Sin embargo, muchas empresas cometen el error de copiar modelos genéricos o traducir documentos internacionales sin adaptarlos a su realidad. En este artículo te mostraremos cómo crear políticas eficaces, alineadas a la ISO 27001 y a los requisitos de la ley chilena, con ejemplos concretos y buenas prácticas.
📚 ¿Qué exige la Ley Marco respecto a las políticas internas?
De acuerdo con el artículo 13 y concordantes de la ley, las empresas clasificadas como operadores de servicios esenciales o infraestructura crítica deben implementar políticas internas que:
- Definan responsabilidades, jerarquías y roles de seguridad.
- Establezcan procedimientos para la gestión de incidentes.
- Incluyan medidas preventivas y correctivas frente a riesgos.
- Contemplen la capacitación continua del personal.
- Regulen la relación con proveedores y terceros.
- Sean revisadas y actualizadas periódicamente.
Estas políticas deben estar formalmente aprobadas por la alta dirección y ser conocidas por todo el personal. En otras palabras, no basta con tenerlas redactadas: deben estar integradas en la cultura organizacional.
🧩 Relación entre la Ley Marco y la ISO 27001
La norma ISO 27001 es el marco técnico que traduce los principios de la ley en controles medibles y auditables. Implementar un Sistema de Gestión de Seguridad de la Información (SGSI) bajo esta norma permite:
- Crear políticas y procedimientos coherentes y verificables.
- Asignar responsabilidades formales (como el rol del CISO o encargado de SGSI).
- Demostrar cumplimiento ante auditorías o fiscalizaciones de la ANCI.
- Reducir el riesgo de multas y sanciones.
👉 Si tu empresa busca cumplir con la ley de manera práctica, conoce nuestro Plan ISO 27001 Ágil, diseñado para lograr resultados rápidos sin burocracia.
⚙️ Pasos para implementar políticas internas efectivas
1. Diagnostica tu situación actual
Antes de escribir cualquier política, debes conocer tu punto de partida. Un Diagnóstico de Cumplimiento Ley de Ciberseguridad te ayudará a identificar brechas y priorizar temas críticos: acceso, continuidad, tratamiento de incidentes, proveedores, etc.
2. Define un marco de políticas y responsables
Establece un marco documental jerárquico que agrupe todas tus políticas. Por ejemplo:
- Política general de seguridad de la información
- Política de control de accesos
- Política de uso aceptable de tecnologías
- Política de continuidad operacional (ISO 22301)
- Política de respuesta a incidentes
- Política de gestión de proveedores
- Política de capacitación y concienciación
Cada política debe tener un responsable designado y mecanismos de revisión anual o tras incidentes relevantes.
3. Involucra a las áreas críticas del negocio
Evita que la seguridad sea un tema exclusivo del área TI. Involucra a operaciones, recursos humanos, finanzas y comunicaciones. La ciberseguridad es transversal, y su éxito depende del compromiso organizacional.
4. Alinea las políticas con tus contratos y proveedores
La Ley Marco establece responsabilidad compartida entre las empresas críticas y sus proveedores o subcontratistas. Asegúrate de incluir cláusulas de seguridad, acuerdos de confidencialidad y requisitos de cumplimiento normativo en tus contratos.
📘 Descubre más sobre este tema en nuestro eBook gratuito “La Ciberseguridad como Requisito”, donde analizamos cómo la ISO 27001 se ha convertido en el nuevo estándar para los proveedores de servicios esenciales.
5. Capacita y sensibiliza al personal
Una política solo es efectiva si las personas la conocen y la aplican. La Ley Marco exige programas continuos de formación. Puedes iniciar con nuestro Curso gratuito de Phishing Básico con certificación, ideal para generar conciencia inicial en todos los niveles.
6. Registra, audita y mejora
Establece mecanismos de seguimiento: auditorías internas, revisiones documentales y simulacros de incidentes. Todo debe quedar documentado como evidencia ante posibles inspecciones de la ANCI o auditorías externas.
👉 Nuestro servicio de Auditorías Externas ISO 27001 te permite validar tus políticas y detectar oportunidades de mejora antes de una fiscalización formal.
🔐 Ejemplo: estructura de una Política de Seguridad de la Información
Un formato práctico podría incluir los siguientes apartados:
- Propósito: establecer los lineamientos generales de protección de la información.
- Alcance: sistemas, procesos, personas y terceros incluidos.
- Objetivos: garantizar confidencialidad, integridad y disponibilidad.
- Roles y responsabilidades: directorio, CISO, usuarios.
- Controles y procedimientos aplicables: accesos, respaldo, clasificación, incidentes.
- Vigencia y revisión: periodicidad, versión, fecha y responsable de actualización.
Si lo implementas dentro de un SGSI ISO 27001, esta política será parte de tu sistema documentado y demostrable.
🚀 Beneficios de contar con políticas alineadas a la ley
- Evitas sanciones y multas por incumplimiento (ver artículo).
- Generas confianza con clientes y organismos reguladores.
- Facilitas la obtención de la certificación ISO 27001.
- Demuestras compromiso de la alta dirección con la seguridad.
- Reduces la probabilidad y el impacto de incidentes cibernéticos.
🏁 Conclusión
Las políticas internas son el corazón del cumplimiento de la Ley Marco de Ciberseguridad. No son un trámite burocrático: son el reflejo de la madurez digital de tu organización. Una empresa que define, comunica y controla sus políticas está preparada para proteger su negocio, cumplir con la ley y mantener la confianza de sus clientes.
👉 Da el primer paso hoy con un Diagnóstico de Cumplimiento o conoce nuestro Plan ISO 27001 Ágil para implementar tus políticas de forma rápida y efectiva.