Clasificación de datos (Data classification)
En seguridad del dato, la clasificación de datos es el etiquetado de la información por sensibilidad para poder aplicar políticas de manejo, almacenamiento y acceso. La clasificación habilita la política; no la aplica. La aplicación automática depende de herramientas que actúen sobre las etiquetas, y en la mayoría de las organizaciones el etiquetado es manual y envejece.
Cómo funciona
La clasificación de datos asigna a cada pieza de información un nivel de sensibilidad (por ejemplo público, interno, confidencial, restringido) para que todo lo que viene después se apoye en esa etiqueta: quién puede acceder, si tiene que ir cifrada, cuánto tiempo se conserva y si puede salir de la organización. Una buena clasificación sigue el daño que causaría su divulgación, y se corresponde con categorías normativas como los datos personales o los niveles de un esquema de cumplimiento. La etiqueta es el ancla de la política; la política la aplican otros controles (gestión de accesos, cifrado, prevención de pérdida de datos) que leen la etiqueta y actúan. Sin esos controles que la aplican, un esquema de clasificación es una taxonomía sin dientes.
Qué sale mal
La exageración que hay que evitar es que los datos clasificados estén protegidos automáticamente. Etiquetar algo como confidencial no hace nada por sí solo; aplicarla exige herramientas que reconozcan la etiqueta y actúen, y esas herramientas muchas veces no existen para el canal por el que los datos salen de verdad. El otro fallo es el deterioro: la clasificación se hace una vez, al empezar un proyecto, y después los datos se mueven, se copian, se transforman, y las etiquetas no los siguen. Desde el punto de vista de un atacante o de alguien de dentro, los datos interesantes suelen ser la copia sin etiquetar: la exportación a una hoja de cálculo, el backup, el conjunto de datos que un equipo se llevó para analizarlo, ninguno de los cuales heredó los controles del original.
Dónde aparece esto en una auditoría
Evaluamos la clasificación por si las etiquetas mueven de verdad la protección: si los datos sensibles están identificados, si los controles que la aplican leen las etiquetas, y si la clasificación sobrevive a que los datos se copien y se muevan. Buscamos las copias sin etiquetar, porque ahí es donde se esconde la exposición, y atamos la revisión a las categorías normativas que determinan las obligaciones, como las categorías de seguridad del ENS. Donde se puede reducir el alcance, apuntamos a la tokenización. El hallazgo se escribe contra la distancia entre la etiqueta y el control. Esto forma parte de cómo evaluamos el tratamiento de datos frente a su clasificación.