Seguridad de la Información para Empleados: Lo Que Toda Empresa Debe Reforzar para Proteger Sus Datos bajo ISO/IEC 27001
Informe Ejecutivo
La información es uno de los activos más importantes de toda organización. En ella se encuentran datos de clientes, empleados, proveedores, operaciones, procesos internos, documentos financieros, información tributaria, archivos laborales, contratos, accesos digitales y comunicaciones empresariales.
Por esta razón, la seguridad de la información no es una responsabilidad exclusiva del área de sistemas. También involucra a cada colaborador que usa correos electrónicos, computadores, carpetas digitales, documentos físicos, plataformas, contraseñas o canales de comunicación empresarial.
La norma ISO/IEC 27001:2022 establece los requisitos para implementar, mantener y mejorar un Sistema de Gestión de Seguridad de la Información —SGSI—, orientado a proteger la información frente a riesgos como accesos no autorizados, pérdida de datos, fuga de información, errores humanos, ataques informáticos o fallas en los sistemas.
En términos prácticos, esta circular busca reforzar las conductas mínimas que deben observar los colaboradores para proteger la información de la empresa, reducir riesgos operativos y fortalecer la cultura interna de seguridad.
Informe Técnico
Qué Es la Seguridad de la Información
La seguridad de la información comprende el conjunto de políticas, procedimientos, controles y buenas prácticas orientadas a proteger la información de una organización, sin importar si se encuentra en medios físicos, digitales, correos electrónicos, plataformas, archivos, dispositivos o documentos impresos.
Su objetivo principal es garantizar tres principios esenciales:
Principio | Significado Práctico |
Confidencialidad | Que la información solo sea conocida por personas autorizadas. |
Integridad | Que la información sea exacta, completa y no sea modificada indebidamente. |
Disponibilidad | Que la información esté accesible cuando se necesite para la operación. |
Estos principios permiten que la empresa conserve el control sobre sus datos, reduzca riesgos de pérdida o divulgación indebida y fortalezca la confianza de clientes, proveedores, empleados y terceros.
Qué Es la Norma ISO/IEC 27001
La ISO/IEC 27001:2022 es una norma internacional de referencia para la gestión de la seguridad de la información. Su enfoque se basa en la identificación de riesgos, la definición de controles, la asignación de responsabilidades y la mejora continua del sistema de gestión.
Esta norma no se limita a asuntos tecnológicos. También comprende procesos administrativos, talento humano, proveedores, documentos físicos, gestión de accesos, uso de correos, respaldo de información, manejo de incidentes, seguridad en oficinas y comportamiento de los colaboradores.
Por ello, su implementación requiere una cultura organizacional en la que cada persona entienda que proteger la información hace parte de sus responsabilidades laborales.
Para Qué Sirve en la Empresa
La aplicación de buenas prácticas de seguridad de la información permite a la empresa:
Proteger datos personales, comerciales, laborales, financieros y operativos.
Reducir riesgos de pérdida, robo, alteración o divulgación indebida de información.
Controlar el acceso a sistemas, carpetas, correos, plataformas y documentos.
Prevenir fraudes, suplantaciones, fugas de información y ataques informáticos.
Definir responsabilidades claras sobre el uso de la información.
Fortalecer la confianza frente a clientes, auditorías, aliados y entes de control.
Mejorar la continuidad de la operación ante incidentes o fallas tecnológicas.
Controles del Anexo A de ISO/IEC 27001:2022
La versión ISO/IEC 27001:2022 contempla controles de referencia en su Anexo A, agrupados en cuatro categorías: organizacionales, personas, físicos y tecnológicos. La selección de estos controles depende de los riesgos identificados por cada organización.
Grupo de Controles | Ejemplos Prácticos |
Organizacionales | Políticas internas, gestión de proveedores, clasificación de información y manejo de incidentes. |
Personas | Capacitación, acuerdos de confidencialidad, responsabilidades del personal y trabajo remoto. |
Físicos | Control de acceso a oficinas, protección de equipos, archivo seguro y escritorio limpio. |
Tecnológicos | Contraseñas, autenticación segura, copias de seguridad, antivirus, cifrado y seguridad de redes. |
Esto significa que la seguridad de la información no depende únicamente de herramientas tecnológicas. También depende de hábitos, disciplina, controles internos y reporte oportuno de situaciones sospechosas.
Responsabilidades de los Colaboradores
Todo colaborador que tenga acceso a información de la empresa debe actuar con responsabilidad, reserva y diligencia. Esto incluye el uso adecuado de equipos, documentos, correos electrónicos, plataformas, archivos digitales, credenciales de acceso y canales de comunicación.
En especial, cada colaborador debe:
Usar la información únicamente para fines laborales autorizados.
Proteger sus usuarios, claves y credenciales de acceso.
Evitar compartir información interna con personas no autorizadas.
Reportar oportunamente cualquier incidente o situación sospechosa.
Cumplir las políticas, procedimientos e instrucciones internas sobre manejo de información.
Conservar la confidencialidad de los datos conocidos en desarrollo de sus funciones.
Buenas Prácticas Obligatorias en el Manejo de Información
Para fortalecer la seguridad de la información, los colaboradores deberán observar las siguientes buenas prácticas:
No Compartir Contraseñas
Las claves de acceso son personales e intransferibles. No deben compartirse con compañeros, terceros, familiares, proveedores ni personal externo.
Bloquear el Equipo al Ausentarse
Cuando el colaborador se retire de su puesto de trabajo, incluso por pocos minutos, debe bloquear el computador o dispositivo asignado.
No Abrir Enlaces o Archivos Sospechosos
No deben abrirse enlaces, archivos adjuntos o mensajes sospechosos recibidos por correo electrónico, WhatsApp, redes sociales u otros canales.
Usar Correos Institucionales
La información laboral debe enviarse y recibirse mediante los canales autorizados por la empresa. Se debe evitar el uso de correos personales para asuntos institucionales.
No Instalar Software No Autorizado
Los equipos corporativos no deben utilizarse para instalar programas, aplicaciones o extensiones sin autorización previa.
Guardar Información en Ubicaciones Autorizadas
Los documentos y archivos de trabajo deben almacenarse en carpetas, servidores, nubes o sistemas definidos por la empresa. No deben guardarse en dispositivos personales sin autorización.
Proteger Documentos Físicos
Los documentos con información sensible no deben dejarse visibles en escritorios, salas de reunión, impresoras, archivadores abiertos o zonas comunes.
Evitar Impresiones Innecesarias
La impresión de documentos confidenciales debe limitarse a los casos estrictamente necesarios y manejarse con custodia adecuada.
Reportar Incidentes de Forma Inmediata
La pérdida de equipos, accesos indebidos, correos sospechosos, fuga de información, errores en envíos o posibles ataques informáticos deben reportarse de manera inmediata al responsable interno designado.
Mantener Reserva Sobre la Información
La información conocida por razón del cargo no debe divulgarse por conversaciones informales, redes sociales, chats personales, terceros no autorizados o espacios públicos.
Riesgos de un Manejo Inadecuado de la Información
El incumplimiento de las buenas prácticas de seguridad puede generar riesgos relevantes para la empresa, entre ellos:
Pérdida o alteración de información crítica.
Divulgación no autorizada de datos personales o empresariales.
Afectación de la confianza de clientes, proveedores y aliados.
Interrupción de procesos internos.
Fraudes, suplantaciones o accesos indebidos.
Daños reputacionales.
Posibles consecuencias contractuales, laborales, administrativas o legales, según la gravedad del caso.
Por esta razón, la seguridad de la información debe entenderse como una responsabilidad compartida y permanente.
Recomendaciones Finales
NBA Asesores S.A.S. recomienda que las empresas fortalezcan sus políticas internas de seguridad de la información mediante acciones simples, claras y verificables.
Entre ellas:
Definir responsables internos para la gestión de incidentes.
Capacitar periódicamente al personal.
Documentar políticas de uso de información, correos, equipos y contraseñas.
Revisar accesos a plataformas y carpetas compartidas.
Establecer protocolos para trabajo remoto.
Implementar controles sobre proveedores con acceso a información.
Realizar copias de seguridad y pruebas de recuperación.
Promover una cultura de reporte oportuno y prevención.
La protección de la información no depende únicamente de la tecnología.
Depende también del compromiso de las personas, de la claridad de los procesos y de la capacidad de la empresa para anticipar, gestionar y corregir riesgos.
NBA Asesores S.A.S. acompaña a las organizaciones en la interpretación, implementación y fortalecimiento de buenas prácticas empresariales que permitan proteger sus activos de información y tomar decisiones con mayor seguridad.
Cordialmente,
NBA Asesores S.A.S.
Somos compañía para tu compañía.
Comentarios