No todos los datos son igual de sensibles, y no todo el mundo necesita verlo todo. Con la clasificación de datos determinas cuán sensible es la información, y con el principio de necesidad de conocer determinas quién tiene acceso. Juntos evitan que los datos sensibles se compartan demasiado, una de las causas más frecuentes de brechas de datos.
¿Qué es la clasificación de datos?
Clasificar es ordenar la información según su sensibilidad, para que quede claro cuánta protección necesita. Muchas organizaciones usan una escala sencilla, por ejemplo: público, interno, confidencial y estrictamente confidencial.
La etiqueta fija las reglas: una nota de prensa pública se comparte libremente, un expediente estrictamente confidencial solo cifrado y con un grupo selecto. Así cada persona sabe, sin pensarlo, cómo tratar un documento.
El principio de necesidad de conocer
Necesidad de conocer significa que alguien solo accede a los datos que realmente necesita para su trabajo, no más. Una persona de nóminas no necesita acceso a la base de clientes, ni un comercial a los expedientes de personal.
El principio limita el daño si una cuenta es hackeada o un empleado comete un error: cuanto menos puede ver alguien, menos puede filtrarse. Es una aplicación directa de la minimización de datos al acceso.
Por qué esto evita brechas
La mayoría de las brechas no vienen de hackers avanzados, sino de un acceso demasiado amplio y de la compartición accidental. Una carpeta que ve "todo el mundo en la empresa", un correo a un grupo demasiado grande, un disco compartido sin restricción.
Clasificación y necesidad de conocer actúan juntas: la etiqueta indica cuán sensible es algo, y el principio garantiza que solo lo vean las personas adecuadas. Juntas reducen notablemente la superficie de ataque.
En la práctica
Unos pocos hábitos concretos marcan la diferencia:
- Etiqueta documentos y correos según la clasificación de tu organización.
- Comparte con personas o grupos nombrados, no con "cualquiera con el enlace".
- Al compartir, pregúntate: ¿esta persona lo necesita de verdad?
- Revisa con regularidad quién tiene acceso a carpetas sensibles y retira el acceso superfluo.
Cómo integrarlo en tu programa de concienciación
La clasificación solo funciona si la gente conoce y aplica las etiquetas; es una tarea de concienciación, no de TI.
- Enseña las etiquetas con ejemplos y hazlas visibles en plantillas y firmas de correo.
- Combina con una campaña de 'compartir con conciencia': personas nombradas en vez de cualquiera-con-el-enlace.
- Comprueba por muestreo si hay carpetas sensibles compartidas en exceso y devuelve el resultado.
- Ofrece profundización en nuestro catálogo de cursos.
Artículos relacionados
- Destruir datos de forma segura: papel, discos y datos en la nube
- Reconocer datos personales: ¿qué cuenta y qué no?
FAQ
¿Qué es la clasificación de datos?
Ordenar la información según su sensibilidad, por ejemplo público, interno, confidencial y estrictamente confidencial. La etiqueta determina cuánta protección necesita la información y cómo puedes tratarla.
¿Qué significa necesidad de conocer?
Que alguien solo accede a los datos que realmente necesita para su trabajo, y no más. Así se limita el daño si una cuenta es hackeada o alguien comete un error.
¿Por qué esto evita brechas?
La mayoría de las brechas vienen de un acceso demasiado amplio y de la compartición accidental. La clasificación aclara cuán sensible es algo, y la necesidad de conocer garantiza que solo lo vean las personas adecuadas. Juntas reducen la superficie de ataque.
¿Quién decide la clasificación de un documento?
Por lo general el creador o propietario del documento, dentro del esquema de clasificación de la organización. En caso de duda, elige la categoría superior y pregunta a la persona responsable de seguridad de la información o privacidad.
¿Cómo aplico la necesidad de conocer al compartir?
Comparte con personas o grupos nombrados en lugar de "cualquiera con el enlace", y pregúntate si el destinatario lo necesita de verdad. Revisa periódicamente quién tiene acceso y retira lo superfluo.