Clasificación de datos - Organización por nivel de sensibilidad

Lectura de 2 min aprox.

La clasificación de datos (Data Classification) es un método mediante el cual una organización categoriza los datos que posee según su nivel de sensibilidad y aplica medidas de protección adecuadas a cada nivel. Dado que aplicar el mismo nivel de protección a todos los datos resulta inviable en términos de coste, constituye la base para lograr una protección razonable y basada en el riesgo. A fecha de 2025, con el crecimiento explosivo del volumen de datos, la adopción de herramientas de clasificación automática avanza rápidamente.

Revisar los permisos de acceso a partir de la clasificación

Una situación típica en la que la clasificación de datos da frutos es cuando se reconstruyen las ubicaciones de los datos y los permisos, como durante una migración a la nube. Sin saber dónde residen los datos de alta sensibilidad, el diseño del control de acceso tiende a derivar hacia permisos demasiado amplios «por si acaso». Clasificar los datos a través de las distintas ubicaciones de almacenamiento y conocer dónde están los datos sensibles proporciona la base para restringir los permisos únicamente a las personas y sistemas que realmente necesitan acceso. Rediseñar los permisos a partir de los resultados de la clasificación permite identificar y eliminar los permisos innecesarios acumulados durante años de operación, acercando el entorno al principio de mínimo privilegio.

Niveles de clasificación de datos

Niveles de clasificación habituales

Muchas organizaciones adoptan una clasificación de 3 o 4 niveles. Clasifican los datos como «Público» (comunicados de prensa, contenido web de acceso público), «Uso interno» (documentos internos, manuales operativos), «Confidencial» (información de clientes, datos financieros, datos de recursos humanos) y «Alto secreto» (estrategia de gestión, información de fusiones y adquisiciones, claves de cifrado); cuanto más alto es el nivel, más estrictos son los requisitos de control de acceso, cifrado y registros de auditoría.

Escenarios de aplicación práctica

Tomando como ejemplo un sitio de comercio electrónico, la información de productos se clasifica como «Público», los informes de ventas internos como «Uso interno», los nombres, direcciones y datos de tarjetas de crédito de los clientes como «Confidencial», y las claves de cifrado y contraseñas maestras como «Alto secreto». Para los datos «Confidencial» se exige el cifrado en reposo y el registro de los accesos, y para los datos «Alto secreto» se requiere además la protección de claves con un HSM y la autenticación multifactor. En entornos de nube, AWS Macie y Azure Purview ayudan con la clasificación automática de datos y la detección de datos sensibles.

Puntos operativos de la clasificación

La clasificación de datos no es algo que se «decide una vez y se acabó»; debe revisarse en función del ciclo de vida de los datos. Los documentos de diseño tras la finalización de un proyecto a veces pueden degradarse de «Confidencial» a «Uso interno», y la información de fusiones y adquisiciones pasa de «Alto secreto» a «Público» una vez anunciada. Las claves del éxito son la adopción de herramientas que automaticen la asignación de etiquetas de clasificación y la formación de los empleados sobre los criterios de clasificación. Protege tu sistema de gestión de la clasificación con una contraseña aleatoria robusta y configura los permisos de acceso al almacenamiento en la nube según el nivel de clasificación.