La política de seguretat de la informació és el document en què una organització recull com protegeix les dades que gestiona: qui pot accedir a què, com es guarden, com es xifren i què es fa quan alguna cosa falla. No és un tràmit burocràtic ni un annex que se signa i s'arxiva: és la traducció pràctica d'una obligació legal del RGPD. Aquesta guia explica què és, com es connecta amb la normativa de protecció de dades, què ha de cobrir i com s'estructura de veritat en una empresa.
En 15 segons
- És el document que recull les mesures de seguretat d'una organització sobre les dades que tracta.
- Materialitza l'art. 32 RGPD (seguretat del tractament) i el principi d'integritat i confidencialitat de l'art. 5.1.f.
- Combina sempre mesures tècniques (xifrat, còpies, accessos) i organitzatives (contrasenyes, formació, protocols).
- No es regeix per auditories de data fixa, sinó per avaluació contínua basada en el risc.
Què és una política de seguretat de la informació?
Una política de seguretat de la informació és el document intern on una organització defineix com protegeix les dades i els sistemes que utilitza per tractar-les. Estableix les regles d'accés, les mesures tècniques aplicades, les responsabilitats del personal i els procediments davant d'incidents. Dit de manera simple: és el manual de com l'empresa custodia la informació que li confien els seus clients, empleats i proveïdors.
Convé distingir-la d'altres documents amb què de vegades es confon. La política de privacitat és un text públic, adreçat als interessats, que informa de quines dades es tracten i amb quins fins (deure d'informació de l'art. 13 RGPD). La política de seguretat de la informació és el contrari: és interna, no es publica, i descriu les mesures concretes que fan possible que aquestes dades estiguin protegides. Una mira cap enfora; l'altra, cap endins.
La seva funció real no és tenir un PDF per ensenyar si algú el demana. És fixar per escrit, de manera coherent, com es comporta l'organització amb la informació: què està permès, què no, qui respon de cada peça i què es fa quan alguna cosa es trenca. Sense aquest marc, cada empleat improvisa i la seguretat depèn del costum en comptes d'una regla comuna.
La seva relació amb el RGPD
La política de seguretat de la informació no neix d'un caprici organitzatiu: és la manera habitual de complir diverses obligacions concretes del RGPD. El reglament no imposa un document amb aquest nom exacte, però sí que exigeix el resultat que aquest document persegueix.
El pilar és l'art. 32 RGPD, sobre seguretat del tractament. Obliga el responsable i l'encarregat a aplicar mesures tècniques i organitzatives apropiades per garantir un nivell de seguretat adequat al risc. La paraula clau és apropiades al risc: no hi ha una llista tancada i igual per a tothom. El que és suficient per a una consulta amb dos empleats no ho és per a una plataforma que tracta dades de milers de persones. El mateix art. 32 esmenta, entre les mesures possibles, el xifrat i la seudonimització, la capacitat de garantir la confidencialitat, integritat, disponibilitat i resiliència dels sistemes, la capacitat de restaurar l'accés a les dades després d'un incident, i un procés de verificació i avaluació de l'eficàcia d'aquestes mesures.
Aquesta obligació tècnica es recolza en un principi més general. L'art. 5.1.f RGPD estableix el principi d'integritat i confidencialitat: les dades s'han de tractar de manera que es garanteixi una seguretat adequada, inclosa la protecció contra el tractament no autoritzat o il·lícit i contra la seva pèrdua o destrucció accidental. La política de seguretat és, precisament, la manera d'aterrar aquest principi a mesures concretes.
I hi ha un tercer eix que sol oblidar-se: la responsabilitat proactiva de l'art. 5.2 RGPD, reforçada per l'art. 24, que obliga el responsable no només a aplicar mesures, sinó a poder demostrar que les aplica. Una política de seguretat escrita, revisada i coherent amb l'activitat real és una de les principals proves d'aquesta diligència. No n'hi ha prou d'estar protegit: cal poder acreditar-ho.
Marcs de referència. Més enllà del RGPD, existeixen estàndards que ajuden a estructurar aquestes mesures: la ISO/IEC 27001, norma internacional per a sistemes de gestió de la seguretat de la informació, i l'Esquema Nacional de Seguretat (ENS), marc obligatori per al sector públic espanyol i els seus proveïdors. Són referències vàlides per ordenar el treball, però no substitueixen l'anàlisi propi: el RGPD mesura l'adequació de les mesures al risc del tractament concret, no la possessió d'una certificació.
Què ha de cobrir la política
No existeix una plantilla universal, perquè el contingut depèn del risc de cada organització. Però sí que hi ha un conjunt de blocs que una política de seguretat de la informació ben construïda hauria d'abordar en gairebé qualsevol empresa. Aquests són els principals.
Control d'accessos per rol
Cada persona ha d'accedir únicament a les dades que necessita per a la seva funció, i no a més. Això es tradueix en perfils d'accés definits per rol, altes i baixes de permisos quan algú entra o surt de l'empresa, i registre de qui accedeix a què (logs). El principi de mínim privilegi és la columna vertebral de tota la política: la majoria dels incidents interns neixen d'accessos excessius que ningú va revisar.
Contrasenyes i autenticació
Contrasenyes individuals (mai compartides entre persones), robustes i renovades davant de qualsevol sospita de compromís. Sempre que sigui possible, segon factor d'autenticació en els accessos crítics. Una política clara aquí evita l'escenari més comú: la contrasenya única del despatx enganxada en un pòsit sota el teclat.
Xifrat
Xifrat dels dispositius que surten de l'oficina (portàtils, discos externs, mòbils corporatius) i de les comunicacions i arxius sensibles. El xifrat és la mesura que converteix la pèrdua d'un portàtil en un ensurt en comptes d'una bretxa de dades: si el disc està xifrat, qui el troba no accedeix a res.
Còpies de seguretat
Còpies periòdiques, verificades i emmagatzemades de manera que sobrevisquin a un incident (idealment amb una còpia aïllada del sistema principal). La clau no és només fer còpies, sinó comprovar que es poden restaurar: una còpia que ningú ha provat de recuperar és una còpia que pot no existir el dia que fa falta.
Gestió de dispositius
Regles sobre quins equips poden tractar dades de l'organització, actualització del programari i els sistemes operatius, bloqueig automàtic de pantalles i control dels dispositius personals si s'utilitzen per treballar. Un equip desactualitzat és una porta oberta que la política ha de tancar amb procediments clars.
Teletreball
Condicions de seguretat per al treball fora de l'oficina: connexions segures, prohibició d'utilitzar xarxes públiques sense protecció, custòdia de la documentació al domicili i separació entre l'entorn professional i el personal. El teletreball amplia el perímetre de l'empresa i la política l'ha d'acompanyar, no ignorar-lo.
Formació del personal
La millor mesura tècnica falla si qui la fa servir no l'entén. La política ha de preveure formació pràctica: com detectar un correu de phishing, per què no s'envien dades sensibles per canals personals, com es gestiona una incidència. La seguretat és un hàbit col·lectiu, no un programari.
Gestió de bretxes de seguretat
Un protocol intern que defineixi què és una bretxa, a qui es comunica dins de l'empresa, com es documenta i com es valora si procedeix notificar-la. El RGPD contempla, amb caràcter general, la notificació a l'autoritat de control en un termini orientatiu de 72 hores quan la bretxa suposi un risc per als drets de les persones (art. 33 RGPD), i la comunicació als afectats quan el risc sigui alt (art. 34). Tenir el protocol escrit per endavant evita improvisar en el pitjor moment.
Mesures tècniques i mesures organitzatives
L'art. 32 RGPD parla sempre de mesures tècniques i organitzatives, en plural i en conjunt. No és una fórmula retòrica: són dues famílies diferents que es necessiten mútuament. Les tècniques actuen sobre els sistemes; les organitzatives, sobre les persones i els procediments. Una política que només cuida una de les dues deixa la porta entreoberta.
La distinció és fàcil de veure amb exemples. El xifrat d'un disc és una mesura tècnica; la norma interna que obliga a xifrar tot portàtil que surti de l'oficina és organitzativa. El sistema de còpies automàtiques és tècnic; el procediment que assigna a una persona la responsabilitat de verificar que les còpies funcionen és organitzatiu. La taula següent ordena les principals.
| Mesures tècniques | Mesures organitzatives |
|---|---|
| Xifrat de dispositius i comunicacions | Política de contrasenyes individuals |
| Control d'accessos per rol (mínim privilegi) | Deure de confidencialitat del personal |
| Còpies de seguretat verificades | Procediment de verificació de còpies |
| Bloqueig automàtic de pantalles | Formació i conscienciació de l'equip |
| Actualització de sistemes i antivirus | Regles de teletreball i ús de dispositius |
| Registre d'accessos (logs) | Protocol de gestió de bretxes |
L'error més freqüent és tractar la seguretat com un problema exclusivament informàtic. Es compra el millor antivirus i el millor tallafocs, i s'oblida que l'anella que més falla no és la màquina, sinó la rutina: la contrasenya compartida, el correu obert sense mirar, el portàtil sense xifrar al maleter del cotxe. Les mesures organitzatives són les que converteixen la tecnologia en protecció real.
"La seguretat de la informació no es compra amb una llicència d'antivirus. Es construeix amb regles clares que la gent entén i compleix cada dia. Una política que ningú ha llegit no protegeix ningú; només serveix per ensenyar-la quan ja és tard."
Mario P. Talamillo · Soci director, Certix®
Avaluació contínua basada en el risc
Una de les confusions més esteses és pensar que la seguretat es resol amb una auditoria anual: es revisa tot al gener, se signa un informe i s'oblida l'assumpte fins a l'any següent. El RGPD no funciona així. L'art. 32.1.d planteja un procés de verificació, avaluació i valoració regulars de l'eficàcia de les mesures. La paraula important és procés: alguna cosa contínua, no un esdeveniment amb data.
L'enfocament correcte és l'avaluació contínua basada en el risc. La política es revisa quan canvia alguna cosa que afecta el risc, no quan ho marca el calendari. Aquests són els desencadenants habituals d'una revisió:
- S'incorpora un programari o proveïdor nou que tracta dades de l'organització.
- S'obre una nova modalitat de treball (teletreball, dispositius personals, una nova seu).
- Es comença a tractar un tipus de dada diferent o un volum molt més gran.
- Es produeix un incident de seguretat, encara que no hagi arribat a majors.
- Canvia l'estructura de l'equip: noves incorporacions, sortides, canvis de rol amb els seus accessos associats.
Això no significa que no hi hagi revisions periòdiques: significa que una data fixa al calendari és el mínim, no el sistema. Fiar tota la seguretat a una auditoria anual i desentendre's els altres onze mesos és exactament l'escenari que la responsabilitat proactiva tracta d'evitar. Una política viva s'ajusta al ritme real del negoci, perquè el risc també canvia a aquest ritme.
Checklist d'una política sòlida
Per baixar tot l'anterior a alguna cosa accionable, aquesta és una llista de control amb els elements que una política de seguretat de la informació hauria de tenir resolts. No és exhaustiva —cada organització hi afegeix el que li correspon segons el seu risc— però serveix com a punt de partida.
- ✔ Accessos per rol definits, amb altes i baixes en entrar o sortir personal.
- ✔ Contrasenyes individuals i segon factor en accessos crítics.
- ✔ Xifrat de portàtils, dispositius extraïbles i comunicacions sensibles.
- ✔ Còpies de seguretat periòdiques i provades de restauració.
- ✔ Bloqueig de pantalles i actualització de sistemes com a rutina.
- ✔ Regles de teletreball escrites i conegudes per l'equip.
- ✔ Formació bàsica en seguretat per a tot el personal.
- ✔ Protocol de bretxes amb responsables i terminis clars.
- ✔ Deure de confidencialitat signat per qui accedeix a dades.
- ✔ Contractes de l'art. 28 RGPD amb els proveïdors que tracten dades per compte de l'empresa.
- ✔ Revisió de la política lligada als canvis reals del negoci, no només a una data.
Com Certix l'elabora i la manté
Una política de seguretat copiada d'una plantilla genèrica té un problema de fons: descriu mesures que l'empresa potser no aplica i omet les que de veritat necessita. I com que l'art. 32 RGPD exigeix que les mesures siguin apropiades al risc, una plantilla que no parteix del risc real no compleix la seva funció, per molt completa que sembli.
A Certix elaborem la política de seguretat de la informació a partir d'una anàlisi real de la teva organització: quines dades tractes, amb quins sistemes, qui hi accedeix i quins proveïdors hi intervenen. Sobre aquest mapa es defineixen les mesures tècniques i organitzatives que corresponen al teu nivell de risc, es documenten conforme a l'art. 32 RGPD i es connecten amb la resta del treball de privacitat, des del Registre d'Activitats de Tractament fins als contractes amb encarregats.
I la mantenim al dia. Quan incorpores una eina, canvies de proveïdor o obres una modalitat de teletreball, la política es revisa per continuar reflectint com protegeixes la informació de veritat. Pots veure el marc complet a la nostra guia del RGPD o parlar directament amb un consultor sobre el teu cas.
Preguntes freqüents
És obligatòria una política de seguretat de la informació?
El RGPD no exigeix un document amb aquest nom exacte, però sí que obliga el responsable a aplicar mesures tècniques i organitzatives apropiades al risc (art. 32 RGPD) i a poder demostrar que ho fa (art. 5.2, responsabilitat proactiva). A la pràctica, redactar aquestes mesures en una política de seguretat de la informació és la manera habitual de complir aquesta obligació i d'evidenciar-la. No és un formalisme opcional: és el suport documental d'una obligació legal real.
Quina diferència hi ha entre mesures tècniques i organitzatives?
Les mesures tècniques actuen sobre els sistemes: xifrat, còpies de seguretat, control d'accessos per rol, antivirus o el bloqueig automàtic de pantalles. Les organitzatives actuen sobre les persones i els procediments: política de contrasenyes, formació del personal, deure de confidencialitat, protocol de gestió de bretxes o regles per al teletreball. L'art. 32 RGPD exigeix ambdues de manera conjunta: una sense l'altra deixa forats, perquè el millor xifrat no protegeix si el personal no el sap fer servir.
Cada quant s'ha de revisar la política de seguretat?
No existeix una periodicitat fixa imposada per la norma. L'art. 32.1.d RGPD planteja un procés de verificació i avaluació de l'eficàcia de les mesures, i l'enfocament correcte és l'avaluació contínua basada en el risc: la política es revisa cada vegada que canvia alguna cosa rellevant (un programari nou, un proveïdor, una modalitat de teletreball, un incident) i no només en una data marcada. Fixar una revisió anual rígida i desentendre's la resta de l'any és precisament el que la norma tracta d'evitar.
La ISO 27001 o l'ENS substitueixen la política de seguretat del RGPD?
No la substitueixen, però són marcs de referència molt útils. La ISO/IEC 27001 és un estàndard internacional per a sistemes de gestió de la seguretat de la informació i l'Esquema Nacional de Seguretat (ENS) és el marc obligatori per al sector públic i els seus proveïdors. Tots dos ajuden a estructurar les mesures de l'art. 32 RGPD, però el compliment del RGPD es mesura per l'adequació de les mesures al risc del tractament concret, no per tenir una certificació. Certificar-se suma; no eximeix de l'anàlisi propi.
En resum
La política de seguretat de la informació és la peça que converteix un principi del RGPD —la integritat i confidencialitat de l'art. 5.1.f— en mesures concretes que protegeixen les dades dia a dia. No és un document per arxivar, sinó el marc de regles que fa que la seguretat no depengui de la improvisació. Ha de combinar mesures tècniques i organitzatives apropiades al risc (art. 32), poder demostrar-se (art. 5.2 i 24) i revisar-se segons canvia el negoci, no segons el calendari. Si vols saber si la teva reflecteix com protegeixes de veritat la informació, el pas següent és una anàlisi individualitzada de la teva organització.
Lectures relacionades
- Guia completa del RGPD — el marc normatiu del qual neixen les mesures de seguretat.
- Registre d'Activitats de Tractament (RAT) — el document on es descriuen, tractament per tractament, les mesures de seguretat aplicades.
- Consultoria de protecció de dades de Certix — com encaixa la política de seguretat en el treball de consultoria.
Aquest contingut és merament orientatiu i divulgatiu; no constitueix en cap cas assessorament jurídic especialitzat. L'aplicació de la normativa a cada cas concret requereix anàlisi individualitzada.
La teva política de seguretat reflecteix com protegeixes de veritat la informació?
A Certix elaborem i mantenim al dia la teva política de seguretat de la informació a partir d'una anàlisi real de la teva activitat i el seu nivell de risc.
Parlar amb un consultor