← Volver al blog Gobierno de TI

Cómo definir políticas de tecnología para tu empresa

En la mayoría de las empresas mexicanas, las "reglas" sobre el uso de tecnología son informales, dispersas o simplemente no existen. El equipo de TI tiene criterios en la cabeza que nunca se documentaron; cada gerente decide por su cuenta qué herramientas usar; y cuando ocurre un incidente, nadie sabe cuál es el protocolo. Las políticas de tecnología formalizan estas reglas para proteger a la organización y dar claridad a todos los involucrados.

¿Qué son las políticas de tecnología?

Las políticas de tecnología son lineamientos formales y documentados que establecen cómo se utiliza, gestiona y protege la tecnología dentro de una organización. Definen las expectativas de comportamiento, los estándares de operación y los controles necesarios para que la tecnología funcione como un habilitador del negocio y no como una fuente de problemas.

Una política no es un manual técnico ni un procedimiento operativo. Es un documento de alto nivel que establece el "qué" y el "por qué", dejando los detalles de implementación a los procedimientos y guías técnicas que la complementan. Por ejemplo, una política de contraseñas establece que todos los accesos deben protegerse con credenciales robustas; el procedimiento detalla los requisitos específicos de longitud, complejidad y frecuencia de cambio.

¿Por qué son necesarias?

Sin políticas claras y comunicadas, las organizaciones enfrentan escenarios previsibles y costosos:

• Shadow IT descontrolado: Cada área contrata sus propias herramientas sin coordinación. Marketing usa una plataforma de email, ventas otra, y ambas almacenan datos de clientes sin controles de seguridad. El resultado: silos de información, duplicidad de costos y puntos ciegos de seguridad.
• Fugas de información: Sin lineamientos sobre manejo de datos, los empleados comparten archivos confidenciales por WhatsApp, almacenan información en cuentas personales de Google Drive o envían bases de datos completas por correo electrónico.
• Prácticas inconsistentes: Un departamento tiene respaldos diarios; otro no tiene ninguno. Un equipo usa autenticación de dos factores; otro tiene la misma contraseña compartida desde hace tres años.
• Exposición legal: Cuando ocurre un incidente de seguridad o una violación de datos, la ausencia de políticas documentadas dificulta demostrar diligencia ante reguladores, clientes o socios comerciales.

Políticas esenciales que toda empresa necesita

No todas las organizaciones necesitan el mismo conjunto de políticas, pero existen algunas que son fundamentales independientemente del tamaño o sector de la empresa:

Política de uso aceptable

Define qué pueden y qué no pueden hacer los empleados con los recursos tecnológicos de la empresa: equipos de cómputo, internet, correo electrónico, almacenamiento en la nube. Establece expectativas claras sobre el uso personal permitido, las actividades prohibidas y las consecuencias del incumplimiento.

Política de seguridad de la información

El documento rector que establece el compromiso de la organización con la protección de su información. Define la clasificación de datos (público, interno, confidencial, restringido), los principios de seguridad que se siguen y las responsabilidades generales de cada rol en la protección de los activos de información.

Política de contraseñas y gestión de accesos

Establece los requisitos para la creación y manejo de credenciales, el uso de autenticación multifactor, el principio de mínimo privilegio y los procedimientos para otorgar, modificar y revocar accesos cuando un empleado cambia de rol o sale de la empresa.

Política de dispositivos personales (BYOD)

Si los empleados usan sus teléfonos personales para acceder al correo corporativo o a sistemas de la empresa, necesitas una política que defina los requisitos de seguridad para esos dispositivos, qué información puede almacenarse en ellos y qué sucede con los datos corporativos cuando el empleado deja la organización.

Política de respaldos y recuperación

Define qué información se respalda, con qué frecuencia, dónde se almacenan los respaldos, quién es responsable de verificar su integridad y cuál es el procedimiento de restauración. Esta política es la diferencia entre perder un día de trabajo y perder años de información.

Política de adquisición de software y servicios

Establece el proceso que debe seguirse para evaluar, aprobar y adquirir nuevas herramientas tecnológicas. Incluye criterios de evaluación, requisitos de seguridad para proveedores, proceso de aprobación presupuestal y responsables de cada etapa. Es el antídoto contra el shadow IT.

Política de adopción de herramientas de IA

Con la proliferación de herramientas de inteligencia artificial, es crítico definir qué herramientas están aprobadas, qué tipo de datos pueden procesarse con ellas, quién supervisa su uso y cómo se validan los resultados. Sin esta política, los empleados pueden estar alimentando modelos de IA externos con información confidencial de la empresa.

Política de respuesta a incidentes

Establece el protocolo que se sigue cuando ocurre un incidente de seguridad: quién debe ser notificado, cómo se clasifica la severidad, qué acciones inmediatas se toman, cómo se comunica a las partes afectadas y cómo se documenta el incidente para prevenir recurrencias.

Cómo crear tus políticas

Crear políticas efectivas requiere un proceso estructurado que involucre a las áreas correctas y produzca documentos que realmente se implementen:

1. Inventaría tu estado actual: Antes de escribir cualquier política, entiende qué herramientas se usan hoy, cómo se usan, quién las administra y qué reglas informales existen. Entrevista a los líderes de cada área y al equipo de TI.
2. Identifica brechas y riesgos: Compara tu estado actual contra las buenas prácticas y las regulaciones aplicables. ¿Dónde están las mayores exposiciones? ¿Qué incidentes han ocurrido que pudieron prevenirse con políticas claras?
3. Redacta con participación de las áreas: Las políticas no deben ser escritas exclusivamente por TI. Involucra a recursos humanos, al área legal, a finanzas y a los usuarios finales. Una política que se escribe en un silo se ignora en la práctica.
4. Revisa con el área legal: Asegúrate de que las políticas sean consistentes con la legislación laboral, la LFPDPPP, los contratos con clientes y cualquier regulación sectorial aplicable.
5. Comunica y capacita: Una política que nadie conoce no sirve de nada. Presenta las políticas a toda la organización, explica el por qué detrás de cada lineamiento y ofrece capacitación práctica sobre cómo cumplirlas.
6. Implementa, monitorea y revisa: Establece mecanismos para verificar el cumplimiento, identifica desviaciones y actualiza las políticas al menos una vez al año o cuando cambien las condiciones del negocio o la tecnología.

Errores comunes

Hemos visto estos errores repetirse en organizaciones de todos los tamaños. Evitarlos te ahorrará tiempo y frustración:

• Políticas demasiado largas y complejas: Un documento de 50 páginas lleno de jerga técnica garantiza que nadie lo lea. Las mejores políticas son concisas, claras y escritas en lenguaje que cualquier empleado pueda entender.
• Sin mecanismos de cumplimiento: Una política sin consecuencias por incumplimiento es una sugerencia. Define claramente qué sucede cuando alguien no cumple, desde amonestaciones hasta sanciones según la gravedad.
• Desactualización: Políticas escritas hace cinco años que mencionan tecnologías obsoletas y no contemplan la nube, el trabajo remoto ni la inteligencia artificial pierden credibilidad y relevancia.
• Creadas solo por TI: Si el negocio no participa en la creación de las políticas, las verá como imposiciones del área de sistemas y las resistirá o ignorará.
• Un mismo tamaño para todos: Las políticas deben adaptarse a los diferentes roles y niveles de acceso. Lo que aplica para el equipo de desarrollo no necesariamente aplica para el equipo de ventas.

Ejemplo de estructura de una política

Cada política de tecnología debe seguir una estructura consistente que facilite su lectura, implementación y auditoría. Esta es una plantilla recomendada:

1. Propósito: ¿Por qué existe esta política? ¿Qué problema resuelve o qué riesgo mitiga?
2. Alcance: ¿A quién aplica? ¿A qué sistemas, datos o procesos se refiere?
3. Definiciones: Términos clave que podrían ser ambiguos o desconocidos para el lector.
4. Declaraciones de política: Las reglas específicas, escritas de forma clara y directa. Usa "debe", "no debe", "puede" de manera consistente.
5. Roles y responsabilidades: Quién es responsable de cumplir, supervisar y hacer cumplir cada aspecto de la política.
6. Excepciones: El proceso para solicitar una excepción legítima, quién la aprueba y cómo se documenta.
7. Cumplimiento y consecuencias: Cómo se verificará el cumplimiento y qué sucede en caso de violación.
8. Ciclo de revisión: Cada cuánto se revisa la política, quién es responsable de la revisión y cómo se comunican los cambios.

El papel de las políticas en el gobierno de TI

Las políticas de tecnología no son documentos aislados; son la columna vertebral operativa del gobierno de TI. Si el gobierno de TI define la dirección estratégica y los mecanismos de supervisión, las políticas traducen esa dirección en reglas concretas que guían el comportamiento diario de toda la organización.

Sin políticas, el gobierno de TI es un concepto abstracto sin impacto real. Sin gobierno de TI, las políticas carecen de dirección estratégica y se convierten en reglas arbitrarias. Ambos se necesitan mutuamente.

Las organizaciones con gobierno de TI maduro tienen políticas que se alinean con sus objetivos de negocio, se revisan periódicamente, se comunican efectivamente y se cumplen de forma consistente. Este nivel de disciplina no se logra de la noche a la mañana, pero cada política bien implementada es un paso en la dirección correcta.

El mejor momento para crear tus políticas de tecnología fue hace cinco años. El segundo mejor momento es hoy. Empieza con las dos o tres políticas más urgentes para tu realidad, impleméntalas bien, y construye desde ahí.