[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"blog-/blog/recurso/plantilla-politica-seguridad-informacion":3,"prev-/blog/recurso/plantilla-politica-seguridad-informacion":740,"next-/blog/recurso/plantilla-politica-seguridad-informacion":718,"related-/blog/recurso/plantilla-politica-seguridad-informacion":743,"author-Diego Herrera":766},{"id":4,"title":5,"author":6,"authorUrl":7,"body":8,"category":694,"cta":695,"date":701,"dateModified":701,"description":702,"draft":703,"extension":704,"faq":705,"featured":703,"howto":718,"image":719,"imageAlt":720,"intent":721,"keywords":722,"meta":727,"navigation":728,"path":729,"publishedTime":718,"readingTime":730,"seo":731,"seoTitle":732,"stem":733,"tags":734,"__hash__":739},"blog/blog/recurso/plantilla-politica-seguridad-informacion.md","Plantilla de política de seguridad de la información para PyMEs","Diego Herrera","/autores/diego-herrera",{"type":9,"value":10,"toc":675},"minimark",[11,20,23,34,37,42,70,73,75,79,92,98,100,104,146,151,153,157,198,215,217,221,254,267,269,273,309,319,321,325,395,406,423,426,428,432,460,465,467,471,507,514,516,520,555,558,560,564,587,589,593,598,601,603,607,615,617,621,653,666],[12,13,14,15,19],"p",{},"Esta es la plantilla para escribir la política de seguridad de la información de una empresa de menos de 200 personas. Está pensada para ",[16,17,18],"strong",{},"caber en seis páginas y leerse en quince minutos",", porque una política que no se lee no se cumple.",[12,21,22],{},"Copia la estructura, adapta lo que está entre corchetes y borra lo que no aplique. El texto base está redactado para que se entienda sin ser técnico.",[24,25,28],"callout",{"icon":26,"title":27},"i-lucide-lightbulb","La regla que decide si funciona",[12,29,30,33],{},[16,31,32],{},"Por cada prohibición, debe existir la herramienta que la vuelve innecesaria."," Si prohíbes compartir archivos por WhatsApp pero no das una alternativa cómoda, la política se incumple todos los días y pierde autoridad para todo lo demás. Si exiges contraseñas únicas y hay un gestor desplegado, se cumple sola. Escribe cada sección pensando en esa contraparte técnica.",[35,36],"hr",{},[38,39,41],"h2",{"id":40},"encabezado","Encabezado",[43,44,45],"blockquote",{},[12,46,47,50,54,55,58,59,62,63,66,67],{},[16,48,49],{},"Política de Seguridad de la Información",[51,52,53],"span",{},"Nombre de la empresa","\nVersión ",[51,56,57],{},"1.0"," — Vigente desde ",[51,60,61],{},"fecha"," — Próxima revisión: ",[51,64,65],{},"fecha + 1 año","\nResponsable: ",[51,68,69],{},"puesto, no nombre de persona",[12,71,72],{},"Que el responsable sea un puesto y no una persona evita que la política quede huérfana cuando alguien cambia de trabajo.",[35,74],{},[38,76,78],{"id":77},"_1-propósito-y-alcance","1. Propósito y alcance",[43,80,81],{},[12,82,83,84,87,88,91],{},"Esta política establece las reglas de uso y protección de la información y los sistemas de ",[51,85,86],{},"empresa",". Aplica a ",[16,89,90],{},"todo el personal",", incluyendo empleados, becarios, contratistas y proveedores con acceso a nuestros sistemas o instalaciones. Aplica a equipos propiedad de la empresa y a equipos personales que se usen para trabajar.",[12,93,94,97],{},[16,95,96],{},"Qué adaptar:"," la última frase. Si permites equipos personales, dilo aquí y desarróllalo en la sección 7.",[35,99],{},[38,101,103],{"id":102},"_2-responsabilidades","2. Responsabilidades",[43,105,106],{},[107,108,109,116,124,134],"ul",{},[110,111,112,115],"li",{},[16,113,114],{},"Dirección"," aprueba esta política, asigna el presupuesto y designa al responsable.",[110,117,118,123],{},[16,119,120],{},[51,121,122],{},"Responsable de TI / proveedor"," administra los sistemas, aplica los controles técnicos y reporta trimestralmente.",[110,125,126,129,130,133],{},[16,127,128],{},"Cada persona"," protege la información a la que tiene acceso, usa los sistemas conforme a esta política y ",[16,131,132],{},"reporta de inmediato cualquier incidente o sospecha",".",[110,135,136,141,142,145],{},[16,137,138],{},[51,139,140],{},"Recursos Humanos"," notifica altas y bajas de personal con ",[51,143,144],{},"X"," días de anticipación.",[12,147,148,150],{},[16,149,96],{}," el plazo de notificación de bajas. Es la línea que más incidentes previene y la que más se incumple.",[35,152],{},[38,154,156],{"id":155},"_3-cuentas-y-contraseñas","3. Cuentas y contraseñas",[43,158,159],{},[107,160,161,168,178,184,195],{},[110,162,163,164,167],{},"Cada persona tiene una cuenta propia. ",[16,165,166],{},"Las cuentas no se comparten",", ni siquiera temporalmente.",[110,169,170,171,174,175,133],{},"Las contraseñas son ",[16,172,173],{},"únicas por servicio"," y se administran con el gestor de contraseñas de la empresa, ",[51,176,177],{},"nombre",[110,179,180,183],{},[16,181,182],{},"Está prohibido reutilizar"," la contraseña del trabajo en servicios personales, y viceversa.",[110,185,186,187,190,191,194],{},"La ",[16,188,189],{},"verificación en dos pasos es obligatoria"," en: correo, VPN, ",[51,192,193],{},"ERP",", banca en línea y consolas de administración.",[110,196,197],{},"Las contraseñas no se escriben en papel, notas adhesivas, hojas de cálculo ni se envían por correo o mensajería.",[12,199,200,203,204,209,210,214],{},[16,201,202],{},"Contraparte técnica obligatoria:"," ",[205,206,208],"a",{"href":207},"/blog/tutorial/implementar-gestor-contrasenas-empresa","un gestor de contraseñas desplegado"," y ",[205,211,213],{"href":212},"/blog/tutorial/activar-2fa-cuentas","doble factor activado",". Sin eso, esta sección es decorativa.",[35,216],{},[38,218,220],{"id":219},"_4-uso-aceptable-de-los-equipos","4. Uso aceptable de los equipos",[43,222,223,229,234],{},[12,224,225,226,228],{},"Los equipos y cuentas de ",[51,227,86],{}," son herramientas de trabajo. Se permite un uso personal razonable que no interfiera con las labores ni ponga en riesgo la seguridad.",[12,230,231],{},[16,232,233],{},"No está permitido:",[107,235,236,242,245,248,251],{},[110,237,238,239,133],{},"Instalar software sin autorización de ",[51,240,241],{},"responsable de TI",[110,243,244],{},"Desactivar el antivirus, el cifrado o las actualizaciones automáticas.",[110,246,247],{},"Conectar dispositivos de almacenamiento de origen desconocido.",[110,249,250],{},"Usar el correo corporativo para registrarse en servicios personales.",[110,252,253],{},"Compartir información de la empresa por canales no autorizados.",[12,255,256,258,259],{},[16,257,96],{}," la lista de canales autorizados. Sé explícito: ",[260,261,262,263,266],"em",{},"\"Los archivos de trabajo se comparten por ",[51,264,265],{},"OneDrive / Google Drive / Nextcloud",". No por WhatsApp personal ni por correo personal.\"",[35,268],{},[38,270,272],{"id":271},"_5-correo-electrónico-y-phishing","5. Correo electrónico y phishing",[43,274,275],{},[107,276,277,287,296,302],{},[110,278,279,282,283,286],{},[16,280,281],{},"Todo correo sospechoso se reporta"," a ",[51,284,285],{},"canal concreto: botón de reporte, dirección, extensión telefónica"," y no se responde ni se reenvía.",[110,288,289,292,293,133],{},[16,290,291],{},"Ninguna solicitud de transferencia, cambio de datos bancarios o envío de información sensible se atiende solo por correo."," Se confirma por ",[51,294,295],{},"teléfono al número registrado en el expediente del proveedor",[110,297,298,299,133],{},"Reportar un correo que resultó legítimo ",[16,300,301],{},"nunca tiene consecuencia negativa",[110,303,304,305,308],{},"La empresa realiza ",[16,306,307],{},"simulacros periódicos de phishing"," con fines de capacitación. Los resultados son agregados y no se usan para sancionar.",[12,310,311,312,318],{},"La segunda viñeta es la que evita el fraude por suplantación de correo (BEC): según el ",[205,313,317],{"href":314,"rel":315},"https://www.mcdonaldhopkins.com/insights/news/the-sobering-truth-of-the-fbis-2025-internet-crime-complaint-center-report",[316],"nofollow","informe 2025 del IC3 del FBI",", fue la amenaza contra empresas con más pérdidas reportadas en Estados Unidos, unos 3,000 millones de dólares. Que sea explícita y esté comunicada a finanzas.",[35,320],{},[38,322,324],{"id":323},"_6-información-y-clasificación","6. Información y clasificación",[43,326,327,333],{},[12,328,329,330,332],{},"La información de ",[51,331,86],{}," se clasifica en tres niveles:",[334,335,336,352],"table",{},[337,338,339],"thead",{},[340,341,342,346,349],"tr",{},[343,344,345],"th",{},"Nivel",[343,347,348],{},"Ejemplos",[343,350,351],{},"Cómo se maneja",[353,354,355,369,382],"tbody",{},[340,356,357,363,366],{},[358,359,360],"td",{},[16,361,362],{},"Pública",[358,364,365],{},"Catálogo, sitio web, material de marketing",[358,367,368],{},"Sin restricción",[340,370,371,376,379],{},[358,372,373],{},[16,374,375],{},"Interna",[358,377,378],{},"Procedimientos, precios, reportes",[358,380,381],{},"Solo personal; no se comparte fuera sin autorización",[340,383,384,389,392],{},[358,385,386],{},[16,387,388],{},"Confidencial",[358,390,391],{},"Datos personales de clientes y empleados, información financiera, contratos",[358,393,394],{},"Acceso solo a quien lo necesita; no sale de los sistemas autorizados",[43,396,397],{},[12,398,399,400,403,404,133],{},"Los ",[16,401,402],{},"datos personales"," se tratan conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y al aviso de privacidad de ",[51,405,86],{},[12,407,408,409,412,413,418,419,133],{},"Tres niveles bastan. Cinco no los usa nadie. Ojo con la referencia legal: la ley vigente es la ",[16,410,411],{},"nueva"," LFPDPPP, publicada en el DOF el 20 de marzo de 2025, y la autoridad ya no es el INAI sino la Secretaría Anticorrupción y Buen Gobierno (",[205,414,417],{"href":415,"rel":416},"https://www.ey.com/es_mx/technical/tax/boletines-fiscales/nueva-ley-federal-proteccion-datos-personal-posesion-particulares",[316],"resumen de EY","). El marco de datos personales está en ",[205,420,422],{"href":421},"/blog/guia-empresarial/proteger-datos-clientes-lfpdppp","cómo proteger los datos de tus clientes y cumplir la ley",[424,425],"ad-banner",{},[35,427],{},[38,429,431],{"id":430},"_7-trabajo-remoto-y-equipos-personales","7. Trabajo remoto y equipos personales",[43,433,434],{},[107,435,436,448,451,454],{},[110,437,438,439,441,442,133],{},"El acceso remoto a los sistemas de ",[51,440,86],{}," se hace ",[16,443,444,445],{},"únicamente por ",[51,446,447],{},"VPN / plataforma autorizada",[110,449,450],{},"No se trabaja con información confidencial desde redes públicas sin VPN.",[110,452,453],{},"Los equipos personales usados para trabajar deben tener: sistema operativo con soporte vigente y actualizado, antivirus activo, cifrado de disco y bloqueo de pantalla.",[110,455,456,459],{},[16,457,458],{},"La empresa puede revocar el acceso"," de un equipo personal que no cumpla.",[12,461,462,464],{},[16,463,96],{}," si no permites equipos personales, sustituye toda la sección por una frase que lo prohíba. Ambigüedad aquí es peor que cualquiera de las dos posturas.",[35,466],{},[38,468,470],{"id":469},"_8-respaldos-y-continuidad","8. Respaldos y continuidad",[43,472,473],{},[107,474,475,488,497],{},[110,476,477,480,481,484,485,133],{},[51,478,479],{},"Responsable"," ejecuta respaldos de ",[51,482,483],{},"sistemas"," con frecuencia ",[51,486,487],{},"diaria/semanal",[110,489,490,496],{},[16,491,492,493],{},"La restauración se prueba al menos ",[51,494,495],{},"trimestralmente"," y se documenta el resultado.",[110,498,499,500,503,504,133],{},"Los archivos de trabajo se guardan en ",[51,501,502],{},"ubicación autorizada",", ",[16,505,506],{},"no en el escritorio del equipo local",[12,508,509,510,133],{},"La segunda viñeta es la única que importa de verdad. Un respaldo que nunca se probó es un documento, no una defensa — el criterio completo está en ",[205,511,513],{"href":512},"/blog/tutorial/respaldo-sobrevivir-ransomware","cómo respaldar para sobrevivir a un ransomware",[35,515],{},[38,517,519],{"id":518},"_9-incidentes","9. Incidentes",[43,521,522,525,530,549],{},[12,523,524],{},"Un incidente es cualquier evento que comprometa o pueda comprometer la información o los sistemas: equipo perdido o robado, correo de phishing en el que alguien hizo clic, comportamiento extraño de un equipo, acceso no autorizado, pérdida de información.",[12,526,527],{},[16,528,529],{},"Qué hacer:",[531,532,533,543,546],"ol",{},[110,534,535,536,539,540,133],{},"Reportar de inmediato a ",[51,537,538],{},"canal"," — ",[16,541,542],{},"antes de intentar arreglarlo",[110,544,545],{},"No apagar el equipo salvo que se indique.",[110,547,548],{},"No borrar nada.",[12,550,551,554],{},[16,552,553],{},"Reportar un incidente propio no tiene consecuencia disciplinaria."," Ocultarlo, sí.",[12,556,557],{},"Esa última línea es la más importante de toda la política. El costo de un incidente se multiplica cuando se reporta tarde por miedo.",[35,559],{},[38,561,563],{"id":562},"_10-altas-bajas-y-proveedores","10. Altas, bajas y proveedores",[43,565,566],{},[107,567,568,574,581],{},[110,569,570,571,133],{},"Los accesos se otorgan según el puesto, ",[16,572,573],{},"con el mínimo necesario",[110,575,576,577,580],{},"En cada baja se revocan ",[16,578,579],{},"todos"," los accesos el mismo día: correo, VPN, sistemas, accesos físicos y cuentas compartidas de terceros.",[110,582,583,584,133],{},"Los proveedores con acceso a nuestros sistemas firman acuerdo de confidencialidad, tienen cuentas nominales (no compartidas) y su acceso se revisa ",[51,585,586],{},"semestralmente",[35,588],{},[38,590,592],{"id":591},"_11-incumplimiento","11. Incumplimiento",[43,594,595],{},[12,596,597],{},"El incumplimiento de esta política puede derivar en medidas disciplinarias conforme al reglamento interior de trabajo y, en su caso, en las acciones legales que correspondan.",[12,599,600],{},"Redáctala con quien lleve recursos humanos. Una sanción que no está sostenida en el reglamento interior no se puede aplicar.",[35,602],{},[38,604,606],{"id":605},"_12-aceptación","12. Aceptación",[43,608,609],{},[12,610,611,612,614],{},"He leído y acepto la Política de Seguridad de la Información de ",[51,613,86],{},".\nNombre: _______ Puesto: _______ Fecha: _______ Firma: _______",[35,616],{},[38,618,620],{"id":619},"cómo-implantarla-la-parte-que-decide-si-sirve","Cómo implantarla (la parte que decide si sirve)",[531,622,623,629,635,641,647],{},[110,624,625,628],{},[16,626,627],{},"Escríbela con el responsable de TI y con recursos humanos."," Diez páginas escritas solo por sistemas se leen como un reglamento técnico y no se cumplen.",[110,630,631,634],{},[16,632,633],{},"Preséntala en treinta minutos, con ejemplos reales."," No la mandes por correo para que la firmen.",[110,636,637,640],{},[16,638,639],{},"Monta los controles técnicos primero."," Gestor de contraseñas, doble factor, respaldos, permisos. La política describe una realidad que ya existe, no una aspiración.",[110,642,643,646],{},[16,644,645],{},"Fírmala."," Y guarda las firmas.",[110,648,649,652],{},[16,650,651],{},"Revísala una vez al año",", y cada vez que cambie algo estructural.",[12,654,655,656,660,661,665],{},"Y si la estás escribiendo en octubre, encaja exactamente con ",[205,657,659],{"href":658},"/blog/guia-empresarial/mes-ciberseguridad-plan-4-semanas","el plan de cuatro semanas del mes de la ciberseguridad",". Para complementarla, el ",[205,662,664],{"href":663},"/blog/recurso/checklist-seguridad-informatica-empresas","checklist de seguridad informática"," cubre la parte operativa.",[667,668],"call-to-action",{"description":669,"eyebrow":670,"icon":671,"label":672,"title":673,"to":674},"La adaptamos a tu operación, la dejamos legible y montamos los controles técnicos que la hacen cumplible. Documento y realidad, no solo documento.","Política y controles","i-lucide-file-check-2","Solicitar apoyo","Que la política describa lo que ya funciona","/contacto",{"title":676,"searchDepth":677,"depth":678,"links":679},"",2,3,[680,681,682,683,684,685,686,687,688,689,690,691,692,693],{"id":40,"depth":677,"text":41},{"id":77,"depth":677,"text":78},{"id":102,"depth":677,"text":103},{"id":155,"depth":677,"text":156},{"id":219,"depth":677,"text":220},{"id":271,"depth":677,"text":272},{"id":323,"depth":677,"text":324},{"id":430,"depth":677,"text":431},{"id":469,"depth":677,"text":470},{"id":518,"depth":677,"text":519},{"id":562,"depth":677,"text":563},{"id":591,"depth":677,"text":592},{"id":605,"depth":677,"text":606},{"id":619,"depth":677,"text":620},"recurso",{"title":696,"description":697,"label":698,"to":699,"icon":700},"¿Quieres la política adaptada a tu empresa?","La ajustamos a tu operación, la dejamos en lenguaje entendible y montamos los controles técnicos que la hacen cumplible.","Ver ciberseguridad gestionada","/servicios/ciberseguridad","i-lucide-file-lock-2","2026-10-10","Plantilla de política de seguridad de la información para PyMEs mexicanas: doce secciones con texto base, qué adaptar y cómo hacerla cumplir sin burocracia.",false,"md",[706,709,712,715],{"question":707,"answer":708},"¿Qué tan larga debe ser la política?","De cuatro a ocho páginas para una empresa de menos de 200 personas. Una política de cuarenta páginas copiada de una norma internacional no la lee nadie y, por lo tanto, no se cumple. El criterio práctico: si no se puede leer completa en quince minutos, se va a firmar sin leer y quedará como papel para auditoría, no como regla operativa.",{"question":710,"answer":711},"¿Tiene valor legal?","Sí, y en dos direcciones. Hacia adentro, si está comunicada, firmada y es razonable, sostiene medidas disciplinarias y define responsabilidades. Hacia afuera, es evidencia de diligencia: la piden los clientes en cuestionarios de proveedor, las aseguradoras en pólizas de ciberriesgo y ayuda a demostrar que se tomaron medidas si hay un incidente con datos personales. Para lo laboral conviene que la revise quien lleva recursos humanos antes de publicarla.",{"question":713,"answer":714},"¿Cómo la hago cumplir sin volverme policía?","Haciendo que el cumplimiento sea el camino fácil. Si la política prohíbe compartir archivos por WhatsApp pero no existe una alternativa cómoda, se va a incumplir todos los días. Si exige contraseñas únicas y hay un gestor desplegado, se cumple sola. La regla: por cada prohibición de la política, debe existir la herramienta que la hace innecesaria.",{"question":716,"answer":717},"¿Cada cuánto se actualiza?","Revisión anual como mínimo, y actualización cada vez que cambie algo estructural: una herramienta nueva, un cambio de proveedor de TI, un incidente o un requisito de cliente. Cada versión lleva fecha y número, y el cambio se comunica. Una política sin fecha de revisión visible es la primera señal de que nadie la ha mirado en años.",null,"/images/blog/recurso/plantilla-politica-seguridad-informacion.jpg","Documento de política de seguridad de la información sobre el escritorio de una oficina","informational",[723,724,725,726],"política de seguridad de la información","plantilla política seguridad pyme","política ti empresa méxico","reglamento uso de equipos empresa",{},true,"/blog/recurso/plantilla-politica-seguridad-informacion",12,{"title":5,"description":702},"Plantilla de política de seguridad (PyME)","blog/recurso/plantilla-politica-seguridad-informacion",[735,736,737,738],"ciberseguridad","plantillas","politicas","cumplimiento","bSKiXUEkBgKtoNc9fpUYiUvgy3QeoG39huqMb-LSA_s",{"path":741,"title":742},"/blog/recurso/plantilla-presupuesto-ti-2027","Plantilla de presupuesto de TI 2027 para PyMEs (lista para llenar)",[744,750,758],{"path":741,"title":742,"description":745,"date":746,"category":694,"image":747,"imageAlt":748,"readingTime":749},"Plantilla completa de presupuesto de tecnología 2027 para PyMEs mexicanas: las nueve partidas con sus renglones, cómo estimar cada uno y los tres escenarios para dirección.","2026-09-26","/images/blog/recurso/plantilla-presupuesto-ti-2027.jpg","Plantilla de presupuesto de tecnología desplegada en una hoja de cálculo sobre un escritorio de oficina",9,{"path":751,"title":752,"description":753,"date":754,"category":694,"image":755,"imageAlt":756,"readingTime":757},"/blog/recurso/glosario-modelos-ia-2026","Glosario de modelos de IA 2026: token, contexto, esfuerzo y todo lo que ves en la factura","Diccionario claro de los términos que aparecen al contratar IA: token, ventana de contexto, nivel de esfuerzo, caché de prompts, alucinación y más.","2026-08-08","/images/blog/recurso/glosario-modelos-ia-2026.jpg","Términos técnicos de inteligencia artificial flotando como tarjetas holográficas ordenadas sobre un escritorio de oficina nocturno",8,{"path":759,"title":760,"description":761,"date":762,"category":694,"image":763,"imageAlt":764,"readingTime":765},"/blog/recurso/recursos-ia-generativa-no-tecnicos","Recursos para entender la IA generativa, explicada para no técnicos","Guía de recursos para entender la IA generativa para no técnicos: conceptos básicos, cursos gratis en español, canales recomendados y un mini-glosario.","2026-07-15","/images/blog/recurso/recursos-ia-generativa-no-tecnicos.jpg","Persona sin perfil técnico aprendiendo IA generativa con recursos claros y amigables",7,{"id":767,"avatar":718,"bio":768,"entityType":769,"expertise":770,"extension":771,"meta":772,"name":6,"role":773,"slug":774,"social":718,"stem":775,"url":7,"__hash__":776},"authors/authors/diego-herrera.yml","Ingeniero en ciberseguridad e infraestructura IT. Protege la operación de empresas mexicanas contra amenazas y caídas de servicio.","Person","Diego lidera los proyectos de ciberseguridad e infraestructura de Syswork México. Ha ejecutado auditorías de seguridad, hardening de servidores, despliegues de redes y planes de continuidad para empresas en sectores críticos. Escribe sobre seguridad, servidores, cloud y redes con un enfoque defensivo y orientado a riesgos reales del negocio.","yml",{},"Especialista en Ciberseguridad e Infraestructura","diego-herrera","authors/diego-herrera","vrWQ35_ItOQjxvsvvG7wu5-wWk5ytSOlz-Ij9viIvzM"]