Casi todas las pymes que tienen política de seguridad la tienen porque se la pidió un cliente o una certificación. Son treinta o cuarenta páginas descargadas de una plantilla, firmadas por dirección y guardadas en una carpeta.
Nadie las ha leído. Y lo que nadie lee no cambia lo que nadie hace.
Una página, ocho reglas
Esto es lo que de verdad hace falta que sepa una persona que trabaja en tu empresa. Si escribes más, se lee menos.
- Las contraseñas del trabajo van en el gestor, no en un papel ni en un archivo. Y no se reutiliza ninguna fuera del trabajo.
- Segundo factor activado en correo, banca y administración. Sin excepciones para dirección, que es donde más se pide la excepción.
- Ningún pago ni cambio de cuenta bancaria se ejecuta solo por correo. Se confirma por teléfono a un número que ya teníamos. Esta es la regla que más dinero evita perder, y está detrás de el fraude que sí le llega a una pyme.
- Los equipos de empresa se bloquean al levantarse y están cifrados.
- Los datos de trabajo viven en los sistemas de la empresa, no en cuentas personales ni en memorias sueltas.
- Software solo desde fuentes aprobadas. Si hace falta una herramienta nueva, se pide.
- Si sospechas que has metido la pata, avisas. Hoy, sin miedo. Y la empresa se compromete por escrito a que no habrá castigo por avisar.
- A quién se avisa: un nombre y un teléfono, escritos ahí mismo.
La regla 7 es la más importante
Y la que casi ninguna política incluye.
La diferencia entre un incidente contenido y un desastre suele ser cuánto tardó alguien en decir «creo que he hecho clic en algo raro». Si la cultura de la empresa castiga el error, esa persona no dice nada, espera a ver si pasa algo, y cuando se detecta el problema lleva tres semanas dentro.
Hay que decirlo explícitamente y, sobre todo, cumplirlo la primera vez que ocurra. Esa primera vez define si la regla es real o decorativa.
Cómo hacer que se lea
- Se explica cuando se entregan los accesos, no en un curso a los seis meses. Cinco minutos en el primer día valen más que una formación anual.
- Está donde se busca, no en una carpeta de dirección. En el portal, en la intranet, en el sitio al que la gente va.
- Se repasa una vez al año en diez minutos, contando qué ha pasado en el sector desde la última vez. Los casos concretos se recuerdan; las normas abstractas, no.
El resto del documento largo
Si un cliente o una certificación te exige el documento extenso, hazlo. Pero mantenlo separado: el documento largo es para auditores, la página es para la plantilla. No intentes que un texto sirva para los dos, porque acabará sirviendo para ninguno.
Y que la página no se contradiga con el largo. Si el documento formal dice que las contraseñas se cambian cada noventa días y en la práctica nadie las cambia, lo que tienes no es una política: es una ficción escrita que además debilita todas las demás reglas.
La comprobación
Pregúntale a tres personas al azar qué hacen si reciben un correo del gerente pidiendo una transferencia urgente. Si las tres dicen lo mismo, tienes una política. Si cada una dice una cosa, tienes un documento.