Etiquetado como metadatos, no como archivo
Una etiqueta no es un nombre de carpeta ni un comentario para que lo lean las personas. Son metadatos estructurados que se guardan en el objeto o se adjuntan a él, para que el software pueda consultarlos.
Un procesador de textos, un cliente de correo, un agente DLP y un servicio de cifrado pueden leer la misma etiqueta y llegar a la misma decisión sobre un documento, aunque ninguno de ellos la haya creado. La clasificación de datos es el juicio sobre el nivel de sensibilidad. La etiqueta es el registro duradero de ese juicio, así que la decisión no hay que repetirla cada vez que el archivo se abre, se copia o se envía por correo.
Qué suele contener una etiqueta
La mayoría de los esquemas de etiquetado combinan varios tipos de información en una sola marca:
| Elemento | Qué registra |
|---|---|
| Sensibilidad | Un nivel como público, interno, confidencial o restringido |
| Responsable | El equipo o la persona que responde por los datos |
| Retención | Cuánto tiempo conservar el registro, y luego archivar, revisar o eliminar |
| Alcance regulatorio | Obligaciones sobre datos personales, de tarjetas de pago o de salud |
| Marcado del contenido | Un encabezado, pie de página o marca de agua visible que repite la etiqueta para las personas |
Cómo se aplican las etiquetas
Las etiquetas rara vez provienen de una sola fuente. La mayoría de los entornos combina varios métodos para que nada quede sin marcar.
Manual: el autor elige una etiqueta de un menú al crear o guardar un documento. Funciona cuando las personas están capacitadas, pero es fácil omitirla bajo presión de plazos.
Automático: el software revisa el contenido en busca de palabras clave e identificadores estructurados, como números de tarjeta o de documento de identidad, y huellas digitales de documentos, y aplica la etiqueta sin esperar a una persona.
Por defecto: se aplica una etiqueta base cuando se crea el archivo o el correo. Un documento nunca queda totalmente sin etiqueta, incluso antes de que alguien lo revise.
Heredado: una copia, un adjunto o un archivo exportado toma la etiqueta de su origen. Así, el contenido derivado sigue gobernado sin un paso de etiquetado aparte.
Dónde las etiquetas hacen el trabajo de control
El cifrado, el acceso y el uso compartido, la prevención de pérdida de datos y la retención pueden leer la misma etiqueta en lugar de inferir la sensibilidad. Una política que usa una etiqueta sigue cuatro pasos:
- 1
Verificar la etiqueta
La política comprueba si la etiqueta está presente, además de su identificador o nombre interno.
- 2
Coincidir con la regla
La etiqueta encontrada se convierte en una condición más, junto a las condiciones de texto y de canal.
- 3
Aplicar la acción
Permitir, registrar, alertar, poner en cuarentena para revisión o bloquear en correo, web, nube, mensajería y dispositivos extraíbles.
- 4
Guardar el registro
El evento se registra en el log, para poder revisar el resultado después.
Dónde falla el etiquetado
El etiquetado es una superficie de control, no una garantía. Falla de tres maneras predecibles, y las herramientas que reconocen contenido sensible directamente siguen funcionando cuando falta la etiqueta.
La falta de etiqueta no es motivo para omitir la revisión del contenido. El reconocimiento actúa sobre el propio texto sensible.
- Brechas de cobertura: años de datos no estructurados en recursos compartidos y en buzones personales se crearon antes de que existiera cualquier política de etiquetado. Rara vez se marcan después.
- Pérdida de la etiqueta: la etiqueta está en el contenedor. Copiar un párrafo, tomar una captura de pantalla o pegar en una ventana de chat lleva el contenido hacia adelante y deja la etiqueta atrás. Un párrafo copiado aún puede llegar al destinatario equivocado, y así empieza una fuga de datos.
- Etiquetas obsoletas: el documento se etiqueta una vez y nunca se vuelve a revisar. Puede seguir sobreprotegido mucho después de dejar de ser sensible, o quedar desprotegido cuando se agrega contenido nuevo.
Cómo se ve en Anexet
En una regla de bloqueo con reconocimiento de contenido, la pestaña Sensitivity labels compara la etiqueta en sí, no solo el texto. La condición puede comprobar si la etiqueta está presente, cuál es su identificador o cuál es su nombre interno.
Etiquetado y cumplimiento normativo
Las normativas rara vez nombran un esquema de etiquetado. Sí suponen que una organización puede demostrar qué registros son personales, de pago o de salud, y que su tratamiento correspondió a esa obligación. Una etiqueta consistente es una prueba práctica de ello. Permite responder a una solicitud del titular de los datos, acotar una notificación de incidente o demostrar a un auditor que el registro se trató según su sensibilidad desde el momento en que se creó.
Las etiquetas protegen solo lo que describen, por eso la decisión debe acompañar al registro desde el inicio.
Anexet TeamCómo lo resuelve Anexet
Anexet no crea sus propias etiquetas de documentos; lee y hace cumplir etiquetas que otro sistema ya ha aplicado, de modo que la inversión existente de la organización en etiquetado dirige la política directamente:
Condiciones basadas en etiquetas de confidencialidad
las políticas de búsqueda y bloqueo pueden condicionar la acción a si hay una etiqueta presente, su identificador, su nombre interno y si se instaló de forma automática o manual.
Comprobación del marcado de contenido
las políticas pueden comprobar si un documento lleva un marcado visible, un encabezado de página, un pie de página o una marca de agua, como parte de la misma condición.
Estado de cifrado
si el contenido etiquetado está cifrado es en sí mismo una condición sobre la que puede actuar una política.
Aplicación en todos los canales
una vez que se identifica una etiqueta, se aplica el mismo conjunto de acciones que para cualquier otra condición de contenido, permitir, registrar, alertar, poner en cuarentena para revisión o bloquear, en correo, web, almacenamiento en la nube, mensajería y dispositivos extraíbles.
Arquitectura on-premise
las etiquetas inspeccionadas, las políticas construidas sobre ellas y los registros resultantes permanecen dentro de la propia infraestructura de la organización.
Anexet DLP
Más información