Documentos y políticas

La política de seguridad de la información de casi cualquier organización existe tres veces: una versión en el disco de quien la escribió, otra en un correo de hace dos años y una tercera en la carpeta compartida, sin que nadie sepa cuál rige. Cuando llega una fiscalización, la pregunta no es si tienes la política, sino cuál es la vigente, quién la aprobó y cuándo.

Documentos (/documents, en la sección Operaciones) es el repositorio que responde eso. No es una carpeta de archivos: es un registro versionado con flujo de aprobación.

Un documento, muchas versiones

Cada documento tiene una identidad estable —su nombre, su ID de referencia, su tipo y su dominio— y debajo una cadena de versiones numeradas. Los tipos disponibles cubren lo que un sistema de gestión suele exigir: políticas, procedimientos, cartas o estatutos, registros, actas de reunión y una categoría abierta. También puedes asignarle una clasificación, para dejar claro qué documentos son de circulación restringida.

Cada versión puede venir de tres orígenes distintos, y esto es útil saberlo antes de empezar:

Redactada en la plataforma, escribiendo el contenido directamente. Es el modo que permite versionar el texto, ver el historial de ediciones y comparar.
Subida como archivo, cuando el documento ya existe y vive en otro formato.
Enlazada, cuando el documento oficial vive en otro sistema y lo que necesitas es dejar constancia de dónde está y de que lo tienes controlado.

El flujo de aprobación

Una versión recorre estados en un orden que reproduce cómo se aprueba un documento en la vida real:

Borrador. El autor escribe. Solo puede existir un borrador a la vez por documento, lo que evita el clásico problema de dos personas editando ramas paralelas del mismo texto.
En revisión. El borrador se manda a un revisor designado.
Cambios solicitados, si el revisor devuelve observaciones. Sus comentarios quedan registrados en la versión, no en un correo aparte.
Validada, cuando el revisor la aprueba con Validar. Está aprobada pero todavía no rige.
Publicada, con Publicar. Aquí ocurre lo importante: la versión pasa a ser la vigente, se registra la fecha de publicación y la versión publicada anterior queda automáticamente obsoleta. En todo momento hay una sola versión vigente, y el histórico completo sigue disponible.

Cada versión guarda además quién la escribió, quién la revisó y un resumen del cambio, que es lo que permite responder “¿qué cambió entre la v3 y la v4?” sin abrir los dos textos en paralelo.

Los documentos redactados en la plataforma admiten imágenes y archivos adjuntos para incrustar en el texto, y pueden enlazarse entre sí: si tu procedimiento de gestión de incidentes cita la política de seguridad, ese vínculo queda registrado y puedes ver qué documentos dependen de cuál.

Documentos y Políticas no son lo mismo

En el menú vas a ver dos pantallas que suenan parecidas, y conviene no confundirlas.

Documentos (/documents) es el texto: el archivo, sus versiones, su aprobación, su vigencia.

Políticas (/policies, en la sección Gobernanza) es el compromiso de gestión: la política entendida como una medida que tu organización implementa y mantiene. Por eso una política se comporta como un control aplicado —tiene estado, titular, fechas y evidencias— y aparece en el plan de acción junto al resto de las medidas.

La forma sana de usarlas juntas es directa: la política vive como compromiso en Políticas, con su responsable y su fecha de revisión, y el documento que la contiene vive en Documentos, con sus versiones. Los dos objetos se vinculan entre sí, y desde el documento puedes ver a qué políticas, controles aplicados, tareas y actividades de tratamiento está asociado.

En Generadora Cordillera Carolina Prat publica la Política de Seguridad de la Información v2.0 en Documentos, con Marco Zúñiga como revisor y la fecha de aprobación del comité. En Políticas queda el compromiso correspondiente, con Carolina como titular y revisión anual, vinculado a los requisitos de la Ley 21.663 y de ISO 27001 que satisface. Cuando en marzo alguien pregunte “¿esta política está vigente?”, la respuesta está en un solo lugar.

Plantillas

Para no partir de una hoja en blanco, Plantillas de documento (/document-templates, en la sección Catalogar) contiene esqueletos reutilizables por tipo de documento, que puedes usar como base y ajustar. También puedes guardar las tuyas.

El puente: no lo escribas tú

Redactar desde cero una política de seguridad, un procedimiento de gestión de incidentes o un procedimiento de atención de derechos de titulares es semanas de trabajo, y el resultado suele ser una plantilla genérica con el nombre de tu empresa reemplazado.

Cyber Concierge hace ese trabajo con los datos de tu organización. Documentación de cumplimiento recorre los documentos que debes tener y los redacta uno por uno. Redactar una política te dice qué políticas te exige tu marco, cuáles te faltan y redacta la que elijas. Redactar un procedimiento hace lo propio a partir de cómo operas hoy: quién hace qué, en qué plazo y dónde queda el registro. Lo que producen entra a este mismo repositorio, con su versión y su flujo de aprobación — la revisión humana sigue siendo tuya.

Ese camino está explicado en Documentación asistida.