Gestión y Clasificación de Datos para la Seguridad de la Información

Problemas y Regulaciones en la Protección de la Información

Relacionado con la protección de la información para prevenir divulgaciones no autorizadas, especialmente en lo que respecta a datos personales. Es fundamental clasificar la información, rotularla adecuadamente y establecer prácticas y procedimientos que la procesen según su grado de sensibilidad.

Prácticas de Seguridad de la Información

Para garantizar la protección de la información, se recomiendan las siguientes prácticas:

• Permiso para copiar información sensible
• Rastreo de copias de información confidencial
• Presencia durante la impresión de información confidencial
• Eliminación segura de copias fallidas
• Numeración de páginas
• Respaldos de información
• Almacenamiento seguro en computadoras personales

Clasificación de Datos: Criterios y Gestión

La clasificación de datos es un pilar fundamental en la seguridad de la información. Para una gestión efectiva, se deben considerar los siguientes puntos:

• Identificar custodios de datos
• Especificar criterios de clasificación y catalogación
• Clasificación de datos según su propietario
• Especificar controles por categorías de clasificación
• Especificar procedimiento de desclasificación o cambio de propietario
• Creación de un programa corporativo de sensibilización sobre controles de clasificación

Objetivos del Esquema de Clasificación de Datos

El objetivo principal de un esquema de clasificación es ordenar y catalogar los datos según su importancia. Basándose en este orden, se asignan las medidas de seguridad correspondientes, garantizando así la confidencialidad, integridad y disponibilidad de la información.

Criterios para la Clasificación de Datos

Todos los datos deben ser clasificados de alguna manera, según su importancia o el efecto potencial que su divulgación no autorizada pueda tener sobre la organización.

Esquema de Clasificación de la Información

A continuación, se detallan las categorías comunes de clasificación de la información:

Pública

Cualquier dato que no pertenezca a las siguientes clasificaciones y cuyo conocimiento por el público en general no afecte el funcionamiento de la organización propietaria de la información.

Sensible

Es información que requiere un nivel de protección más elevado que la información normal o pública. Se debe tener especial cuidado para evitar una pérdida de confidencialidad o integridad debido a alteraciones no autorizadas.

Privada

Información que solo puede ser conocida por la organización. La divulgación de esta información puede afectar de alguna manera el funcionamiento de la organización. Ejemplo: Sueldos.

Confidencial

Es información que solo puede ser conocida por la organización y cuya divulgación afectaría considerablemente a esta.

Clasificación Comercial de Datos

En el ámbito comercial, la clasificación de datos puede incluir las siguientes categorías:

Propietaria

Esta información puede ser accedida públicamente por cualquier persona, pero todo acceso debe ir acompañado del conocimiento de que dicha información es propiedad de la organización comercial que la publica. Ejemplo: Información promocional de algún producto.

Uso Interno

Este tipo de información puede ser conocida y publicada dentro de la organización, y no puede ser revelada a personal ajeno a esta. Ejemplo: Políticas y Estándares.

Confidencial (Comercial)

Esta información puede ser conocida por cierto personal de la organización y su divulgación puede representar una pérdida económica significativa. Ejemplo: Proyectos y propuestas económicas.

Documentación de Seguridad de la Información

La principal documentación exigida en el manejo de la seguridad es el “Manual de Seguridad”, el cual representa el documento final que integra los objetivos de seguridad planteados, así como las políticas, estándares y procedimientos resultantes.

Estructura de la Documentación de Seguridad

Un manual de seguridad completo debe incluir, entre otros, los siguientes elementos:

• Introducción
• La información: principios y requisitos de protección
• Definición y finalidad de las políticas de seguridad de la información
• Descripción de la metodología de desarrollo y ciclo de vida
• Estructuras organizacionales, roles y responsabilidades asociadas
• Elementos de sensibilización y programas de capacitación
• Formatos estándar
• Definición de políticas, estándares, prácticas y procedimientos
• Estructura jerárquica de desarrollo
• Política general de seguridad de la información
• Políticas desarrolladas y sus elementos de implementación
• Estructura de control