Una política de uso aceptable de tecnología es mucho más que un documento que los empleados deben leer y firmar. Bien diseñada, establece reglas claras sobre cómo utilizar computadoras, correo electrónico, Internet, dispositivos móviles, aplicaciones, servicios cloud y otros recursos tecnológicos de la organización.
El desafío está en conseguir que los trabajadores no perciban la política como una lista interminable de prohibiciones. Una política demasiado extensa, técnica o ambigua puede terminar almacenada en una carpeta que nadie consulta. En cambio, un documento claro y práctico puede convertirse en una herramienta para reducir riesgos y fortalecer la cultura de ciberseguridad empresarial.
El Center for Internet Security (CIS), en su plantilla de Política de Uso Aceptable alineada con CIS Controls v8.1, señala que estas políticas deben ser fáciles de entender y seguir para usuarios independientemente de su nivel técnico, y que deben actualizarse y aplicarse regularmente.
¿Qué es una política de uso aceptable?
La Política de Uso Aceptable (AUP, por sus siglas en inglés) define qué pueden y qué no pueden hacer los usuarios con los activos tecnológicos y la información de una empresa.
Puede abarcar equipos corporativos, redes, aplicaciones, cuentas de correo, dispositivos móviles, servicios en la nube, almacenamiento de información, sistemas corporativos y acceso remoto.
El objetivo no debe ser controlar cada acción del empleado, sino establecer expectativas claras que permitan utilizar la tecnología de manera segura, responsable y coherente con las necesidades del negocio.
CIS recomienda considerar aspectos como el uso permitido de los activos empresariales, el tratamiento de la información y las condiciones para transmitir datos a terceros.
1. Escribir para el usuario, no para el área de TI
El primer principio para crear una política efectiva es utilizar un lenguaje que todos puedan comprender.
Frases como “se prohíbe realizar conexiones no autorizadas a activos de infraestructura mediante protocolos inseguros” pueden ser técnicamente correctas, pero difíciles de interpretar para un empleado que no pertenece al área tecnológica.
Es preferible explicar directamente la conducta esperada:
“No conectes dispositivos personales a la red corporativa sin autorización del área de TI.”
Una buena política responde rápidamente a tres preguntas: qué está permitido, qué está prohibido y qué debe hacer el empleado cuando tenga dudas.
2. Explicar el propósito de la política
El documento debe comenzar explicando por qué existe.
Los empleados son más propensos a respetar una regla cuando comprenden qué riesgo ayuda a reducir. Por ejemplo, restringir la instalación de software no autorizado no busca dificultar el trabajo, sino evitar aplicaciones vulnerables o maliciosas.
NIST reconoce que las políticas de seguridad permiten establecer expectativas claras sobre cómo deben utilizarse y protegerse los recursos de información de una organización.
Por ello, la introducción puede explicar que la finalidad es proteger información, sistemas, clientes, empleados y continuidad operativa.
3. Definir claramente los recursos cubiertos
Una política de uso aceptable debe especificar qué activos están incluidos.
Por ejemplo:
- Computadoras y laptops corporativas.
- Teléfonos y tablets administrados por la empresa.
- Correo electrónico corporativo.
- Redes Wi-Fi y VPN.
- Aplicaciones empresariales.
- Servicios cloud.
- Sistemas de almacenamiento.
- Plataformas de colaboración.
- Información corporativa.
Esto evita que un empleado interprete que una regla aplica únicamente a su computadora cuando también debería cumplirla al utilizar una aplicación SaaS o un dispositivo móvil corporativo.
La gestión de estos activos también debe estar respaldada por un inventario actualizado. CIS Control 1 establece la importancia de conocer los activos empresariales que pueden conectarse a la infraestructura, incluidos dispositivos físicos, virtuales, remotos y cloud.
4. Establecer reglas prácticas y específicas
Una política efectiva debe centrarse en comportamientos observables.
Algunos ejemplos son:
- Correo electrónico: no abrir archivos inesperados ni proporcionar credenciales mediante enlaces recibidos por mensajes sospechosos.
- Contraseñas: no compartir credenciales ni reutilizar contraseñas corporativas en servicios personales.
- Software: no instalar aplicaciones sin autorización cuando la política corporativa lo prohíba.
- Información: no almacenar documentos confidenciales en servicios personales de almacenamiento.
- Dispositivos: reportar inmediatamente la pérdida o robo de un equipo corporativo.
- Internet: evitar actividades que puedan introducir malware o poner en riesgo los sistemas empresariales.
La especificidad facilita el cumplimiento porque el trabajador sabe exactamente qué comportamiento se espera de él.
5. Incluir el uso de dispositivos personales y trabajo remoto
El entorno laboral actual puede incluir teletrabajo, dispositivos móviles, aplicaciones cloud y acceso desde diferentes ubicaciones.
Por eso, la política debe explicar qué ocurre cuando los empleados utilizan BYOD (Bring Your Own Device) o acceden a recursos corporativos desde equipos personales.
Debe establecerse, entre otros aspectos, cuándo está permitido el acceso, qué controles de seguridad son obligatorios, cómo deben protegerse los dispositivos y qué información puede almacenarse localmente.
La política debe adaptarse a la realidad tecnológica de la empresa en lugar de basarse en un escenario exclusivamente presencial.
6. Regular las herramientas de inteligencia artificial
Las organizaciones también deberían considerar el uso empresarial de herramientas de inteligencia artificial generativa.
Los empleados pueden introducir información confidencial en herramientas externas sin comprender que podrían estar exponiendo datos corporativos.
Una política moderna puede establecer qué tipos de información nunca deben introducirse en servicios de IA no autorizados, qué herramientas están aprobadas y cuándo es obligatorio revisar los resultados generados antes de utilizarlos.
Este apartado debe actualizarse conforme evolucione la tecnología y la estrategia de la organización.
7. Explicar cómo reportar incidentes
Una de las secciones más importantes es la relacionada con el reporte.
El empleado debe saber exactamente qué hacer cuando detecta un correo sospechoso, pierde un dispositivo, identifica malware, comparte información por error o sospecha que sus credenciales fueron comprometidas.
Por ejemplo:
“Si crees que has cometido un error de seguridad, comunícalo inmediatamente al área de TI o mediante el canal establecido. No intentes ocultarlo ni eliminar evidencias.”
NIST recomienda capacitar a los usuarios para reconocer ingeniería social y otros ataques, reportar actividad sospechosa y cumplir las políticas de uso aceptable.
La rapidez del reporte puede ser decisiva para contener un incidente.
8. Establecer responsabilidades y consecuencias
La política debe explicar quién es responsable de su cumplimiento y qué ocurre cuando se incumple.
Las consecuencias deben estar redactadas de forma clara y ser coherentes con las políticas internas, contratos laborales y legislación aplicable.
También es importante aclarar que la aplicación de las reglas debe ser consistente. Una política que se exige a unos empleados, pero se ignora para otros pierde credibilidad rápidamente.
9. Obtener aceptación y capacitar al personal
La publicación del documento no significa que el problema esté resuelto.
Los empleados deben conocer la política, comprender sus responsabilidades y tener la posibilidad de consultar dudas. CIS señala que normalmente los usuarios deben leer, confirmar su comprensión y firmar antes de recibir acceso a activos y datos empresariales.
Además, la política debe complementarse con concientización en ciberseguridad, simulaciones y recordatorios periódicos.
10. Revisarla y actualizarla
La tecnología cambia y los riesgos también.
La política debería revisarse cuando se incorporen nuevas tecnologías, servicios cloud, modalidades de trabajo, herramientas de IA o cambios importantes en los procesos de negocio.
NIST ha señalado que las políticas y procedimientos deben mantenerse accesibles y revisarse periódicamente, especialmente cuando existen cambios en la organización o en la tecnología.
Una política desactualizada puede ser tan problemática como no tener ninguna.
¿Cómo puede ayudar Pawa Peru?
Crear una política de uso aceptable de tecnología efectiva requiere comprender tanto los riesgos técnicos como la realidad operativa de los usuarios.
En Pawa Peru, ayudamos a las organizaciones a fortalecer su postura de ciberseguridad mediante soluciones y estrategias que integran personas, procesos y tecnología.
Una política bien redactada puede complementarse con herramientas de protección de endpoints, gestión de identidades y accesos, monitoreo, concientización, control de aplicaciones y otras capacidades de seguridad.
Para los dueños de empresas, gerentes de TI y oficiales de seguridad de la información, el objetivo debe ser conseguir que las reglas de seguridad sean comprensibles, aplicables y medibles.
Conclusión
Una buena política de uso aceptable de tecnología no debería parecer un documento legal imposible de entender. Debe convertirse en una guía práctica que explique a cada empleado cómo utilizar de manera segura los recursos tecnológicos de la organización.
La fórmula es sencilla: lenguaje claro, reglas específicas, responsabilidades definidas, mecanismos de reporte, capacitación y actualización continua.
Cuando los empleados entienden qué se espera de ellos y por qué esas reglas son importantes, aumenta la posibilidad de que las incorporen a sus actividades cotidianas.
La ciberseguridad empresarial no depende únicamente de las herramientas implementadas por TI. También depende de las decisiones que toman diariamente las personas que utilizan esas herramientas.
