¿Qué es la clasificación de datos?

La clasificación de datos es el proceso de organizar los datos estructurados y no estructurados en categorías, para que puedan usarse y protegerse de manera más eficiente. Hace que los datos sean más fáciles de localizar y recuperar, al tiempo que facilita una mejor gestión de riesgos, descubrimiento legal y cumplimiento normativo.

La clasificación de datos implica etiquetar los datos confidenciales y la información personal para que se puedan buscar y rastrear. Esto tuvo el beneficio adicional de eliminar los datos duplicados, reducir los costos de almacenamiento y copia de seguridad, y ayudar a minimizar el riesgo de ciberseguridad.

Una política de clasificación de datos escrita generalmente describirá los procedimientos y las directrices sobre los niveles de clasificación que usa su organización para agrupar datos, así como las funciones y responsabilidades específicas de los empleados que actúan como administradores de datos.

Una vez que se ha creado un esquema de clasificación de datos y se han agrupado los datos, debe determinar los estándares de seguridad adecuados para cada categoría a lo largo de su ciclo de vida.

Aunque la creación de una directiva de clasificación de datos puede parecer técnicamente difícil, todos los niveles de la organización deben comprender su función.

¿Por qué es importante la clasificación de datos?

La clasificación de datos es importante porque tiene recursos limitados que puede invertir en proteger sus datos confidenciales. Saber qué tipos de datos necesitan protección significa que puede establecer prioridades y asignar su presupuesto y otros recursos a las áreas de mayor impacto, minimizando los costos de seguridad de datos y cumplimiento.

Además, la clasificación de datos puede ayudarlo a cumplir con diferentes regulaciones dentro y fuera de los Estados Unidos, incluida la Ley de Derechos Educativos y Privacidad de la Familia (FERPA), PCI-DSS, HIPAA, CPS 234, ITAR y muchas otras.

¿Cuáles son los elementos esenciales de una clasificación de datos eficaz?

La clasificación eficaz de datos requiere la comprensión de los siguientes conceptos:

Estados de datos: los datos existen en tres estados (en reposo, en curso y en tránsito). Independientemente del estado, la información confidencial debe permanecer encriptada y confidencial.
Formato de datos: Los datos pueden ser estructurados y no estructurados. La clasificación de datos estructurados suele ser menos compleja, requiere menos tiempo y es menos barata que los datos no estructurados.
Datos estructurados: legibles e indexables, como objetos de base de datos y hojas de cálculo
Datos no estructurados: no legibles ni indexables, como el código fuente, los documentos y los binarios.
Detección de datos: antes de poder clasificar los datos, es necesario conocer su ubicación, volumen y contexto. Esto es cierto independientemente de dónde esté alojado (en las instalaciones, en la nube, en bases de datos heredadas o con un proveedor de servicios).
Confidencialidad de los datos: para ayudar con la priorización, los datos generalmente se clasifican en niveles de confidencialidad.
Datos de alta sensibilidad: se dice que los datos son de alta sensibilidad si la exposición o la destrucción provocarían un impacto catastrófico en su organización o clientes. Ejemplos comunes de datos de alta confidencialidad son los números de tarjetas de crédito, los números de seguro social, los números de licencia de conducir, la información de salud protegida (PHI), la información de identificación personal (PII), la información del titular de la tarjeta, la propiedad intelectual, los procesos comerciales, la biometría y los números de cuentas bancarias.
Datos de sensibilidad media: datos diseñados para uso interno en los que la divulgación no autorizada no tendría un impacto catastrófico en su organización o clientes. Algunos ejemplos son los correos electrónicos y los documentos que no incluyen datos confidenciales.
Datos de baja sensibilidad: Datos diseñados para ser información pública. Algunos ejemplos son los comunicados de prensa, el material de marketing, el contenido del sitio web y otros datos públicos.
Requisitos reglamentarios: Con el creciente número de leyes de protección de datos en todo el mundo, la clasificación de datos se está convirtiendo cada vez más en un requisito reglamentario. Por ejemplo, el Reglamento General de Protección de Datos (RGPD) de la UE exige que todos los datos personales estén protegidos, al igual que la PIPEDA, la FIPA, la Ley SHIELD y la LGPD.
Mandatos específicos de la industria: Junto con la regulación, muchos mandatos específicos de la industria ahora requieren la clasificación de diferentes atributos de datos. Por ejemplo, Cloud Security Alliance (CSA) requiere que los datos y los objetos de datos incluyan el tipo de datos, la jurisdicción de origen y domicilio, el contexto, las restricciones legales y la confidencialidad. Obtenga más información sobre la Alianza de Seguridad en la Nube y el CAIQ aquí.

¿Cuál es el propósito de la clasificación de datos?

Más allá de facilitar la localización, recuperación, manipulación y seguimiento de los datos, un sistema de información de clasificación de datos bien planificado mejora la seguridad de los datos y el cumplimiento normativo.

El verdadero propósito de la clasificación de datos es salvaguardar los datos confidenciales de las empresas y de los clientes. Para ello, debes ser capaz de responder a las siguientes preguntas:

¿Qué datos confidenciales almaceno?
¿Dónde residen estos datos confidenciales?
¿Quién puede acceder a ella, modificarla y eliminarla?
¿Cómo se verá afectada mi empresa si estos datos se filtran, destruyen o alteran?

Además de responder a estas preguntas, también debe comprender sus requisitos normativos y qué datos específicos debe proteger. Algunos ejemplos son los datos del titular de la tarjeta (PCI DSS), los registros de salud (HIPAA), los datos financieros (SOX) o los datos personales (GDPR, LGPD, PIPEDA, The SHIELD Act y FIPA).

Además de estas preguntas, muchas herramientas de clasificación de datos le ayudan a proteger la confidencialidad, integridad y disponibilidad (tríada CIA) de conjuntos de datos confidenciales o importantes:

Confidencialidad: La clasificación de datos puede ayudarle a comprender el tipo de datos que deben protegerse y un nivel de seguridad adecuado para cada categoría.
Integridad: Al facilitar el seguimiento de los elementos de datos individuales, la clasificación de datos puede garantizar que se mantenga la integridad y se detecte cualquier cambio no autorizado.
Disponibilidad: en el caso de los datos importantes pero no clasificados, la clasificación de datos puede ayudarle a centrarse en garantizar que los usuarios finales, los clientes y los proveedores de servicios puedan acceder fácilmente a ellos.

¿Cuáles son los tipos típicos de categorías de clasificación de datos?

La clasificación de datos generalmente implica una multitud de etiquetas y rótulos que definen el tipo de datos, su confidencialidad, así como los requisitos de confidencialidad, integridad y disponibilidad que son exclusivos de su organización.

Esto significa que las categorías de clasificación de datos dependerán en gran medida de su política de seguridad de la información, los requisitos normativos y el apetito por el riesgo.

Como punto de partida, considere la posibilidad de utilizar un enfoque sencillo de tres niveles:

Datos públicos: Datos que se divulgan libremente al público, como direcciones de correo electrónico y números de teléfono de servicio al cliente.
Datos internos: datos que tienen requisitos mínimos de seguridad, pero que no están destinados a la divulgación pública. Algunos ejemplos son la investigación de mercados, la información de directorio y los guiones telefónicos de ventas.
Datos restringidos: datos internos altamente confidenciales cuya divulgación podría afectar negativamente a las operaciones o ponerlo a usted o a sus clientes en riesgo financiero o legal. Esto requiere el más alto nivel de protección de seguridad.

¿Qué es el proceso de clasificación de datos?

No existe un enfoque único para la clasificación de datos. Tampoco es necesario clasificar todos los datos, algunos incluso pueden ser mejor destruidos. Dicho esto, podemos desglosar un proceso general que puede adaptar a sus necesidades, deseos y requisitos reglamentarios únicos.

El primer paso es definir una política de clasificación de datos. La política debe comunicarse a todos los empleados que tengan acceso a datos sensibles e incluir los siguientes elementos:

Objetivos: Las razones por las que se ha implementado la clasificación de datos y los objetivos que se esperan alcanzar con ella.
Procesos: describe cómo se organizará el proceso de clasificación de datos y cómo afectará a los empleados que utilizan diferentes tipos de datos confidenciales.
Esquema de clasificación de datos: Las categorías en las que se colocarán los datos.
Propietarios de datos: describe quién es directamente responsable de qué tipos de datos, incluida la forma en que se clasifican y a quién se le concede acceso a ellos.
Instrucciones de manejo: Estándares de seguridad que especifican cómo se protegerán los datos confidenciales para cada categoría de datos, quién tendrá acceso a ellos, cómo se compartirán y durante cuánto tiempo se conservarán.

Una vez finalizada la directiva, debe ejecutar un proceso de detección de datos para determinar la ubicación, el volumen y el contexto de los datos que se hospedan en el entorno local, en la nube, en bases de datos heredadas y con proveedores externos.

Puede optar por omitir este paso y clasificar solo los datos nuevos. Sin embargo, esto dejaría los datos confidenciales o críticos para el negocio actuales insuficientemente protegidos.

El proceso de detección de datos puede ser un proceso manual de búsqueda de bases de datos, recursos compartidos de archivos y otros sistemas que puedan contener información confidencial o a través de una aplicación de detección de datos que busque información confidencial a través de metadatos y otras etiquetas que agrupen la información en diferentes grupos rápidamente.

Independientemente de si descubre los datos a mano o con software, el siguiente paso es categorizarlos. El método de categorización generalmente se puede dividir en tres grupos:

Clasificación basada en contenido: inspecciona e interpreta los archivos para determinar si contienen información confidencial.
Clasificación basada en el contexto: analiza la aplicación, la ubicación o el creador, entre otras variables, como indicadores indirectos de información confidencial.
Clasificación por usuario: Depende de un proceso manual de selección por usuario final para cada documento. Esto se basa en el conocimiento y la discreción del usuario en las etapas de creación, edición, revisión y difusión.

Después del proceso de detección de datos, los datos confidenciales deben etiquetarse siguiendo el esquema de clasificación de datos.

Una vez que todos los datos están etiquetados, es hora de implementar los controles de seguridad adecuados para proteger los datos confidenciales en función de lo que describe su política de clasificación de datos. Esto podría incluir el cifrado, el control de acceso, el principio de mínimo privilegio, las herramientas de detección de fugas de datos, la supervisión de usuarios, la separación de funciones y muchos otros controles de seguridad.