Clasificación de datos

No puede proteger aquello que no ha categorizado. La clasificación de datos etiqueta la información según su sensibilidad para aplicar los controles, las reglas de acceso y las políticas de DLP adecuados. Es la base de DLP y de la mayoría de los programas de cumplimiento.

Un esquema habitual de cuatro niveles:

• Público: se puede compartir libremente.
• Interno: destinado a los empleados; su filtración causaría poco daño.
• Confidencial: sensible y con acceso restringido.
• Restringido o secreto: máxima sensibilidad y controles estrictos.

Relacione los niveles con ejemplos concretos para que el personal sepa dónde encaja cada dato:

• Público: folletos de marketing.
• Interno: organigramas y notas de reuniones.
• Confidencial: PII de clientes y contratos.
• Restringido: datos de tarjetas, historias clínicas y secretos.

Algunos datos tienen implicaciones legales:

• PII: información de identificación personal (GDPR).
• PCI: datos del titular de la tarjeta.
• PHI: información sanitaria protegida (HIPAA).

Normalmente se asignan a las categorías Confidencial o Restringido.

La clasificación resulta útil cuando se etiqueta, es decir, cuando se asocia la categoría a los datos para que las herramientas puedan actuar sobre ellos.

• Etiquetas de metadatos almacenadas junto con el archivo.
• Marcas visuales en encabezados y pies de página.
• Encabezados y etiquetas en correos electrónicos y documentos.

Dos enfoques que suelen combinarse:

• Manual: el autor selecciona una etiqueta al crear el contenido; es preciso, pero incoherente.
• Automatizada: las herramientas analizan el contenido y aplican etiquetas según patrones; es escalable, pero necesita ajustes.

La mayoría de las organizaciones ya tienen datos sin etiquetar en todas partes. Las herramientas de descubrimiento de datos recorren recursos compartidos de archivos, bases de datos y almacenamiento en la nube para encontrar y clasificar los datos confidenciales existentes.

La etiqueta determina las reglas de tratamiento:

• Restringido: cifrar, registrar el acceso y bloquear el uso compartido externo.
• Confidencial: restringir el acceso según la necesidad de saber.
• Público: sin restricciones.

Las políticas de DLP hacen referencia a las etiquetas para decidir si deben bloquear una transferencia.

Cada clase debe definir cómo se almacenan, transmiten y comparten los datos, así como durante cuánto tiempo se conservan. Los datos restringidos pueden requerir cifrado y un periodo de conservación breve; los datos públicos no requieren ninguna medida. Documente esta información en una norma de tratamiento de datos.

La sensibilidad de los datos cambia con el tiempo. Un informe confidencial de resultados financieros pasa a ser público después de su publicación. Defina cuándo y cómo se reclasifican o rebajan los datos para que los controles sigan siendo proporcionales.

Los programas de clasificación fracasan cuando:

• Hay demasiados niveles y los usuarios se confunden (mantenga entre 3 y 4).
• Las etiquetas no se aplican mediante herramientas.
• Los datos heredados nunca se descubren ni se etiquetan.
• No hay un responsable claro que mantenga el esquema.

Aplique los niveles de clasificación.

La clasificación es la base de la protección de datos:

• Utilice un esquema sencillo por niveles (de Público a Restringido).
• Etiquete los datos mediante metadatos, marcas y etiquetas.
• Combine la clasificación manual y automatizada con el descubrimiento.
• Deje que la etiqueta determine los controles de tratamiento, conservación y DLP.