Clasificación de datos: públicos, internos, confidenciales y restringidos

La clasificación de datos es el proceso de organizar los datos en categorías según su sensibilidad y el impacto de su divulgación, modificación o pérdida no autorizadas. La clasificación determina todas las decisiones de seguridad posteriores: qué cifrado se requiere, quién puede acceder a los datos, cómo deben almacenarse y transmitirse y durante cuánto tiempo deben conservarse. Sin clasificación, las organizaciones aplican demasiados controles, desperdiciando recursos, o demasiado pocos, dejando los datos sensibles sin protección.

La mayoría de las organizaciones comerciales utilizan cuatro niveles de clasificación. Los datos Public pueden compartirse libremente con cualquier persona, como los materiales de marketing y los comunicados de prensa. Los datos Internal (o Private) no son secretos, pero no deben compartirse fuera de la organización, como los directorios de empleados y las políticas internas. Los datos Confidential requieren protección porque su divulgación no autorizada perjudica a la organización, como los informes financieros y los contratos. Los datos Restricted (o Highly Confidential) están sujetos a los controles más estrictos, como los secretos comerciales, la PII, la información médica protegida y las credenciales.

Los sistemas de clasificación gubernamentales difieren de los comerciales. Los datos del Gobierno de Estados Unidos se clasifican como Unclassified, Controlled Unclassified Information (CUI), Confidential, Secret y Top Secret. Top Secret/SCI (Sensitive Compartmented Information) es el nivel más alto y requiere instalaciones especializadas (SCIFs) e investigaciones de antecedentes. El examen Security+ evalúa tanto los esquemas de clasificación comerciales y gubernamentales como los procesos de habilitación de seguridad asociados a las clasificaciones gubernamentales.

El data owner (un puesto sénior de la empresa, no el equipo de TI) es responsable de clasificar los datos y garantizar que se apliquen los controles adecuados. El data custodian es el profesional de TI que implementa y mantiene los controles en nombre del propietario. Esta distinción es importante: el propietario toma la decisión de clasificación; el custodio la aplica. Cuando los propietarios de los datos no participan, los datos suelen quedar sin clasificar o se asignan de forma predeterminada al nivel más bajo, lo que crea un riesgo oculto en conjuntos de datos de gran valor.

Una vez clasificados los datos, deben aplicarse etiquetas para que quienes los manipulen conozcan los requisitos. El etiquetado digital incluye etiquetas de metadatos, propiedades de archivos, encabezados y pies de página de documentos y marcas de agua. El etiquetado físico se aplica a documentos impresos, medios de almacenamiento y equipos. Cada nivel de clasificación conlleva reglas de manipulación específicas: los datos Restricted pueden requerir cifrado en tránsito y en reposo, acceso por dos personas a las copias de seguridad, destrucción mediante trituración en lugar de reciclaje y la prohibición de utilizar servicios de almacenamiento en la nube no aprobados por el equipo de seguridad.

La clasificación determina directamente los requisitos de cifrado. Los datos Public normalmente no necesitan cifrado. Los datos Internal deben cifrarse en tránsito (TLS). Los datos Confidential requieren cifrado tanto en tránsito como en reposo, junto con registros de acceso. Los datos Restricted normalmente requieren un cifrado sólido (AES-256), módulos de seguridad de hardware (HSMs) para gestionar las claves, cifrado de bases de datos a nivel de campo y rotación periódica de claves. Las herramientas de Data Loss Prevention (DLP) utilizan etiquetas de clasificación para activar alertas o bloquear transferencias de datos sensibles.

La clasificación orienta las decisiones de control de acceso en todas las capas. Los datos restringidos solo deben ser accesibles para las personas que hayan demostrado tener una necesidad de conocerlos, mediante un control de acceso basado en roles o en atributos. La clasificación también afecta a la gestión de accesos privilegiados: un administrador de bases de datos que técnicamente podría acceder a todas las tablas debe tener restringido el acceso a las tablas de clasificación restringida, a menos que su función lo requiera explícitamente. Las revisiones de acceso deben volver a verificar que ningún usuario conserve un acceso superior al que necesita.

La PII es cualquier dato que pueda identificar a una persona concreta: nombre, dirección, número de Seguro Social, correo electrónico, teléfono, datos biométricos o identificadores de dispositivos. La PII suele pertenecer al nivel de clasificación Confidencial o Restringido. Las organizaciones deben determinar dónde se encuentra la PII (descubrimiento de datos), clasificarla adecuadamente, aplicar los controles exigidos por las normativas (GDPR, CCPA, HIPAA) y definir reglas de conservación y eliminación. La PII sensible —financiera, sanitaria o biométrica— requiere mayores medidas de protección que la PII general.

La PHI es cualquier información sanitaria identificable individualmente protegida por HIPAA. Incluye diagnósticos, historiales de tratamiento, códigos de facturación y cualquier dato que pueda vincularse con un paciente. La PHI siempre se clasifica en el nivel Restringido y requiere: cifrado, registros de auditoría, acceso mínimo necesario, acuerdos de socio comercial (BAA) con proveedores y notificación de incidentes de seguridad en un plazo de 60 días desde su descubrimiento. Una filtración de PHI activa obligaciones normativas que no se aplicarían a una filtración de datos clasificados como Internos.

La clasificación se aplica durante todo el ciclo de vida de los datos. Cuando los datos llegan al final de su periodo de conservación, deben ser destruidos de acuerdo con su nivel de clasificación. Los datos restringidos requieren borrado criptográfico (destrucción de las claves de cifrado), desmagnetización (destrucción magnética), trituración física o un borrado conforme a NIST 800-88. Simplemente eliminar archivos o reformatear unidades no es suficiente para los datos confidenciales o restringidos, porque las herramientas de recuperación de archivos pueden reconstruirlos.

Las herramientas de prevención de pérdida de datos (DLP) aplican automáticamente las políticas de clasificación. La DLP con inspección de contenido analiza archivos y tráfico de red en busca de patrones que coincidan con los criterios de clasificación (números de Seguro Social, números de tarjetas de crédito, palabras clave relacionadas con la salud). La DLP de endpoint impide copiar datos clasificados en unidades USB o cargarlos en servicios en la nube no aprobados. La DLP de red inspecciona el tráfico saliente. Las herramientas de clasificación basadas en aprendizaje automático pueden etiquetar automáticamente datos no estructurados, como documentos y correos electrónicos, según el análisis de su contenido.

Compruebe su comprensión de los conceptos de CompTIA Security+ (SY0-701) de esta lección.

En esta lección ha aprendido que la clasificación de datos organiza los datos en los niveles Público, Interno, Confidencial y Restringido según su sensibilidad e impacto; los propietarios de los datos toman las decisiones de clasificación, mientras que los custodios implementan los controles; y la clasificación determina los requisitos de cifrado, control de acceso y destrucción de cada nivel. A continuación, exploraremos los principios del GDPR y los derechos de los interesados.