Descripción: La política de gestión de contraseñas establece directrices para la creación, uso y almacenamiento de contraseñas seguras, con el fin de prevenir accesos no autorizados a cuentas y sistemas.

Directrices Específicas:

• Complexidad de Contraseñas: Las contraseñas deben ser lo suficientemente complejas, incluyendo una combinación de letras mayúsculas y minúsculas, números y caracteres especiales, y tener una longitud mínima de 12 caracteres.

• Cambio Regular de Contraseñas: Se debe exigir el cambio de contraseñas de forma regular (por ejemplo, cada 90 días) y evitar el uso de contraseñas reutilizadas.

• Uso de Gestores de Contraseñas: Promover el uso de gestores de contraseñas para almacenar y generar contraseñas seguras de manera que los usuarios no tengan que recordar múltiples contraseñas complejas.

• Autenticación de Dos Factores (2FA): Implementar la autenticación de dos factores siempre que sea posible para añadir una capa extra de seguridad.

• Educación y Concienciación: Capacitar a los usuarios sobre la importancia de las contraseñas seguras y cómo evitar prácticas inseguras, como compartir contraseñas o anotarlas en lugares no seguros.

2. Política de Protección contra Phishing

Descripción: La política de protección contra phishing tiene como objetivo educar a los usuarios y establecer mecanismos para identificar y mitigar los intentos de phishing, que buscan engañar a los usuarios para que revelen información sensible.

Directrices Específicas:

• Educación y Formación Continua: Proporcionar capacitación regular a los usuarios sobre cómo identificar correos electrónicos y mensajes de phishing, incluyendo características comunes como enlaces sospechosos, solicitudes urgentes de información personal y errores gramaticales.

• Simulaciones de Phishing: Realizar simulaciones de ataques de phishing para evaluar la preparación de los usuarios y reforzar las prácticas de identificación de amenazas.

• Uso de Filtros y Software de Seguridad: Implementar filtros de spam y software de seguridad que detecten y bloqueen correos electrónicos de phishing antes de que lleguen a la bandeja de entrada de los usuarios.

• Protocolo de Reporte de Incidentes: Establecer un protocolo claro para que los usuarios reporten intentos de phishing, incluyendo un punto de contacto específico dentro de la organización.

• Verificación de Enlaces y Emisores: Fomentar la práctica de verificar enlaces y la autenticidad de los emisores antes de hacer clic o proporcionar cualquier información sensible. Utilizar herramientas y extensiones de navegador que alerten sobre sitios web sospechosos.