Una política de seguridad de la información para un proveedor de servicios TIC describe, en lenguaje llano y por escrito, cómo su organización gestiona el acceso, el equipamiento y las personas que trabajan en ello en su nombre. Para un proveedor de servicios TIC, esto se centra principalmente en tres aspectos: cómo gestiona remotamente los sistemas de los clientes, quién tiene acceso a esos sistemas y qué acuerdos establece con los subcontratistas que asumen parte del trabajo. Sin ese documento por escrito, a menudo existe una forma de trabajar, pero no algo que pueda mostrar cuando alguien le lo pregunta.
Y se lo preguntarán. Un cliente que esté sujeto a la obligación de diligencia debida de la Directiva NIS2 debe evaluar a sus proveedores — y un proveedor de servicios TIC a menudo figura entre los primeros en la lista, precisamente porque tiene acceso a sistemas de varios clientes simultáneamente. El cuestionario de seguridad que llega después rara vez solicita un documento de política extenso. Solicita una respuesta breve y clara a algunas preguntas recurrentes. Esa respuesta está disponible más rápidamente si la política ya está por escrito, en lugar de tener que formularla de nuevo para cada cuestionario.
Objetivo y alcance: sobre qué trata la política y sobre quién no
La primera sección es simple pero a menudo se omite: a quién le aplica esta política y sobre qué no trata. Para un proveedor de servicios TIC, esto generalmente significa una delimitación entre sus sistemas internos propios y los sistemas de clientes que gestiona o en los que trabaja. Un lector — o un cliente que solicita la política — debe poder ver en un párrafo si se trata de su propia automatización de oficina, de la infraestructura que gestiona para clientes, o de ambas. Sin esa delimitación, cada sección siguiente es difícil de evaluar.
Gestión remota: lo que usted fija concretamente
Si gestiona sistemas de clientes de forma remota, la política debe especificar cómo se establecen esas conexiones, qué herramientas se utilizan y quién puede iniciarlas. No se trata de un manual técnico, sino de las líneas que reconoce un cliente: ¿se trabaja a través de una ruta de acceso fija y controlada o cualquier empleado puede conectarse en cualquier momento, se registra la sesión y qué sucede si un dispositivo utilizado para el acceso remoto se pierde o se reemplaza. Los organismos supervisores y los clientes se centran en esta sección principalmente en la reconocibilidad: ¿existe una línea en la política que se alinee con lo que realmente sucede en la práctica.
Acceso a sistemas de clientes: acuerdos que destacan en un cuestionario
El acceso a sistemas de clientes es una cuestión diferente a la gestión remota, aunque en la práctica a menudo se solapan. La política describe aquí preferiblemente quién dentro de su organización obtiene acceso a qué entorno de cliente, en función de qué rol, y cómo se revoca ese acceso cuando alguien cambia de función o cesa en sus funciones. Muchos cuestionarios de seguridad de clientes preguntarán exactamente esto: no si tiene una política de contraseñas, sino si el acceso está vinculado a un rol y se revisa periódicamente. Quien ya tiene esto por escrito no necesita improvisar la respuesta en el momento en que llega el cuestionario.
Subcontratistas: quién ve qué y quién es responsable de ello
La tercera parte que suele faltar en un proveedor de servicios TIC es la posición de los subcontratistas. Si trabaja con una parte externa para, por ejemplo, alojamiento, parte del servicio técnico o gestión especializada, la política debe especificar qué acuerdos rigen en ese caso: ¿tiene esa parte acceso a los sistemas de los clientes y, en caso afirmativo, bajo qué condiciones, y quién dentro de su organización es la persona de contacto si algo sale mal con ese subcontratista. Un cliente que evalúa su política a menudo quiere ver exactamente esto —no porque trabajar con subcontratistas sea un problema, sino porque la falta de claridad al respecto sí lo es.
Quién establece la política y cuándo se revisa
Una última parte que a menudo se olvida es la responsabilidad: quién dentro de la organización ha establecido la política y en qué momento se revisó por última vez. En una pequeña empresa, a menudo es el propio director; en una organización un poco más grande puede ser un responsable designado. Más importante que el título es que haya un nombre y una fecha, para que un cliente o autoridad de supervisión pueda ver que el documento no fue elaborado y luego olvidado.
Los elementos específicos que se esperan dependen del sector en el que trabaja y del cliente que realiza la solicitud. la base de conocimientos con temas por situación ofrece por situación una visión general de lo que corresponde. Si primero desea saber si su organización se ve afectada a través de la cadena de suministro por la Directiva NIS2, entonces le ayuda una indicación basada en algunas preguntas para aclarar eso. Muchas preguntas que los clientes nos hacen sobre esto se repiten en las preguntas que otros proveedores de servicios TIC también han hechoy quien quiera saber en qué se basan esas respuestas, lo lee de nuevo a través de la explicación de nuestras fuentes y metodología.
Si aún no tiene una imagen clara de dónde se encuentra su organización, comience con la comprobación NIS2 gratuita. Esta proporciona una indicación y un siguiente paso en unos pocos minutos, sin necesidad de una cuenta.