Esta es la plantilla para escribir la política de seguridad de la información de una empresa de menos de 200 personas. Está pensada para caber en seis páginas y leerse en quince minutos, porque una política que no se lee no se cumple.
Copia la estructura, adapta lo que está entre corchetes y borra lo que no aplique. El texto base está redactado para que se entienda sin ser técnico.
Encabezado
Política de Seguridad de la InformaciónNombre de la empresa Versión 1.0 — Vigente desde fecha — Próxima revisión: fecha + 1 año Responsable: puesto, no nombre de persona
Que el responsable sea un puesto y no una persona evita que la política quede huérfana cuando alguien cambia de trabajo.
1. Propósito y alcance
Esta política establece las reglas de uso y protección de la información y los sistemas de empresa. Aplica a todo el personal, incluyendo empleados, becarios, contratistas y proveedores con acceso a nuestros sistemas o instalaciones. Aplica a equipos propiedad de la empresa y a equipos personales que se usen para trabajar.
Qué adaptar: la última frase. Si permites equipos personales, dilo aquí y desarróllalo en la sección 7.
2. Responsabilidades
- Dirección aprueba esta política, asigna el presupuesto y designa al responsable.
- Responsable de TI / proveedor administra los sistemas, aplica los controles técnicos y reporta trimestralmente.
- Cada persona protege la información a la que tiene acceso, usa los sistemas conforme a esta política y reporta de inmediato cualquier incidente o sospecha.
- Recursos Humanos notifica altas y bajas de personal con X días de anticipación.
Qué adaptar: el plazo de notificación de bajas. Es la línea que más incidentes previene y la que más se incumple.
3. Cuentas y contraseñas
- Cada persona tiene una cuenta propia. Las cuentas no se comparten, ni siquiera temporalmente.
- Las contraseñas son únicas por servicio y se administran con el gestor de contraseñas de la empresa, nombre.
- Está prohibido reutilizar la contraseña del trabajo en servicios personales, y viceversa.
- La verificación en dos pasos es obligatoria en: correo, VPN, ERP, banca en línea y consolas de administración.
- Las contraseñas no se escriben en papel, notas adhesivas, hojas de cálculo ni se envían por correo o mensajería.
Contraparte técnica obligatoria: un gestor de contraseñas desplegado y doble factor activado. Sin eso, esta sección es decorativa.
4. Uso aceptable de los equipos
Los equipos y cuentas de empresa son herramientas de trabajo. Se permite un uso personal razonable que no interfiera con las labores ni ponga en riesgo la seguridad.
No está permitido:
- Instalar software sin autorización de responsable de TI.
- Desactivar el antivirus, el cifrado o las actualizaciones automáticas.
- Conectar dispositivos de almacenamiento de origen desconocido.
- Usar el correo corporativo para registrarse en servicios personales.
- Compartir información de la empresa por canales no autorizados.
Qué adaptar: la lista de canales autorizados. Sé explícito: "Los archivos de trabajo se comparten por OneDrive / Google Drive / Nextcloud. No por WhatsApp personal ni por correo personal."
5. Correo electrónico y phishing
- Todo correo sospechoso se reporta a canal concreto: botón de reporte, dirección, extensión telefónica y no se responde ni se reenvía.
- Ninguna solicitud de transferencia, cambio de datos bancarios o envío de información sensible se atiende solo por correo. Se confirma por teléfono al número registrado en el expediente del proveedor.
- Reportar un correo que resultó legítimo nunca tiene consecuencia negativa.
- La empresa realiza simulacros periódicos de phishing con fines de capacitación. Los resultados son agregados y no se usan para sancionar.
La segunda viñeta es la que evita el fraude por suplantación de correo (BEC): según el informe 2025 del IC3 del FBI, fue la amenaza contra empresas con más pérdidas reportadas en Estados Unidos, unos 3,000 millones de dólares. Que sea explícita y esté comunicada a finanzas.
6. Información y clasificación
La información de empresa se clasifica en tres niveles:
Nivel Ejemplos Cómo se maneja Pública Catálogo, sitio web, material de marketing Sin restricción Interna Procedimientos, precios, reportes Solo personal; no se comparte fuera sin autorización Confidencial Datos personales de clientes y empleados, información financiera, contratos Acceso solo a quien lo necesita; no sale de los sistemas autorizados
Los datos personales se tratan conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y al aviso de privacidad de empresa.
Tres niveles bastan. Cinco no los usa nadie. Ojo con la referencia legal: la ley vigente es la nueva LFPDPPP, publicada en el DOF el 20 de marzo de 2025, y la autoridad ya no es el INAI sino la Secretaría Anticorrupción y Buen Gobierno (resumen de EY). El marco de datos personales está en cómo proteger los datos de tus clientes y cumplir la ley.
7. Trabajo remoto y equipos personales
- El acceso remoto a los sistemas de empresa se hace únicamente por VPN / plataforma autorizada.
- No se trabaja con información confidencial desde redes públicas sin VPN.
- Los equipos personales usados para trabajar deben tener: sistema operativo con soporte vigente y actualizado, antivirus activo, cifrado de disco y bloqueo de pantalla.
- La empresa puede revocar el acceso de un equipo personal que no cumpla.
Qué adaptar: si no permites equipos personales, sustituye toda la sección por una frase que lo prohíba. Ambigüedad aquí es peor que cualquiera de las dos posturas.
8. Respaldos y continuidad
- Responsable ejecuta respaldos de sistemas con frecuencia diaria/semanal.
- La restauración se prueba al menos trimestralmente y se documenta el resultado.
- Los archivos de trabajo se guardan en ubicación autorizada, no en el escritorio del equipo local.
La segunda viñeta es la única que importa de verdad. Un respaldo que nunca se probó es un documento, no una defensa — el criterio completo está en cómo respaldar para sobrevivir a un ransomware.
9. Incidentes
Un incidente es cualquier evento que comprometa o pueda comprometer la información o los sistemas: equipo perdido o robado, correo de phishing en el que alguien hizo clic, comportamiento extraño de un equipo, acceso no autorizado, pérdida de información.
Qué hacer:
- Reportar de inmediato a canal — antes de intentar arreglarlo.
- No apagar el equipo salvo que se indique.
- No borrar nada.
Reportar un incidente propio no tiene consecuencia disciplinaria. Ocultarlo, sí.
Esa última línea es la más importante de toda la política. El costo de un incidente se multiplica cuando se reporta tarde por miedo.
10. Altas, bajas y proveedores
- Los accesos se otorgan según el puesto, con el mínimo necesario.
- En cada baja se revocan todos los accesos el mismo día: correo, VPN, sistemas, accesos físicos y cuentas compartidas de terceros.
- Los proveedores con acceso a nuestros sistemas firman acuerdo de confidencialidad, tienen cuentas nominales (no compartidas) y su acceso se revisa semestralmente.
11. Incumplimiento
El incumplimiento de esta política puede derivar en medidas disciplinarias conforme al reglamento interior de trabajo y, en su caso, en las acciones legales que correspondan.
Redáctala con quien lleve recursos humanos. Una sanción que no está sostenida en el reglamento interior no se puede aplicar.
12. Aceptación
He leído y acepto la Política de Seguridad de la Información de empresa. Nombre: _______ Puesto: _______ Fecha: _______ Firma: _______
Cómo implantarla (la parte que decide si sirve)
- Escríbela con el responsable de TI y con recursos humanos. Diez páginas escritas solo por sistemas se leen como un reglamento técnico y no se cumplen.
- Preséntala en treinta minutos, con ejemplos reales. No la mandes por correo para que la firmen.
- Monta los controles técnicos primero. Gestor de contraseñas, doble factor, respaldos, permisos. La política describe una realidad que ya existe, no una aspiración.
- Fírmala. Y guarda las firmas.
- Revísala una vez al año, y cada vez que cambie algo estructural.
Y si la estás escribiendo en octubre, encaja exactamente con el plan de cuatro semanas del mes de la ciberseguridad. Para complementarla, el checklist de seguridad informática cubre la parte operativa.
Política y controles
Que la política describa lo que ya funciona
La adaptamos a tu operación, la dejamos legible y montamos los controles técnicos que la hacen cumplible. Documento y realidad, no solo documento.
