no tenemos una política de seguridad formal, ¿puedo responder sí al cuestionario de todos modos

No, no sin un documento que muestre la política

No, no se puede marcar "sí" aquí, ni siquiera si la práctica está en gran medida en orden. La pregunta sobre política de seguridad no pregunta si trabajan de forma segura, sino si está documentado: un documento en el que conste quién es responsable de qué, qué medidas se aplican y con qué frecuencia se revisa. Sin un documento así no hay nada que mostrar si el cliente pregunta más o un auditor lo solicita. Supplia no sugiere un sí si el expediente de la cadena no tiene un archivo de origen — y esto se aplica íntegramente aquí, aunque la pregunta en sí sea reconocible para un usuario experimentado.

Lo que por lo general sí funciona: "sí, informal" o "no, en desarrollo" con una breve explicación, más una referencia a lo que realmente está documentado — una política de acceso, un procedimiento de incidentes, un contrato con proveedores que incluya requisitos de seguridad. Muchos clientes valoran esa honestidad más que un "sí" que no aguanta la verificación. Si hay algo documentado pero no un único documento central, a menudo es más sólido referirse a los elementos individuales: la política de acceso y gestión de activos empresariales, el procedimiento para incidentes de seguridad, y la política sobre vulnerabilidades. Juntos suelen formar ya el núcleo de lo que realmente pregunta la cuestión, aunque no se llame "política de seguridad".

Dónde resulta de las diez medidas

La política para el análisis de riesgos y la seguridad de la información es la primera de las diez medidas del artículo 21, apartado 2, de la Directiva NIS2 (Directiva (UE) 2022/2555) — véase también lo que un cliente entiende por análisis de riesgos. Quién está sujeto a la Ley de ciberseguridad debe poder demostrarlo en cuanto entre en vigor la ley. ISO/IEC 27001 también exige en el Anexo A una política documentada como medida de control independiente, independientemente de que la propia empresa esté certificada.