Clasificación (de datos)

La clasificación de datos asigna una etiqueta o categoría a la información según qué tan sensible es y según el daño que causaría su divulgación. Un esquema de clasificación define un conjunto pequeño de niveles, y cada documento, mensaje o conjunto de datos debe llevar uno de ellos. El esquema separa sobre todo los datos sensibles, porque ahí se aplican las reglas de manejo más estrictas.

La etiqueta determina después el manejo: quién puede acceder a los datos, dónde se pueden almacenar, qué canales pueden transportarlos y qué tan rápido debe atenderse una fuga. La clasificación es la decisión, mientras que el etiquetado de datos es el acto de registrar esa decisión en el archivo o el mensaje.

Predominan dos familias de esquemas. Se diferencian sobre todo en quién fija las reglas.

Los esquemas corporativos adaptan la misma idea al negocio. Su propósito es la proporcionalidad: los controles costosos, como el cifrado, el uso compartido restringido y la aplicación de DLP, se concentran en la pequeña parte de los datos que es realmente sensible.

Una etiqueta puede llegar a un documento de cuatro maneras.

• Clasificación manual: el autor o el responsable de los datos elige una etiqueta al crear un documento o correo, a menudo mediante un complemento de etiquetado.
• Análisis automático del contenido: las herramientas inspeccionan palabras clave, patrones y huellas digitales de los documentos, y luego aplican o sugieren una etiqueta.
• Clasificación predeterminada: etiqueta base que se aplica cuando no se conoce nada más específico.
• Herencia: un documento derivado o un adjunto toma la etiqueta más alta entre sus fuentes.

La clasificación hace que la política de seguridad sea consciente de los datos. Una regla como “bloquear documentos Confidenciales en almacenamiento personal en la nube” solo funciona si los documentos llevan etiquetas. Los sistemas de prevención de pérdida de datos pueden usar entonces la etiqueta directamente como condición de la política, en lugar de deducir la sensibilidad solo del contenido.

La clasificación también respalda la protección proporcional y la rendición de cuentas en marcos como GDPR o ISO/IEC 27001, porque permite demostrar que las salvaguardas corresponden a la sensibilidad.

En Anexet DLP, la etiqueta se convierte en condición de una regla de bloqueo. La pestaña Sensitivity labels reconoce una etiqueta asignada antes, mientras que los tesauros de Objects of analysis detectan contenido que nunca recibió etiqueta. Una sola regla puede combinar una condición de etiqueta con condiciones de texto unidas por AND, de modo que ambas señales deben coincidir.

1 / 2

• 
• 

La clasificación solo funciona cuando las personas con distintos puestos conocen su parte. Los roles siguientes son típicos, y sus nombres cambian de una organización a otra.

La mayor parte de los datos de una organización no está estructurada y nunca recibe etiqueta. Las etiquetas se aplican de forma inconsistente, en exceso “por si acaso” o se pierden al copiar el contenido a otro formato. Los programas viables se apoyan en cuatro prácticas:

1. 1

   Pocos niveles, bien definidos

   Un esquema breve en el que cada nivel es explícito, para que el usuario elija sin adivinar.

2. 2

   Flujo de etiquetado sencillo

   Un paso que el usuario completa en segundos, dentro de las herramientas que ya utiliza.

3. 3

   Asistencia automatizada

   Herramientas que ayudan a aplicar o sugerir etiquetas, dejando la decisión final a una persona en los casos dudosos.

4. 4

   Aplicación sin etiqueta

   Políticas que siguen funcionando cuando falta la etiqueta, con la detección de contenido como respaldo.

Empiece por los datos que más daño causarían si salieran y, después, por los canales que realmente usan. Las políticas escritas para todos los archivos a la vez terminan bloqueando el trabajo y se desactivan.

Lectura recomendada: Auditoría de acceso a datos sensibles y control de acceso discrecional.