Convierte las políticas en directrices que la gente realmente siga

A los equipos de seguridad y cumplimiento de las normativas les resulta cada vez más difícil estar al día con la gestión de políticas. Actualmente, las políticas abarcan la seguridad de la información, la protección de datos, el uso aceptable, el teletrabajo, la gobernanza de la IA y los procedimientos internos. Cada una de ellas debe llegar a las personas adecuadas, entenderse en términos sencillos y ser fácil de demostrar más adelante.

Eso solo funciona cuando los empleados saben lo que la política significa en la práctica.

Muchas organizaciones todavía siguen la misma rutina: redactar el documento, obtener la aprobación, subirlo a la intranet, enviar un correo electrónico y hacer un seguimiento cuando faltan confirmaciones de lectura. Eso crea un registro de que la política se compartió, pero no muestra si la gente la entendió.

Cualquiera que haya subido un documento de política largo a la intranet y enviado un email a toda la empresa conoce el problema. La distribución es fácil. Hacer que el contenido se retenga es mucho más difícil.

En SoSafe Live | In Action – Securing The AI Workplace, Harry Jeyarajah, responsable de Ingeniería de soluciones, señaló que la empresa media gestiona de 50 a 150 políticas, lo que dificulta mantener la coherencia en la comunicación, las confirmaciones y la elaboración de informes entre los empleados.

Es posible que los empleados sepan que existe una política y aun así no estén seguros de lo que significa durante una jornada laboral normal.

Esa brecha crece cuando el trabajo cambia rápidamente. En la Guía de defensa adaptativa de SoSafe, la organización media tarda 19 días en actualizar su defensa humana, mientras que las amenazas impulsadas por la IA pueden cambiar en segundos. Esa misma presión puede aparecer en el trabajo con las políticas. Una norma puede aprobarse rápidamente. Explicarla, localizarla, distribuirla y recopilar pruebas puede llevar semanas.

Al mismo tiempo, muchas organizaciones actualizan las políticas cinco o seis veces al año para mantenerse al día con los cambios normativos y operativos.

Las políticas de IA son un buen ejemplo de por qué esto es importante. La Ley de IA de la UE ha hecho que la alfabetización en IA y su gobernanza ocupen un lugar más destacado en la agenda, por lo que las organizaciones necesitan que los empleados entiendan dónde se pueden usar las herramientas de IA, qué datos deben permanecer fuera de ellas y cuándo se necesita una revisión humana.

El mismo principio se aplica a todas las políticas que se espera que los empleados sigan. Una política funciona mejor cuando la gente puede entenderla, recordarla y usarla en el momento adecuado.

Por qué la confirmación de lectura de la política es solo el primer paso

La confirmación de lectura es útil. Proporciona a los equipos un registro de que una política fue enviada, recibida y confirmada.

También es fácil sobrestimar lo que demuestra ese registro.

Un empleado puede confirmar que ha leído un documento de diez páginas y aun así olvidar los detalles dos semanas después. Puede que sepa que existe una política de teletrabajo, pero que dude si se permite el uso de un dispositivo personal. Puede que recuerde que existe una política de uso aceptable, pero que no sepa seguro qué herramientas están aprobadas. Puede que confirme la lectura de la política de IA y aun así pegue información confidencial en una herramienta pública porque la norma no estaba clara cuando la necesitaba.

La mayoría de los empleados intentan trabajar de manera eficiente y tomar la decisión correcta. Necesitan orientación que se ajuste a la tarea que tienen entre manos.

Este es también un problema de formación más amplio. La Guía de defensa adaptativa de SoSafe concluyó que el 38 % de los responsables de seguridad dicen que su formación en ciberseguridad actual es demasiado genérica para los flujos de trabajo reales de los empleados. El mismo punto débil aparece en la comunicación de las políticas. El lenguaje genérico puede satisfacer un requisito documental, pero a menudo deja a los empleados sin un siguiente paso claro cuando lo necesitan.

Integrar las actualizaciones de políticas en el flujo de trabajo

Policy Management en SoSafe ayuda a los equipos a cerrar la primera parte de la brecha: distribución, confirmación de lectura y pruebas.

En lugar de enviar las actualizaciones de las políticas mediante correos electrónicos y hojas de cálculo dispersos, los equipos pueden enviarlas directamente a los empleados en las herramientas que ya utilizan, como Microsoft Teams y Slack. También pueden dirigirse a grupos específicos como departamentos, teletrabajadores, ubicaciones o personas con determinados roles.

Gracias a la función de traducción integrada, cada persona recibe las políticas en su idioma preferido. Las confirmaciones de lectura se registran de forma centralizada en el panel de métricas de SoSafe. Luego, los equipos pueden exportar informes preparados para auditorías cuando necesiten pruebas.

Los empleados solo tienen que leer la política y confirmar que la han entendido. Para los administradores, el trabajo resulta más fácil de gestionar. Pueden ver las tasas de confirmación de lectura en tiempo real, detectar lagunas y descargar un desglose detallado cuando los auditores pidan pruebas.

Eso reduce la necesidad de pedir confirmaciones y proporciona a los equipos una forma más limpia de gestionar la comunicación de las políticas en toda la organización.

Hacer que el cumplimiento de las políticas sea más fácil de demostrar

Policy Management no elimina la responsabilidad. Los equipos todavía tienen que aprobar la política, decidir quién debe recibirla y asegurarse de que el mensaje sea claro.

Sí que reduce el trabajo manual necesario entre la aprobación y la presentación de pruebas.

Con Policy Management, las organizaciones pueden:

• Enviar actualizaciones de políticas a través de los canales de trabajo habituales.
• Dirigirse a los grupos de empleados adecuados.
• Traducir a varios idiomas para los equipos globales.
• Realizar un seguimiento centralizado de las confirmaciones de lectura.
• Exportar pruebas preparadas para auditorías cuando sea necesario.

El trabajo con las políticas no debería terminar con un PDF en una intranet. Debería ayudar a las personas a tomar mejores decisiones cuando una política es realmente aplicable.

Para los equipos de seguridad y cumplimiento de las normativas, eso significa menos tiempo pidiendo confirmaciones y preparando pruebas manualmente. Para los empleados, significa que las políticas les llegan a través de las herramientas que ya utilizan. Para la organización, las políticas tienen una mayor probabilidad de moldear el comportamiento diario.

Envía las actualizaciones de las políticas allí donde trabajan los empleados y proporciona a tu equipo pruebas preparadas para auditorías sin tener que pedir una confirmación de forma manual.