Datos Sensibles

Los datos sensibles son un grupo amplio. Un registro de cliente, un expediente médico, un número de tarjeta y el diseño de un producto necesitan protección, aunque tengan poco en común. Lo que los une es que su exposición puede dañar a una persona o a una organización, con consecuencias legales, financieras o de reputación.

El concepto abarca registros estructurados en bases de datos y registros del sistema, y también contenido no estructurado, como documentos, hojas de cálculo y mensajes de chat. Antes de proteger esos datos, la empresa debe saber qué es sensible en su entorno, y esa es la tarea de la clasificación de datos.

Los datos sensibles suelen agruparse en categorías reconocidas. Los datos personales, por ejemplo, identifican a una persona concreta, directamente o al combinarse con otros datos. La tabla muestra los grupos principales y las reglas que suelen aplicarles.

No existe una lista universal de datos sensibles. Cada marco normativo la define para su alcance:

Las leyes regionales y sectoriales, como CCPA y otras normas locales, añaden sus propias definiciones. Por eso las organizaciones suelen mantener un inventario interno de datos vinculado a cada marco aplicable.

• GDPR protege los datos personales, es decir, cualquier información sobre una persona identificable. Las categorías especiales del artículo 9 requieren una justificación adicional antes de tratarse.
• HIPAA define la información de salud protegida como datos de salud creados o manejados por una entidad cubierta en cualquier forma: electrónica, en papel u oral.
• PCI DSS se centra en los datos del titular de la tarjeta. Tras la autorización, prohíbe almacenar datos sensibles de autenticación, como los datos completos de la banda, el CVV y el PIN.

Las herramientas de detección combinan varios métodos, y cada uno tiene una fortaleza distinta:

• Tesauros: diccionarios de palabras clave de un tema, como términos de tarjetas de crédito o vocabulario financiero.
• Patrones: expresiones regulares que localizan identificadores, como números de cuenta bancaria, códigos postales o el formato del SSN de Estados Unidos.
• Huellas digitales y bancos de hashes: detectan copias exactas y plantillas de documentos conocidos.
• Etiquetas de sensibilidad: contenido que ya tiene una etiqueta de sensibilidad de Microsoft.

Las definiciones varían según el marco normativo y los datos sensibles están dispersos entre sistemas. Perder el control sobre ellos trae sanciones, obligaciones de notificar brechas y daño reputacional, por eso el primer paso práctico es descubrir y clasificar. Los datos sensibles son el objeto central de la prevención de pérdida de datos (DLP), que solo puede proteger lo que encuentra.

1. 1

   Descubrir

   Localiza dónde residen los datos sensibles en sistemas, equipos y servicios en la nube.

2. 2

   Clasificar

   Etiqueta los datos para que su sensibilidad sea clara para personas y herramientas.

3. 3

   Aplicar controles

   Ajusta la protección a la sensibilidad de cada categoría, empezando por los canales más expuestos.

En Anexet DLP, la pestaña Objects of analysis reúne los componentes de la detección. El primer cuadro muestra los diccionarios integrados y el segundo, las expresiones regulares para identificadores de formato fijo. El administrador las selecciona al crear una regla de bloqueo.

1 / 2

• 
• 

La mayoría de los proyectos de detección fracasan de la misma forma: empiezan por las reglas en lugar de por una lista clara de lo que hay que proteger. Un diccionario que atrapa cualquier mención de nómina, o un patrón que coincide con cualquier número de nueve dígitos, llena la cola de falsas alarmas, y el personal aprende rápido a ignorarlas.

• Escribir reglas antes de tener un inventario de datos, de modo que los repositorios más sensibles quedan sin cobertura.
• Usar una sola lista de palabras para todos los departamentos, lo que bloquea el trabajo normal.
• Tratar la etiqueta como prueba: puede faltar, estar mal puesta o no aplicarse a los archivos copiados.
• Revisar solo el correo y pasar por alto el almacenamiento en la nube, los mensajeros y los medios extraíbles, donde puede empezar una filtración de datos sin que nadie lo note.

Empieza por los datos cuya filtración causaría más daño y luego por los canales por donde realmente circulan. Las reglas escritas para todos los archivos a la vez bloquean el trabajo legítimo y terminan desactivadas. Una primera política acotada, que la gente acepta, vale más que una amplia que se apaga en una semana.

Lectura recomendada: Auditoría de acceso a datos sensibles y control de acceso discrecional; Los 5 tipos de datos que los competidores intentan robar.