Los cuatro tipos
- Política: lo que debe ocurrir y por qué. Corta, estable, aprobada por la dirección.
- Estándar: la regla concreta y medible, como una longitud mínima de contraseña.
- Procedimiento: cómo hacerlo, paso a paso, y quién hace cada paso.
- Guía: un consejo de buena práctica, no obligatorio.
Cómo saber dónde va cada cosa
- Si cambia cuando cambia una herramienta, no va en una política.
- Si dice quién hace qué y en qué orden, es un procedimiento.
- Si no hacerlo puede hacerle suspender una auditoría, no debería ser una guía.
- Si dos documentos dicen lo mismo, uno acabará siendo erróneo: manténgalo en uno solo y remita a él.
Quién aprueba qué
La dirección aprueba las políticas. Los responsables de proceso suelen aprobar los procedimientos y los estándares. Cada documento lleva su responsable, su versión, su fecha de aprobación y la fecha de su próxima revisión.
Preguntas
- ¿Exige la ISO 27001 procedimientos?
- Exige información documentada donde la norma lo indica y donde usted lo considere necesario. El control 5.37 del anexo A pide procedimientos operativos documentados.
- ¿Puede un documento contener la política y el procedimiento?
- En una empresa pequeña, sí. Pero manténgalos en partes separadas: las reglas cambian menos que los pasos.