Política de seguridade da información: que é e que debe cubrir

A política de seguridade da información é o documento no que unha organización recolle como protexe os datos que manexa: quen pode acceder a que, como se gardan, como se cifran e que se fai cando algo falla. Non é un trámite burocrático nin un anexo que se asina e se arquiva: é a tradución práctica dunha obriga legal do RGPD. Esta guía explica que é, como se conecta coa normativa de protección de datos, que debe cubrir e como se estrutura de verdade nunha empresa.

Que é unha política de seguridade da información?

Unha política de seguridade da información é o documento interno onde unha organización define como protexe os datos e os sistemas que utiliza para tratalos. Establece as regras de acceso, as medidas técnicas aplicadas, as responsabilidades do persoal e os procedementos ante incidentes. Dito de forma simple: é o manual de como a empresa custodia a información que lle confían os seus clientes, empregados e provedores.

Convén distinguila doutros documentos cos que ás veces se confunde. A política de privacidade é un texto público, dirixido aos interesados, que informa de que datos se tratan e con que fins (deber de información do art. 13 RGPD). A política de seguridade da información é o contrario: é interna, non se publica, e describe as medidas concretas que fan posible que eses datos estean protexidos. Unha mira cara a fóra; a outra, cara a dentro.

A súa función real non é ter un PDF que amosar se alguén o pide. É fixar por escrito, de forma coherente, como se comporta a organización coa información: que está permitido, que non, quen responde de cada peza e que se fai cando algo se rompe. Sen ese marco, cada empregado improvisa e a seguridade depende do costume en lugar dunha regra común.

A súa relación co RGPD

A política de seguridade da información non nace dun capricho organizativo: é a forma habitual de cumprir varias obrigas concretas do RGPD. O regulamento non impón un documento con ese nome exacto, pero si esixe o resultado que ese documento persegue.

O piar é o art. 32 RGPD, sobre seguridade do tratamento. Obriga o responsable e o encargado a aplicar medidas técnicas e organizativas apropiadas para garantir un nivel de seguridade adecuado ao risco. A palabra clave é apropiadas ao risco: non hai unha lista pechada e igual para todos. O que é suficiente para unha consulta con dous empregados non o é para unha plataforma que trata datos de miles de persoas. O propio art. 32 menciona, entre as medidas posibles, o cifrado e a seudonimización, a capacidade de garantir a confidencialidade, integridade, dispoñibilidade e resiliencia dos sistemas, a capacidade de restaurar o acceso aos datos tras un incidente, e un proceso de verificación e avaliación da eficacia desas medidas.

Esa obriga técnica apóiase nun principio máis xeral. O art. 5.1.f RGPD establece o principio de integridade e confidencialidade: os datos deben tratarse de forma que se garanta unha seguridade adecuada, incluída a protección contra o tratamento non autorizado ou ilícito e contra a súa perda ou destrución accidental. A política de seguridade é, precisamente, a maneira de aterrar ese principio a medidas concretas.

E hai un terceiro eixe que adoita esquecerse: a responsabilidade proactiva do art. 5.2 RGPD, reforzada polo art. 24, que obriga o responsable non só a aplicar medidas, senón a poder demostrar que as aplica. Unha política de seguridade escrita, revisada e coherente coa actividade real é unha das principais probas desa dilixencia. Non abonda con estar protexido: hai que poder acreditalo.

Que debe cubrir a política

Non existe unha plantilla universal, porque o contido depende do risco de cada organización. Pero si hai un conxunto de bloques que unha política de seguridade da información ben construída debería abordar en case calquera empresa. Estes son os principais.

Control de accesos por rol

Cada persoa debe acceder unicamente aos datos que necesita para a súa función, e non a máis. Isto tradúcese en perfís de acceso definidos por rol, altas e baixas de permisos cando alguén entra ou sae da empresa, e rexistro de quen accede a que (logs). O principio de mínimo privilexio é a columna vertebral de toda a política: a maioría dos incidentes internos nacen de accesos excesivos que ninguén revisou.

Contrasinais e autenticación

Contrasinais individuais (nunca compartidos entre persoas), robustos e renovados ante calquera sospeita de compromiso. Sempre que sexa posible, segundo factor de autenticación nos accesos críticos. Unha política clara aquí evita o escenario máis común: o contrasinal único do despacho pegado nun pósit baixo o teclado.

Cifrado

Cifrado dos dispositivos que saen da oficina (portátiles, discos externos, móbiles corporativos) e das comunicacións e arquivos sensibles. O cifrado é a medida que converte a perda dun portátil nun susto en lugar dunha brecha de datos: se o disco está cifrado, quen o atopa non accede a nada.

Copias de seguridade

Copias periódicas, verificadas e almacenadas de forma que sobrevivan a un incidente (idealmente cunha copia illada do sistema principal). A clave non é só facer copias, senón comprobar que se poden restaurar: unha copia que ninguén probou a recuperar é unha copia que pode non existir o día que fai falta.

Xestión de dispositivos

Regras sobre que equipos poden tratar datos da organización, actualización do software e os sistemas operativos, bloqueo automático de pantallas e control dos dispositivos persoais se se usan para traballar. Un equipo desactualizado é unha porta aberta que a política debe pechar con procedementos claros.

Teletraballo

Condicións de seguridade para o traballo fóra da oficina: conexións seguras, prohibición de usar redes públicas sen protección, custodia da documentación no domicilio e separación entre o contorno profesional e o persoal. O teletraballo amplía o perímetro da empresa e a política ten que acompañalo, non ignoralo.

Formación do persoal

A mellor medida técnica falla se quen a usa non a entende. A política debe prever formación práctica: como detectar un correo de phishing, por que non se envían datos sensibles por canles persoais, como se xestiona unha incidencia. A seguridade é un hábito colectivo, non un software.

Xestión de brechas de seguridade

Un protocolo interno que defina que é unha brecha, a quen se comunica dentro da empresa, como se documenta e como se valora se procede notificala. O RGPD contempla, con carácter xeral, a notificación á autoridade de control nun prazo orientativo de 72 horas cando a brecha supoña un risco para os dereitos das persoas (art. 33 RGPD), e a comunicación aos afectados cando o risco sexa alto (art. 34). Ter o protocolo escrito de antemán evita improvisar no peor momento.

Medidas técnicas e medidas organizativas

O art. 32 RGPD fala sempre de medidas técnicas e organizativas, en plural e en conxunto. Non é unha fórmula retórica: son dúas familias distintas que se necesitan mutuamente. As técnicas actúan sobre os sistemas; as organizativas, sobre as persoas e os procedementos. Unha política que só coida unha das dúas deixa a porta entreaberta.

A distinción é fácil de ver con exemplos. O cifrado dun disco é unha medida técnica; a norma interna que obriga a cifrar todo portátil que saia da oficina é organizativa. O sistema de copias automáticas é técnico; o procedemento que asigna a unha persoa a responsabilidade de verificar que as copias funcionan é organizativo. A táboa seguinte ordena as principais.

O erro máis frecuente é tratar a seguridade como un problema exclusivamente informático. Compra-se o mellor antivirus e a mellor devasa, e esquécese que o elo que máis falla non é a máquina, senón a rutina: o contrasinal compartido, o correo aberto sen mirar, o portátil sen cifrar no maleteiro do coche. As medidas organizativas son as que converten a tecnoloxía en protección real.

Avaliación continua baseada no risco

Unha das confusións máis estendidas é pensar que a seguridade se resolve cunha auditoría anual: revísase todo en xaneiro, asínase un informe e esquécese o asunto ata o ano seguinte. O RGPD non funciona así. O art. 32.1.d formula un proceso de verificación, avaliación e valoración regulares da eficacia das medidas. A palabra importante é proceso: algo continuo, non un evento con data.

O enfoque correcto é a avaliación continua baseada no risco. A política revísase cando cambia algo que afecta ao risco, non cando o marca o calendario. Estes son os disparadores habituais dunha revisión:

• Incorpórase un software ou provedor novo que trata datos da organización.
• Ábrese unha nova modalidade de traballo (teletraballo, dispositivos persoais, unha nova sede).
• Empézase a tratar un tipo de dato distinto ou un volume moito maior.
• Prodúcese un incidente de seguridade, aínda que non chegase a maiores.
• Cambia a estrutura do equipo: novas incorporacións, saídas, cambios de rol cos seus accesos asociados.

Isto non significa que non haxa revisións periódicas: significa que unha data fixa no calendario é o mínimo, non o sistema. Fiar toda a seguridade a unha auditoría anual e desentenderse os outros once meses é exactamente o escenario que a responsabilidade proactiva trata de evitar. Unha política viva axústase ao ritmo real do negocio, porque o risco tamén cambia a ese ritmo.

Checklist dunha política sólida

Para baixar todo o anterior a algo accionable, esta é unha lista de control cos elementos que unha política de seguridade da información debería ter resoltos. Non é exhaustiva —cada organización engade o seu segundo o seu risco— pero serve como punto de partida.

• ✔ Accesos por rol definidos, con altas e baixas ao entrar ou saír persoal.
• ✔ Contrasinais individuais e segundo factor en accesos críticos.
• ✔ Cifrado de portátiles, dispositivos extraíbles e comunicacións sensibles.
• ✔ Copias de seguridade periódicas e probadas de restauración.
• ✔ Bloqueo de pantallas e actualización de sistemas como rutina.
• ✔ Regras de teletraballo escritas e coñecidas polo equipo.
• ✔ Formación básica en seguridade para todo o persoal.
• ✔ Protocolo de brechas con responsables e prazos claros.
• ✔ Deber de confidencialidade asinado por quen accede a datos.
• ✔ Contratos do art. 28 RGPD cos provedores que tratan datos por conta da empresa.
• ✔ Revisión da política ligada aos cambios reais do negocio, non só a unha data.

Como Certix a elabora e a mantén

Unha política de seguridade copiada dunha plantilla xenérica ten un problema de fondo: describe medidas que a empresa quizais non aplica e omite as que de verdade necesita. E como o art. 32 RGPD esixe que as medidas sexan apropiadas ao risco, unha plantilla que non parte do risco real non cumpre a súa función, por moi completa que pareza.

En Certix elaboramos a política de seguridade da información a partir dunha análise real da túa organización: que datos tratas, con que sistemas, quen accede a eles e que provedores interveñen. Sobre ese mapa defínense as medidas técnicas e organizativas que corresponden ao teu nivel de risco, documéntanse conforme ao art. 32 RGPD e conéctanse co resto do traballo de privacidade, desde o Rexistro de Actividades de Tratamento ata os contratos con encargados.

E mantémola ao día. Cando incorporas unha ferramenta, cambias de provedor ou abres unha modalidade de teletraballo, a política revísase para seguir reflectindo como protexes a información de verdade. Podes ver o marco completo na nosa guía do RGPD ou falar directamente cun consultor sobre o teu caso.

Preguntas frecuentes

É obrigatoria unha política de seguridade da información?

O RGPD non esixe un documento con ese nome exacto, pero si obriga o responsable a aplicar medidas técnicas e organizativas apropiadas ao risco (art. 32 RGPD) e a poder demostrar que o fai (art. 5.2, responsabilidade proactiva). Na práctica, redactar esas medidas nunha política de seguridade da información é a forma habitual de cumprir esa obriga e de evidencialo. Non é un formalismo opcional: é o soporte documental dunha obriga legal real.

Que diferenza hai entre medidas técnicas e organizativas?

As medidas técnicas actúan sobre os sistemas: cifrado, copias de seguridade, control de accesos por rol, antivirus ou o bloqueo automático de pantallas. As organizativas actúan sobre as persoas e os procedementos: política de contrasinais, formación do persoal, deber de confidencialidade, protocolo de xestión de brechas ou regras para o teletraballo. O art. 32 RGPD esixe ambas de forma conxunta: unha sen a outra deixa ocos, porque o mellor cifrado non protexe se o persoal non sabe usalo.

Cada canto hai que revisar a política de seguridade?

Non existe unha periodicidade fixa imposta pola norma. O art. 32.1.d RGPD formula un proceso de verificación e avaliación da eficacia das medidas, e o enfoque correcto é a avaliación continua baseada no risco: a política revísase cada vez que cambia algo relevante (un software novo, un provedor, unha modalidade de teletraballo, un incidente) e non só nunha data marcada. Fixar unha revisión anual ríxida e desentenderse o resto do ano é precisamente o que a norma trata de evitar.

A ISO 27001 ou o ENS substitúen a política de seguridade do RGPD?

Non a substitúen, pero son marcos de referencia moi útiles. A ISO/IEC 27001 é un estándar internacional para sistemas de xestión da seguridade da información e o Esquema Nacional de Seguridade (ENS) é o marco obrigatorio para o sector público e os seus provedores. Ambos axudan a estruturar as medidas do art. 32 RGPD, pero o cumprimento do RGPD mídese pola adecuación das medidas ao risco do tratamento concreto, non por ter unha certificación. Certificarse suma; non exime da análise propia.

En resumo

A política de seguridade da información é a peza que converte un principio do RGPD —a integridade e confidencialidade do art. 5.1.f— en medidas concretas que protexen os datos día a día. Non é un documento para arquivar, senón o marco de regras que fai que a seguridade non dependa da improvisación. Debe combinar medidas técnicas e organizativas apropiadas ao risco (art. 32), poder demostrarse (art. 5.2 e 24) e revisarse segundo cambia o negocio, non segundo o calendario. Se queres saber se a túa reflicte como protexes de verdade a información, o paso seguinte é unha análise individualizada da túa organización.

Lecturas relacionadas

• Guía completa do RGPD — o marco normativo do que nacen as medidas de seguridade.
• Rexistro de Actividades de Tratamento (RAT) — o documento onde se describen, tratamento por tratamento, as medidas de seguridade aplicadas.
• Consultoría de protección de datos de Certix — como encaixa a política de seguridade no traballo de consultoría.

---

Este contido é meramente orientativo e divulgativo; non constitúe en ningún caso asesoramento xurídico especializado. A aplicación da normativa a cada caso concreto require análise individualizada.