Clasificación y Etiquetado de la Información
Niveles de clasificación, propietario de datos y políticas de manejo por nivel
¿Por qué clasificar la información?
No toda la información tiene el mismo valor ni el mismo riesgo. La clasificación permite aplicar los controles de seguridad proporcionales al valor de cada dato, evitando el sobrecoste de proteger igual todo, y asegurando que lo crítico tenga las protecciones adecuadas.
ISO/IEC 27001 requiere clasificación de activos de información. GDPR requiere identificar y proteger datos personales de forma diferenciada. PCI-DSS exige identificar y aislar el Cardholder Data Environment (CDE).
Niveles de Clasificación Típicos
Información que puede ser compartida libremente con cualquier persona, dentro y fuera de la organización.
Ejemplos típicos
Notas de prensa, página web pública, catálogos de productos, informes anuales.
Controles requeridos
Ningún control especial. Solo verificar que no se etiqueta incorrectamente información no pública.
Información de uso general dentro de la organización pero que no debe salir sin autorización.
Ejemplos típicos
Políticas internas, organigramas, procedimientos operativos, comunicaciones internas.
Controles requeridos
Compartir solo en canales corporativos. No enviar a emails personales. Cifrar si se transmite fuera de la red corporativa.
Información sensible cuya divulgación no autorizada podría causar daño significativo a la organización.
Ejemplos típicos
Datos de clientes, datos de empleados (RRHH), información financiera no publicada, contratos, código fuente, credenciales.
Controles requeridos
Acceso need-to-know. Cifrado en reposo y en tránsito. Registrar accesos. NDA para terceros. No enviar a servicios cloud no aprobados.
Información cuya divulgación podría causar daño grave o irreparable: pérdida de ventaja competitiva, daño regulatorio severo, riesgo para personas.
Ejemplos típicos
Datos de tarjetas de pago (CHD), datos de salud (PHI/HIPAA), secretos comerciales, claves criptográficas maestras, datos de investigaciones policiales.
Controles requeridos
Acceso mínimo privilegio estricto. Cifrado HSM. Auditoría completa de accesos. Sin backup en cloud no certificado. Revisión de acceso mensual.
Roles y Responsabilidades
Propietario del dato (Data Owner)
Responsable del negocio del dato. Decide la clasificación y quién tiene acceso. Aprueba las políticas de manejo. Ejemplo: el director financiero es owner de los datos financieros.
Custodio del dato (Data Custodian)
Responsable técnico de implementar los controles definidos por el owner. TI/infraestructura. Ejemplo: el DBA que aplica el cifrado y configura los permisos.
Procesador del dato (Data Processor)
Tercero que procesa datos por cuenta del owner. Concepto GDPR. Ejemplo: proveedor de CRM cloud, empresa de nóminas.
Usuario del dato (Data User)
Persona que accede y usa el dato en su trabajo diario. Debe respetar las políticas de manejo según la clasificación.
Etiquetado y Marcado
La clasificación solo funciona si los datos están visiblemente etiquetados. Los usuarios deben saber qué nivel tiene el documento que están manejando.
# Cabecera de documento Word/PDF
╔══════════════════════════════════════════════╗
║ CONFIDENCIAL — USO INTERNO ║
║ No distribuir sin autorización de RRHH ║
╚══════════════════════════════════════════════╝
# Metadatos de fichero (DLP systems)
<Sensitivity label="Confidential" />
Herramientas: Microsoft Purview Information Protection, Google Workspace DLP, Forcepoint, Boldon James. Los sistemas DLP (Data Loss Prevention) pueden aplicar políticas automáticamente basadas en la etiqueta.
Buenas Prácticas
Empezar con pocos niveles (3-4) — demasiados niveles generan confusión y no se aplican.
Definir ejemplos concretos por nivel adaptados al negocio; no solo descripciones abstractas.
Capacitar a todos los empleados en la política de clasificación durante el onboarding.
Asignar un Data Owner para cada categoría de datos críticos.
Implementar DLP para detectar envíos de datos CONFIDENCIAL fuera de canales aprobados.
Revisar y actualizar la política de clasificación anualmente o tras cambios regulatorios.
Siguiente Paso
Aprende a calcular el impacto al negocio con el Análisis BIA
Análisis de Impacto al Negocio (BIA) →