¿Qué es una Política de Seguridad de Red y por Qué es Importante?

Las políticas de seguridad de red describen directrices estrictas sobre cómo una organización utiliza, gestiona y protege sus activos basados en la red. Sin una política bien pensada, una empresa no tiene un plan oficial para proteger su red del uso indebido, el acceso no autorizado y los ataques cibernéticos.

Este artículo es una introducción a las políticas de seguridad de red, un elemento vital de la estrategia de ciberseguridad de cualquier organización. Sumérgete para ver cómo estos documentos de precaución mejoran la capacidad de un equipo para prevenir, detectar y hacer frente a las amenazas basadas en la red.

Nuestro artículo sobre los diferentes tipos de seguridad de red describe las medidas más efectivas que las empresas suelen incluir en sus políticas de seguridad de red.

¿Qué es una Política de Seguridad de Red?

Una política de seguridad de red es un documento formal que describe estrategias para garantizar la confidencialidad, la integridad y la disponibilidad de los datos y recursos basados en la red. Estos son los principales objetivos de una política de seguridad de red:

• Definir el uso aceptable de los activos de la red.
• Establecer procedimientos de seguridad estandarizados.
• Establecer medidas óptimas para proteger los recursos contra las amenazas de la red.

Las políticas de seguridad de red son documentos “vivos” que requieren actualizaciones continuas a medida que cambian los requisitos de TI y los ciberdelincuentes idean nuevas tácticas. Aquí hay una descripción general de lo que contiene una política de seguridad de red típica:

• Un esquema del propósito y los objetivos de la política.
• El personal clave y sus roles en la creación y aplicación de la política.
• Identificación clara de los activos y recursos dentro del alcance.
• Una descripción general de los riesgos de seguridad identificados (normalmente priorizados según la gravedad y la probabilidad).
• Estrategias para gestionar y mitigar los riesgos identificados.
• Información sobre las medidas de seguridad implementadas (firewalls, sistemas de detección de intrusiones (IDS), herramientas antimalware, seguridad de endpoints, etc.).
• Directrices sobre el uso apropiado de los recursos de la red.
• Restricciones sobre actividades que puedan comprometer la seguridad.
• Procedimientos para informar problemas e incidentes.
• Pasos de respuesta a incidentes predefinidos.

Una política de seguridad de red típica es una colección de múltiples documentos, cada uno enfocado en un aspecto específico de la seguridad (por ejemplo, cifrado de datos, reglas de contraseñas, gestión de parches, etc.). Suele haber cierta superposición entre estos documentos, lo que no es motivo de preocupación si las directrices son coherentes en todas las políticas.

¿Por Qué Son Importantes las Políticas de Seguridad de Red?

Las políticas de seguridad de red desempeñan un papel vital en la protección de los activos basados en la red. Estas son las principales razones por las que estas políticas son tan importantes:

• Seguridad de red mejorada. Una política bien pensada refuerza las defensas cibernéticas, mitiga las vulnerabilidades y garantiza que los equipos sepan cómo utilizar la red corporativa de forma segura. Las empresas se vuelven más resistentes tanto a las amenazas externas como internas.
• Confidencialidad, Integridad y Disponibilidad (CIA). Una política de seguridad de red reduce la probabilidad de que datos valiosos se filtren, corrompan o dejen de estar disponibles.
• Medidas de seguridad consistentes. Las políticas proporcionan un marco estandarizado para las medidas de seguridad en toda la organización. La empresa define y aplica estrategias óptimas para mantener la seguridad de la red.
• Cumplimiento legal y normativo. Las políticas de seguridad de red ayudan a las organizaciones a cumplir con los estándares legales y normativos relevantes (por ejemplo, CCPA o GDPR).
• Una mentalidad de seguridad proactiva. El establecimiento de directrices y mejores prácticas requiere que una empresa aborde la seguridad de la red de forma proactiva. Las políticas también contribuyen a la creación de una cultura de concienciación sobre la seguridad dentro de la organización.
• Revisiones periódicas de la estrategia. Una política de seguridad de red requiere actualizaciones periódicas para abordar nuevos riesgos o adaptarse a los cambios recientes en la TI. Las revisiones y actualizaciones regulares ayudan a las organizaciones a mantenerse al día con las últimas amenazas de seguridad.
• Respuestas óptimas a incidentes. Una política de seguridad de red completa incluye un plan de respuesta a incidentes que ayuda a los equipos a responder de manera rápida y eficaz a los incidentes. La preparación para eventos imprevistos también mejora la recuperación ante desastres y la continuidad del negocio.

14 Políticas de Seguridad de Red Críticas

Las empresas suelen crear múltiples políticas, y cada documento dicta las reglas que rodean una faceta diferente de la seguridad de la red. Echemos un vistazo a las políticas más comunes que las organizaciones crean para mejorar la postura de seguridad de la red.

#1. Política de Control de Acceso

Una política de control de acceso define los procedimientos para otorgar y revocar el acceso a los recursos de la red. El objetivo principal de la política es garantizar que solo las personas autorizadas puedan acceder a datos, aplicaciones y áreas específicas dentro de la red.

Una política de control de acceso típica cubre la siguiente información:

• Requisitos para verificar la identidad del usuario antes de obtener acceso (por ejemplo, contraseñas, biometría, tarjetas inteligentes, etc.).
• Riesgos identificados relacionados con los controles de acceso.
• Las tecnologías utilizadas para el control de acceso, como la autenticación de dos factores (2FA) o multifactor (MFA).
• Varios niveles de acceso que clasifican a los usuarios según sus roles y responsabilidades.
• Procedimientos para revocar los derechos de acceso cuando alguien deja la empresa o cambia de rol.
• Especificaciones sobre cómo la red autentica los dispositivos que acceden a ella.
• Métodos para supervisar las actividades del usuario para detectar intentos de acceso no autorizado (por ejemplo, mecanismos de registro o herramientas de gestión de eventos e información de seguridad (SIEM)).
• Políticas para proporcionar acceso temporal a los visitantes de la oficina.
• Procedimientos para gestionar incidentes de seguridad relacionados con el control de acceso.
• Instrucciones de Control de Acceso a la Red (NAC).

Toda organización, independientemente de su tamaño o sector, necesita una política de control de acceso. Este documento es vital para garantizar el cumplimiento y detectar intrusos en la red.

#2. Política de Gestión de Cuentas

Una política de gestión de cuentas describe las reglas y los procedimientos para gestionar las cuentas de usuario dentro de la red. Esto es lo que una empresa suele incluir en este documento:

• Las herramientas y tecnologías que la organización utiliza para la gestión de cuentas.
• Procedimientos para crear nuevas cuentas de usuario.
• Directrices para asignar permisos apropiados a las cuentas de usuario.
• Métodos de autenticación utilizados para verificar las identidades de los usuarios.
• Procedimientos para modificar las cuentas de usuario (por ejemplo, actualizaciones de permisos, cambios de roles, ajustes en la configuración de la cuenta, etc.).
• Procesos para desactivar o eliminar cuentas de usuario.
• Directrices para supervisar las actividades de las cuentas de usuario.
• Protocolos para recuperar el acceso a las cuentas de usuario.

Cualquier organización que desee procedimientos seguros y coherentes para crear, modificar y desactivar cuentas de usuario necesita una política de gestión de cuentas.

#3. Política de Contraseñas

Una política de contraseñas rige la creación, gestión y uso de contraseñas dentro de la red. El objetivo principal de esta política es garantizar que las contraseñas sean sólidas, únicas y se actualicen periódicamente.

Esto es lo que contiene una política de contraseñas típica:

• Una descripción general de las herramientas de gestión de contraseñas utilizadas.
• Instrucciones sobre cómo crear contraseñas seguras y complejas (por ejemplo, el uso de letras mayúsculas y minúsculas, números, caracteres especiales, etc.).
• La longitud mínima y (si corresponde) máxima para las contraseñas.
• Reglas con respecto a la reutilización de contraseñas.
• La frecuencia con la que los usuarios deben cambiar las contraseñas.
• Reglas para bloquear automáticamente las cuentas de usuario después de un número específico de intentos de inicio de sesión fallidos (una estrategia común para prevenir ataques de fuerza bruta).
• Descripciones de cómo la empresa almacena y protege las contraseñas.
• Procedimientos para la recuperación de contraseñas.
• Directrices para el manejo de contraseñas asociadas con aplicaciones de terceros o servicios integrados.

La política de contraseñas es imprescindible para toda organización, sin importar su tamaño. Esta política es esencial para prevenir el robo de identidad y las brechas de seguridad en la red.

#4. Política de Uso de la Red

Una política de uso de la red define el uso aceptable de los recursos de la red. Otro nombre común para este documento es Política de Uso Aceptable (PUA).

El propósito principal de la política de uso de la red es garantizar un uso responsable y seguro de la red y sus activos. Esto es lo que este documento describe:

• Los propósitos aceptables para los que los empleados pueden utilizar los recursos de la red de la organización.
• Actividades de red prohibidas (por ejemplo, juegos de azar, redes sociales, correos electrónicos personales, herramientas de comunicación no oficiales, actividad ilegal o poco ética, herramientas de TI en la sombra, etc.).
• Directrices para el uso apropiado del ancho de banda de la red.
• Reglas con respecto a la instalación de software en dispositivos propiedad de la organización.
• Una descripción general de las prácticas y herramientas de seguridad de red obligatorias.
• Las consecuencias de violar las directrices de uso.
• Restricciones relacionadas con el uso de dispositivos personales.

La política de uso de la red es una precaución imprescindible para toda organización que desee controlar las actividades de la red.

#5. Política de Acceso Remoto

Una política de acceso remoto dicta las reglas para el acceso seguro a la red interna y los recursos de una organización desde una ubicación fuera del sitio. Esto es lo que puedes esperar encontrar en una política de acceso remoto típica:

• Una lista de quién está autorizado a acceder a la red de forma remota.
• Los métodos utilizados para verificar la identidad de los usuarios remotos.
• Los tipos de dispositivos permitidos para el acceso remoto.
• Los métodos aprobados para establecer una conexión remota (por ejemplo, RDP o VPN).
• Estándares de seguridad que los empleados deben cumplir para obtener acceso remoto (por ejemplo, aplicaciones actualizadas, requisitos de cifrado, configuraciones de firewall, software antivirus activado, etc.).
• Medidas de seguridad que protegen los datos sensibles durante el acceso remoto.
• Directrices sobre actividades remotas apropiadas.
• Información sobre los procedimientos de registro y supervisión para las sesiones de acceso remoto.

Las políticas de acceso remoto son obligatorias para cualquier empresa que permita a los empleados conectarse a la red interna desde ubicaciones fuera de la oficina corporativa.

#6. Política de Cifrado de Datos

Una política de cifrado de datos rige el uso de técnicas de cifrado que protegen los datos sensibles de la red. Esto es lo que cubre una política de cifrado de datos típica:

• Cualquier normativa de protección de datos o estándar de cumplimiento relevante.
• Categorías de datos basadas en la sensibilidad e importancia.
• Algoritmos de cifrado aprobados.
• Procedimientos para generar, almacenar y gestionar claves de cifrado.
• Requisitos para cifrar los datos almacenados en diversos dispositivos y medios (cifrado en reposo).
• Estándares para cifrar los datos a medida que se mueven de una red a otra (cifrado en tránsito).
• Requisitos para cifrar los datos durante el procesamiento activo (cifrado en uso).
• Medidas para cifrar los datos en entornos de nube.
• Procedimientos para descifrar datos.

Toda organización que maneje datos sensibles o confidenciales debería considerar la creación de una política de cifrado. Esta política es particularmente relevante para entidades en industrias con estrictas regulaciones de protección de datos (por ejemplo, sanidad, finanzas o gobierno).

#7. Política de Firewall y Seguridad de Red

Las políticas de firewall y seguridad de red definen las reglas para configurar, utilizar y gestionar firewalls y otros dispositivos de seguridad de red. El objetivo principal de esta política es supervisar el tráfico de red entrante y saliente.

Esto es lo que las empresas suelen incluir en su política de firewall y seguridad de red:

• Las reglas y configuraciones para firewalls basados en hardware y software.
• Tipos de tráfico permitido y prohibido.
• Las reglas y configuraciones para sistemas de prevención y detección de intrusiones que supervisan el tráfico en busca de signos de actividad maliciosa.
• Directrices para la segmentación de la red, con un esquema de los requisitos de seguridad de cada segmento.
• Configuración para configurar VPNs.
• Requisitos para el registro y la supervisión del tráfico de red.
• Procedimientos para identificar y responder a incidentes de seguridad que detecten los firewalls y los sistemas de prevención de intrusiones.
• Especifica las medidas para proteger la red contra ataques de denegación de servicio (por ejemplo, filtros o implementación de limitación de tráfico).
• Instrucciones sobre cómo utilizar la Traducción de Direcciones de Red para ocultar las estructuras de la red.
• Medidas de seguridad para aplicaciones, protocolos o servicios específicos (por ejemplo, servidores de correo electrónico o bases de datos).

Toda organización que gestione una red interna debe tener una política de firewall y seguridad de red. Sin embargo, la complejidad y el presupuesto de la política difieren considerablemente entre las empresas.

#8. Política de Respuesta a Incidentes

Una política de respuesta a incidentes proporciona un conjunto documentado de procedimientos que dictan cómo los equipos responden a los incidentes de seguridad dentro de la red. Esto es lo que debes incluir en esta política:

• Todos los requisitos legales y reglamentarios relevantes (por ejemplo, que un sistema deba cumplir con un determinado RTO o RPO).
• Métodos y procedimientos para identificar posibles incidentes de seguridad.
• Un marco para categorizar eventos imprevistos en función de su naturaleza e impacto.
• Roles y responsabilidades de las personas involucradas en la respuesta.
• Un plan de comunicación para notificar a las partes interesadas internas y externas sobre un incidente.
• Acciones y procedimientos para contener el incidente (por ejemplo, aislar los sistemas afectados o cerrar el acceso a la red).
• Procesos para eliminar la causa raíz del problema.
• Instrucciones para restaurar los sistemas afectados a su funcionamiento normal.
• Procedimientos para realizar análisis forenses para determinar la causa y el alcance del incidente.
• Requisitos de documentación para las actividades de respuesta.
• El proceso para realizar revisiones posteriores al incidente.
• Instrucciones para simulacros para los equipos de respuesta a incidentes.

Las empresas suelen crear una política separada para cada incidente potencialmente devastador. Las organizaciones no pueden tener una política para cada escenario desafortunado, por lo que las evaluaciones de riesgos precisas y la priorización son esenciales.

#9. Política de Gestión de Parches

Una política de gestión de parches establece los procedimientos que rigen la planificación, prueba, implementación y supervisión de los parches de software. El objetivo principal de esta política es garantizar que los sistemas de red estén actualizados con los últimos parches de seguridad, correcciones de errores y actualizaciones de software.

Esto es lo que cubre una política de gestión de parches típica:

• Una descripción general de las herramientas y tecnologías utilizadas para la aplicación de parches (por ejemplo, software de gestión de parches, herramientas de escaneo de vulnerabilidades, sistemas de gestión de configuración, etc.).
• Programas de aplicación de parches.
• Instrucciones sobre cómo los empleados pueden mantenerse informados sobre los últimos parches y actualizaciones.
• El proceso de identificación de vulnerabilidades en software y sistemas.
• Criterios para priorizar los parches.
• Procedimientos para probar los parches en un entorno controlado antes de su implementación en producción.
• Una guía para revertir los parches en caso de comportamiento inesperado del sistema.
• Métodos para supervisar la eficacia de las actividades de gestión de parches.
• Reglas para mantener la documentación relevante (registros de implementaciones de parches, resultados de pruebas y registros de comunicación).

Toda organización necesita una política de gestión de parches. Sin ella, no hay forma de que una empresa se asegure de que los empleados utilicen las últimas versiones de software.

#10. Política de Seguridad del Correo Electrónico

Las políticas de seguridad del correo electrónico dictan el uso seguro de la mensajería de correo electrónico dentro de una organización. Estas políticas protegen a las organizaciones contra amenazas relacionadas con el correo electrónico (por ejemplo, ataques de phishing, distribución de malware, tácticas de ingeniería social, etc.).

Las políticas de seguridad del correo electrónico cubren una variedad de medidas y mejores prácticas, que incluyen:

• Una descripción general de toda la tecnología utilizada para proteger la comunicación por correo electrónico.
• Directrices para garantizar que solo los usuarios autorizados puedan acceder y enviar correos electrónicos.
• Pasos para identificar y prevenir intentos de phishing.
• Procedimientos para escanear el contenido del correo electrónico para detectar y bloquear archivos adjuntos y enlaces maliciosos.
• Instrucciones para prevenir transmisiones no autorizadas de información sensible o confidencial por correo electrónico.
• Directrices para filtrar el spam y los correos electrónicos no deseados.
• Procedimientos para informar correos electrónicos sospechosos y posibles incidentes de seguridad relacionados con el correo electrónico.
• Instrucciones para organizar la formación de los empleados para garantizar la concienciación y el cumplimiento de la política de seguridad del correo electrónico.

Toda organización que ejecute un servidor de correo electrónico interno necesita una política de seguridad del correo electrónico.

#11. Política de Supervisión y Registro de la Red

Una política de supervisión y registro de la red rige cómo la organización supervisa la red y registra las actividades. Esto es lo que suele cubrir esta política:

• Los objetivos de la supervisión de la red (por ejemplo, identificar y prevenir incidentes de seguridad, optimizar el rendimiento de la red, garantizar la alta disponibilidad de los servicios críticos, etc.).
• Consideraciones sobre la privacidad del usuario y las leyes de protección de datos.
• El alcance de las actividades de supervisión de la red.
• Herramientas de supervisión de red implementadas.
• Procedimientos para supervisar la utilización del ancho de banda, la latencia y la disponibilidad.
• Directrices para detectar actividades sospechosas o maliciosas.
• Explicaciones detalladas sobre los tipos de registros recopilados.
• Los mecanismos de almacenamiento de registros y los períodos de retención.
• Procedimientos para analizar los registros y crear informes.
• Los criterios para generar notificaciones y alertas en función de los eventos supervisados.

Toda organización que opere una red interna necesita una política de supervisión y registro de la red.

#12. Política de Seguridad de Dispositivos Móviles

Una política de seguridad de dispositivos móviles rige el uso y la gestión seguros de los dispositivos móviles conectados a la red. Esta política ayuda a las empresas a:

• Proteger bases de datos sensibles.
• Garantizar la integridad y confidencialidad de los datos.
• Mitigar los riesgos de seguridad de conectar dispositivos inteligentes y portátiles a la red corporativa.

Esto es lo que encontrarás en una política de seguridad de dispositivos móviles:

• Políticas de uso aceptable para dispositivos móviles dentro de la organización.
• Reglas sobre el uso de dispositivos BYOD para tareas laborales.
• Procedimientos para configurar dispositivos con ajustes de seguridad, cifrado y otros controles necesarios.
• Requisitos para la autenticación segura, el registro de dispositivos y las medidas para evitar el acceso no autorizado.
• Medidas para asegurar las conexiones de red en dispositivos móviles.
• Directrices para instalar y utilizar aplicaciones relacionadas con el trabajo en dispositivos móviles.
• Un proceso para que los empleados informen sobre dispositivos perdidos o robados.
• El proceso para borrar datos de forma remota de dispositivos perdidos o robados.
• Procedimientos para copias de seguridad y procesos de recuperación en caso de pérdida de datos o fallo del dispositivo.

Toda organización que permita el uso de dispositivos móviles dentro de su red necesita una política de seguridad de dispositivos móviles.

#13. Política de Seguridad de Servidores

Una política de seguridad de servidores describe las directrices para la configuración, gestión y uso seguros de los servidores dentro de la red de una organización. Esto es lo que las empresas suelen incluir en esta política:

• Una descripción general de todos los servidores (modelo, antigüedad, administrador principal, hora de la última revisión, información del rack, etc.).
• Medidas para controlar el acceso a los servidores (por ejemplo, mecanismos de autenticación, gestión de cuentas de usuario, controles de acceso basados en roles (RBAC), etc.).
• Estándares de configuración del servidor (por ejemplo, directrices para la configuración del sistema operativo, configuraciones de red, configuraciones de software de seguridad, etc.).
• Procedimientos para aplicar parches y actualizaciones de seguridad a los servidores.
• Directrices sobre cómo garantizar la seguridad física de la sala de servidores.
• Instrucciones para la gestión adecuada del servidor.
• Procedimientos para responder a incidentes de seguridad como intrusos o inundaciones en la sala de servidores.
• Guías para la recuperación de datos en caso de fallos del servidor.

Las políticas de seguridad de servidores son imprescindibles para cualquier organización con una sala de servidores interna.

#14. Política de Evaluación de Vulnerabilidades

Una política de evaluación de vulnerabilidades explica cómo los equipos deben buscar sistemática y proactivamente fallos de seguridad dentro de una red. Una política de evaluación de vulnerabilidades típica proporciona la siguiente información:

• El alcance de las evaluaciones de vulnerabilidades.
• La frecuencia de las evaluaciones.
• Herramientas y técnicas autorizadas para descubrir fallos (por ejemplo, escáneres de red, escáneres de seguridad de aplicaciones, herramientas de pruebas de penetración, etc.).
• Los permisos necesarios para realizar evaluaciones de vulnerabilidades.
• Procedimientos para documentar e informar los resultados de las evaluaciones.
• Criterios para priorizar las vulnerabilidades identificadas en función de diferentes factores (por ejemplo, gravedad del fallo, impacto potencial en la organización, nivel de riesgo realista, etc.).
• El proceso para abordar y subsanar las vulnerabilidades identificadas.
• Procedimientos para gestionar y abordar los falsos positivos.
• Directrices para reevaluar y validar la eficacia de los esfuerzos de remediación.

Toda organización que desee mitigar de forma proactiva los riesgos de seguridad de la red necesita una política de evaluación de vulnerabilidades.

Cómo Implementar una Política de Seguridad de Red

Algunas políticas son más difíciles de crear que otras, pero todas implican un procedimiento similar. A continuación, se presenta una guía paso a paso para crear e implementar una política de seguridad de red.

#1. Definir los Objetivos y el Alcance de la Política

Comienza por determinar quién creará, revisará y aplicará la política. La mayoría de las empresas optan por una combinación de:

• Representantes del equipo de TI.
• Especialistas en seguridad (internos o externos).
• El equipo legal.
• El liderazgo ejecutivo.

Una vez que se forma un equipo, define claramente el (los) objetivo(s) de alto nivel de tu política de seguridad de red. Aquí hay algunos ejemplos comunes:

• Mejorar la protección de datos.
• Prevenir el acceso no autorizado.
• Aumentar el tiempo de actividad de la red.
• Aislar a los intrusos que vulneraron la red.
• Prevenir las inyecciones de ransomware.
• Mejorar la supervisión del tráfico.

A continuación, define el alcance de la política. Identifica y cataloga todos los recursos dentro de la red (por ejemplo, servidores, bases de datos, aplicaciones, dispositivos, etc.). Además, ten en cuenta quién usa la red y de qué manera.

Considera los requisitos legales y reglamentarios aplicables a la red. Muchas organizaciones deben cumplir con estándares específicos de la industria, como PCI o HIPAA. Asegúrate de que la política de seguridad de la red se alinee con estos requisitos.

Finalmente, documenta los objetivos, activos y el alcance definidos. Esta información sirve como base para el desarrollo de la política de seguridad de la red.

#2. Evaluación de Riesgos de la Red

Identifica las posibles amenazas que podrían afectar la seguridad de la red. Los riesgos habituales incluyen:

• Inyecciones de malware.
• Exfiltración de datos.
• Descargas no deseadas (“drive-by downloads”).
• Acceso no autorizado.
• Configuración de puertas traseras (“backdoors”).
• Error humano (por ejemplo, empleados que comparten contraseñas u olvidan cerrar sesión en sus cuentas).
• Tráfico ilegítimo que consume recursos.
• Ataques de intermediario (“man in the middle“).
• Secuestro de tráfico.

Evalúa la probabilidad de cada riesgo identificado. La mayoría de las empresas confían en una combinación de datos históricos, tendencias de la industria y juicio de expertos durante este proceso.

También debes evaluar el impacto potencial de cada riesgo identificado (por ejemplo, tiempo de inactividad, filtraciones de datos, tráfico mal dirigido, etc.). El análisis de impacto ayuda a cuantificar las consecuencias en términos de:

• Pérdidas financieras.
• Daño a la reputación.
• Interrupción operativa.

Prioriza los riesgos en función de una combinación de probabilidad e impacto. Los riesgos de alta prioridad son aquellos con una alta probabilidad de ocurrencia y consecuencias potenciales significativas. Documenta los resultados de la evaluación de riesgos enumerando todos los riesgos identificados junto con su probabilidad e impacto.

#3. Desarrollo de la Política

Utiliza la información recopilada hasta ahora para crear una estrategia de seguridad que:

• Ayude a cumplir los objetivos definidos en el paso uno.
• Mitigue los riesgos de alta prioridad identificados en el paso dos.

En la mayoría de los casos, un experto en seguridad debe escribir el primer borrador y describir qué medidas protegen mejor los activos dentro del alcance de los riesgos identificados. Puedes recurrir a especialistas internos o contratar a un equipo de terceros para definir la base de tu política.

Las medidas típicas a las que recurren los equipos de seguridad al crear una política son:

• Implementar nuevos controles de seguridad.
• Implementar mejores controles de acceso.
• Configurar firewalls e IDS nuevos o modificar los actuales.
• Mejorar las capacidades de supervisión.
• Cifrar datos.
• Implementar herramientas de prevención de DDoS.
• Establecer o mejorar los procedimientos de respuesta a incidentes.
• Crear nuevas estrategias de copia de seguridad.
• Configurar servidores señuelo (“honeypot”).
• Segmentar la red en múltiples zonas.
• Implementar medidas de seguridad de confianza cero (“zero-trust“).

Anima a los expertos en seguridad a documentar la justificación de cada medida incluida en la política. Comprender este razonamiento facilita la adopción de la política y las revisiones futuras.

Una vez que el equipo de seguridad crea la política, distribuye el documento para su revisión y aprobación por todas las partes interesadas clave. Si todos los responsables de la toma de decisiones aprueban la estrategia, el siguiente paso es redactar un documento detallado que explique las nuevas medidas de seguridad.

Además de describir los cambios de seguridad que conlleva la política, los autores también deben definir lo siguiente en este punto:

• Personal de referencia que aplicará la política.
• Expectativas claras de lo que los empleados deben hacer para cumplir con la nueva política.
• Restricciones sobre actividades que comprometan la seguridad de la red.
• Procedimientos para informar incidentes de seguridad.
• Plazos para revisar la política de seguridad de la red.

#4. Implementación de la Política

Crea un cronograma detallado que describa las fases e hitos de la implementación de la nueva política. Establece plazos específicos para cada fase para garantizar un enfoque estructurado y organizado.

Asigna tareas y responsabilidades a las personas o equipos involucrados en la implementación. Define claramente quién es responsable de qué aspecto del plan para garantizar la rendición de cuentas.

Realiza implementaciones a pequeña escala antes de la implementación a gran escala. Estos programas piloto permiten a una organización:

• Evitar interrumpir excesivamente los flujos de trabajo y procesos existentes.
• Identificar y abordar desafíos imprevistos.
• Asegurar que cada nueva función y herramienta funcione según lo esperado.
• Recopilar comentarios antes de un despliegue más amplio.

Si es necesario, ajusta la política en función de los comentarios recibidos durante las implementaciones piloto. Además, organiza una capacitación de concientización sobre seguridad para los empleados para garantizar que todos comprendan cómo cumplir con la nueva política.

Una política de seguridad de red debe ser un documento dinámico que evoluciona con las necesidades de TI y el panorama de amenazas cambiante. Revisa y actualiza la política periódicamente para garantizar su relevancia y eficacia.

Sé Proactivo con tu Estrategia de Seguridad de Red

No tener una política de seguridad de red significa que las empresas se vuelven demasiado reactivas en sus defensas cibernéticas. Las organizaciones solo consideran las mejoras de seguridad después de los incidentes, que los equipos suelen detener hacia el final de la cadena de ataque cibernético. Evita esta mentalidad arriesgada y comienza a crear políticas que garanticen que tu empresa esté preparada para las amenazas basadas en la red.