La Política de Seguridad es la demostración de la Dirección sobre el propósito y compromiso de la seguridad de la información en la organización. La Política debería girar entorno a la criticidad de la información identificada en las anteriores tareas. La Política debería reflejar cuestiones como:

· ¿Por qué la información es importante y estratégica para la Organización?

· ¿Qué son los requisitos legales y de negocio para la seguridad de la información?

· ¿Cuáles son las obligaciones contractuales relativas a procesos de negocio, clientes, empleados, etc.?

· Qué pasos debe tomar la organización para garantizar la seguridad de la información

La política elaborada contendrá como mínimo:

· Una definición de la seguridad de la información y sus objetivos globales, el alcance de la seguridad y su importancia como mecanismo que permite compartir la información

· El establecimiento del objetivo de la Dirección como soporte de los objetivos y principios de la seguridad de la información

· Una breve explicación de las políticas, principios, normas y requisitos de conformidad más importantes para la Organización, por ejemplo:

1. Conformidad con los requisitos legislativos y contractuales

2. Requisitos de formación en seguridad

3. Prevención y detección de virus y otro software malicioso

4. Gestión de la continuidad del negocio

5. Consecuencias de las violaciones de la política de seguridad

6. Requisitos de uso de los Sistemas de Información como gestión de contraseñas, acceso a internet, uso de e-mail

7. Controles técnicos.
· Controles de cambio de software
· Controles de versión
· Seguridad de bases de datos
· Seguridad de redes y telecomunicaciones
· Seguridad de Sistemas operativos
· Seguridad de Firewalls
· Respuesta ante incidentes
· Seguridad de servidores web
· Seguridad de Intranet
· Seguridad de comercio electrónico
· Cifrado de datos

8. Controles establecidos sobre empresas externas o telebrabajo

· Una definición de las responsabilidades generales y específicas en materia de gestión de la seguridad de la información, incluida la comunicación de las incidencias de seguridad

· Las referencias a documentación que pueda sustentar la política como por ejemplo políticas y procedimientos mucho más detallados para Sistemas de Información específicos o las reglas de seguridad que los usuarios deberían cumplir

Procederá a asignarse un propietario responsable del mantenimiento y revisión de la política conforme a un proceso de revisión definido. Este proceso asegurará que la revisión responde a todo cambio que afecte a las bases de la evaluación original del riesgo como incidencias de seguridad significativas, nuevas vulnerabilidades y cambios organizativos o técnicos. Igualmente se definirán las revisiones periódicas de:

· La efectividad de la política (demostrada por el número e impacto de las incidencias de seguridad)
· El coste y el impacto de los controles en la eficiencia del negocio
· Los efectos de los cambios tecnológicos