducción

Si estás empezando con el ENS, hay un documento que aparece siempre al principio: la política de seguridad. Se redacta, se aprueba, se firma… y muchas veces se guarda sin que vuelva a utilizarse. Ahí empieza el problema, porque en el ENS la política no es un trámite: es la base de todo el sistema.

Este artículo forma parte de la serie ENS desde dentro.

👉 Puedes ver la guía completa aquí:
https://www.handersonboratto.com/ens-desde-dentro/

El punto de partida: marco organizativo (org.1)

Dentro del ENS, la política de seguridad forma parte del marco organizativo (org), y es su primer nivel:

• org.1 → Política de seguridad
• org.2 → Normativa de seguridad
• org.3 → Procedimientos
• org.4 → Proceso de autorización

Es decir, la política define las reglas del juego, pero necesita bajar a normas y procedimientos para ser aplicable.

Qué exige realmente el ENS

El ENS no te pide solo que tengas una política: te exige que esté aprobada por dirección, defina responsabilidades claras, establezca el marco de seguridad y, sobre todo, que se aplique. Tener el documento no es suficiente.

Cómo crear una política de seguridad en ENS paso a paso

Aquí es donde empieza el trabajo de verdad.

1. Define responsabilidades (antes de escribir nada)

Antes de redactar una sola línea, necesitas tener claro quién es el responsable de seguridad, el responsable del sistema, el responsable de la información, el responsable del servicio y quién forma el comité de seguridad. Si esto no está definido, la política no sirve.

2. Define el alcance

La política debe dejar claro a qué aplica: sistemas de información, usuarios, proveedores y servicios. Sin alcance, no hay control.

3. Establece los principios de seguridad

Aquí defines cómo entiende la organización la seguridad: gestión basada en riesgos, seguridad integral, prevención, detección y respuesta, y mejora continua. Esto marca cómo se tomarán las decisiones después.

4. Define la estructura de seguridad

Una política ENS no vive sola: debe definir su ecosistema, con la política en el nivel estratégico, las normas definiendo qué se debe hacer y los procedimientos definiendo cómo se hace. Este punto es clave y muchas veces se ignora.

5. Aprobación por dirección

Este paso no es formal: es obligatorio en ENS. La política debe estar aprobada, firmada y respaldada por dirección. Sin esto, no hay compromiso real.

6. Difusión (donde todo falla)

Aquí es donde la mayoría de organizaciones fallan: los usuarios no la conocen, no se comunica, no se integra en el día a día. Una política que no se comunica, no existe.

7. Mantenimiento y revisión

El ENS no es estático. La política debe revisarse periódicamente, versionarse y adaptarse a cambios. Si no evoluciona, deja de ser válida.

Errores comunes (y muy reales)

Después de trabajar con políticas ENS, estos fallos se repiten siempre:

• Copiar plantillas: políticas genéricas que no reflejan la realidad de la organización.
• No definir responsabilidades: todo el mundo es responsable… y nadie lo es realmente.
• No comunicarla: se firma, pero no llega a los usuarios.
• No alinearla con la operación: los procedimientos reales no siguen la política.
• No mantenerla: se queda obsoleta en poco tiempo.

Cómo se evidencia una política en una auditoría ENS

Aquí está la diferencia entre cumplir y parecer que cumples. En una auditoría te van a pedir:

• Aprobación: documento firmado por dirección.
• Difusión: evidencias de comunicación y aceptación por parte de los usuarios.
• Aplicación: procedimientos alineados y controles en funcionamiento.
• Mantenimiento: revisiones periódicas, control de versiones e historial de cambios.

Sin estas evidencias, la política no tiene valor en ENS.

Cómo debería usarse en la práctica

Una política útil no es un documento decorativo: es una guía para tomar decisiones, una base para auditorías y un marco para definir controles. Debería influir en cómo trabaja la organización cada día.

Recomendaciones prácticas

Si estás creando tu política ENS:

• Empieza por las responsabilidades, no por el documento
• Asegura el compromiso real de dirección
• Comunícala (no solo la firmes)
• Alinea todo lo demás con ella
• Y desde el primer día: genera evidencias

Cierre

En el ENS, el marco organizativo es el punto de partida. Y todo empieza aquí: política, normas y procedimientos. Si la base falla, todo lo demás se construye mal.

Próximo artículo

La política define, pero no es suficiente. En el siguiente paso, esa política se convierte en reglas reales que los usuarios deben cumplir.

👉 Normativa de seguridad en ENS: cómo definir reglas claras

👉 Accede a la guía completa del ENS:
https://www.handersonboratto.com/ens-desde-dentro/