¿Qué es la clasificación de datos?
La clasificación de los datos -o la organización y categorización de los datos en función de su sensibilidad, importancia y criterios predefinidos- es fundamental para la seguridad de los datos. Permite a las organizaciones gestionar, proteger y manejar eficazmente sus activos de datos mediante la asignación de niveles de clasificación. Al hacerlo, las organizaciones pueden priorizar los recursos y aplicar medidas de seguridad adaptadas a los requisitos de cada categoría de datos.
Explicación de la clasificación de datos
La clasificación de datos ayuda a identificar y proteger la información sensible, como la información personal identificable (IPI), la información sanitaria protegida (IPP) y los datos financieros. Al categorizar los datos según su nivel de sensibilidad, importancia u otros criterios, las organizaciones pueden proteger y manejar eficazmente los activos de datos con medidas de seguridad adecuadas a cada tipo de datos. El cumplimiento de las normas normativas, como GDPR, HIPAA, o CCPA, depende en gran medida de la clasificación de los datos.
Cómo funciona la clasificación de datos
La realización de la clasificación de datos comienza con la definición de un esquema de clasificación, que esboza las categorías y los criterios para cada tipo de datos. Los niveles comunes de clasificación incluyen público, uso interno, restringido y confidencial. A continuación, las organizaciones identifican sus activos de datos, tanto estructurados como no estructurados, y determinan el nivel de clasificación adecuado para cada activo.
Las herramientas y soluciones automatizadas pueden ayudar en el proceso de clasificación, utilizando algoritmos avanzados para escanear y analizar los datos, haciéndolos coincidir con las categorías definidas en función del contenido, los metadatos u otros atributos. Además, la clasificación manual con intervención humana puede entrar en juego cuando se requieren conocimientos especializados para evaluar la sensibilidad o la importancia de los datos.
Una vez clasificados los datos, las organizaciones pueden actuar sobre esta información mediante la implementación de controles y políticas de seguridad adecuados para cada nivel de clasificación. Estas medidas pueden incluir el cifrado de los datos sensibles, controles de acceso basados en las funciones de los usuarios y políticas de conservación de datos adaptadas a los requisitos de cada categoría.
La integración de la clasificación de datos en sus prácticas de seguridad permite a las organizaciones optimizar la asignación de recursos, priorizar las medidas de protección y tomar decisiones informadas sobre el almacenamiento de datos, los controles de acceso, el intercambio de datos y los periodos de conservación. Como en todo lo relacionado con la seguridad en la nube, un enfoque proactivo y específico mitiga los riesgos y fortalece la postura de seguridad.
Por qué es importante la clasificación de datos
Comprender la importancia de la clasificación de datos es fundamental para salvaguardar la información sensible y mitigar los riesgos. Los expertos en seguridad pueden identificar los activos más críticos y sensibles dentro del ecosistema de datos de una organización clasificando los datos. Este conocimiento les permite asignar las medidas de seguridad adecuadas, como el cifrado, los controles de acceso y la supervisión, a las categorías de datos de mayor riesgo.
Utilizando la clasificación de datos, las organizaciones pueden orientar los protocolos de seguridad de la forma más eficaz para lograr la mayor protección de su valiosa y sensible información. Más allá de la seguridad, los diferentes tipos de clasificación de datos permiten a las organizaciones alinear sus esfuerzos de seguridad con las normativas específicas del sector y los requisitos legales.
¿Qué es la PCI?
Organizaciones de todos los sectores se enfrentan a las formidables normas de la Industria de Tarjetas de Pago (PCI). Estas normas, establecidas por las principales compañías de tarjetas de crédito, sirven de baluarte para salvaguardar los datos de los titulares durante las transacciones de pago. Entre en el Payment Card Industry Data Security Standard (PCI DSS), un marco que impone directrices y requisitos a las empresas que manejan, procesan o almacenan información de tarjetas de pago.
El cumplimiento de la PCI no es negociable para las entidades implicadas en la aceptación, transmisión o alojamiento de datos de titulares de tarjetas: piense en comerciantes, instituciones financieras y proveedores de servicios. La DSS de la PCI desencadena un aluvión de medidas de seguridad: fortificar la seguridad de red, emplear el cifrado, reforzar los controles de acceso y realizar evaluaciones periódicas de vulnerabilidad.
¿Qué es la IIP?
Cuando se trata de información sensible, otra área de preocupación son los datos que identifican a una persona, también conocidos como información personal identificable (IPI). Este término abarca ampliamente una gran variedad de datos, entre los que se incluyen:
- Nombres
- Números de la seguridad social (SSN)
- Direcciones
- Números de teléfono
- Direcciones de correo electrónico
- Datos de la cuenta financiera
- Datos biométricos
La IIP tiene un valor significativo para los individuos y las organizaciones, ya que es fácilmente explotable para el robo de identidad, el fraude u otras actividades maliciosas. Identificar y salvaguardar la IIP es crucial para la protección de la privacidad y el cumplimiento normativo. Las organizaciones deben implementar medidas de seguridad sólidas, como el cifrado, los controles de acceso y la anonimización de datos, para garantizar la confidencialidad y la integridad de la IPI.
¿Qué es la IPS?
En el ámbito médico, la información sanitaria protegida (PHI, por sus siglas en inglés) abarca todos los datos sensibles relacionados con la salud, las condiciones médicas o los tratamientos de una persona, y a menudo incluye la IPI. Esta valiosa información abarca una serie de datos, entre los que se incluyen:
- historiales médicos
- resultados del diagnóstico
- recetas
- datos del seguro de enfermedad
- cualquier otro dato personal identificable relacionado con la salud
La gestión de la información sanitaria protegida en Estados Unidos es todo un reto, ya que está muy regulada por la Ley de Portabilidad y Responsabilidad de los Seguros Sanitarios (HIPAA), que garantiza las normas de privacidad y seguridad que deben seguir los proveedores de atención sanitaria. El personal sanitario y las organizaciones deben salvaguardar la confidencialidad de la información sanitaria protegida para proteger la intimidad de los pacientes, evitar accesos no autorizados y cumplir los requisitos legales. Cumplir estos requisitos implica extremar las medidas de seguridad, que incluyen los protocolos más exigentes para los controles de acceso, la codificación y los registros de auditoría.
Desafíos del GDPR
Para cualquier organización que almacene datos de ciudadanos o residentes de la Unión Europea (UE), se enfrenta a un reto de privacidad de datos más importante que la mera identificación de tipos de datos específicos. Deben cumplir el Reglamento General de Protección de Datos (GDPR) que establece requisitos estrictos para las organizaciones que manejan datos personales, y garantizar la transparencia, la responsabilidad y el control sobre cómo se recopila, procesa y almacena la información personal. Como incentivo para el cumplimiento, el RGPD también impone importantes sanciones por incumplimiento, con multas que alcanzan hasta el 4% de los ingresos anuales globales de una empresa o 20 millones de euros, la cifra que sea más alta, lo que hace extremadamente prohibitivo para las empresas ignorar el mandato.
Además, concede a los ciudadanos y residentes de la UE diversos derechos, como el de acceder a sus datos, el de ser olvidados y el de portabilidad de datos. Cada uno de estos derechos debe ser facilitado por las organizaciones que almacenan sus datos, exigiéndoles que sepan en todo momento dónde están almacenados los datos correspondientes, junto con quién puede acceder a ellos para mantener el cumplimiento del GDPR. También deben incluir procesos para eliminar estos datos de un individuo a petición, lo que depende de saber dónde residen los datos relevantes.
Niveles de clasificación de datos
La clasificación de los datos puede hacerse manual o automáticamente, utilizando una combinación de juicio humano y algoritmos avanzados. Los niveles de clasificación de los datos pueden variar, desde etiquetas simples como "público", "confidencial" y "sensible" hasta categorías más detalladas basadas en reglamentos específicos y normas industriales.
Ejemplo de niveles de clasificación de datos:
- Datos confidenciales: Esta es la categoría más sensible e incluye datos que deben protegerse a toda costa, como secretos comerciales, información financiera, información personal identificable (IPI) e información comercial confidencial.
- Sólo para uso interno: Esta categoría incluye datos sensibles pero no son tan críticos como los datos confidenciales, como la información sobre las nóminas de los empleados, los memorandos internos y los planes de proyectos.
- Datos restringidos: Esta categoría incluye datos sensibles pero no son tan críticos como los datos confidenciales, como la información sobre clientes, planes de marketing e información sobre precios.
- Datos públicos: Esta categoría incluye los datos que no son sensibles y pueden compartirse libremente con el público, como los comunicados de prensa de las empresas y los materiales de marketing.
- Datos archivados: Esta categoría incluye los datos que ya no se utilizan activamente pero que deben conservarse por motivos legales, normativos o históricos, como los antiguos informes financieros y los registros de personal.
Casos prácticos de clasificación de datos
Independientemente del número de mandatos de cumplimiento que deba seguir una organización, es esencial adoptar la clasificación de datos. La implementación de la detección de datos como mejor práctica puede mejorar significativamente la seguridad de forma selectiva y eficaz. Al conocer los datos sensibles de su ecosistema y categorizarlos en consecuencia, las organizaciones pueden asignar recursos de forma más eficaz y priorizar las medidas de seguridad en consecuencia.
La clasificación de datos no sólo ayuda en los esfuerzos de cumplimiento, sino que también desempeña un papel crucial en la prevención de brechas de seguridad. Al identificar y proteger los datos sensibles, las organizaciones pueden mitigar los riesgos de accesos no autorizados y posibles violaciones, evitando las consecuencias negativas de una seguridad comprometida. Adoptar la clasificación de datos y utilizar técnicas de descubrimiento es un paso proactivo para salvaguardar la información valiosa y garantizar la integridad y fiabilidad de los activos de datos de una organización.
¿Cuáles son algunos ejemplos de clasificación de datos?
Para que la seguridad de los datos sea eficaz, es necesario clasificar varios tipos de datos, ya que se consideran sensibles y requieren protección contra el acceso no autorizado, el robo o la pérdida.
- La información personal identificable (IPI) incluye datos que pueden utilizarse para identificar a una persona, como el nombre completo, el número de la Seguridad Social, el número del carné de conducir o el del pasaporte.
- Información financiera se refiere a datos relacionados con transacciones y cuentas financieras, como números de tarjetas de crédito, números de cuentas bancarias e información sobre inversiones.
- Información comercial confidencial implica datos privados que proporcionan a una empresa una ventaja competitiva, como secretos comerciales, planes de negocio e investigaciones de mercado.
- La información sanitaria son datos relacionados con el estado de salud y el historial médico de una persona, como diagnósticos, planes de tratamiento e información sobre recetas.
- La propiedad intelectual incluye datos relacionados con patentes, marcas registradas, derechos de autor y secretos comerciales.
- La información gubernamental está clasificada o restringida por los organismos gubernamentales, como la información de seguridad nacional, los registros de las fuerzas de seguridad y la información militar clasificada.
- Información para empleados: Esto incluye datos relacionados con los empleados, como información sobre nóminas, evaluaciones del rendimiento laboral y expedientes disciplinarios.
Estos son sólo algunos ejemplos de los datos de clasificación vitales para mejorar la seguridad de los datos. Los tipos de datos específicos que deben clasificarse variarán en función de los requisitos de seguridad de la organización. El objetivo de la clasificación de datos, sin embargo, sigue centrado en comprender el nivel de sensibilidad de los datos y determinar las medidas de seguridad adecuadas necesarias para protegerlos.
¿Cómo mejora la clasificación de los datos su seguridad?
La clasificación de los datos determina las medidas de seguridad apropiadas necesarias para protegerlos de accesos no autorizados, robos o pérdidas. Como tal, informa muchas prácticas en la seguridad de los datos.
Evaluación de riesgos
La clasificación de los datos se utiliza para identificar los activos más críticos y priorizar la protección de los datos sensibles. Esto ayuda a las organizaciones a centrar sus esfuerzos de ciberseguridad en las áreas que requieren más atención.
Control de acceso
La clasificación de datos ayuda a las organizaciones a determinar quién debe tener acceso a los datos sensibles y qué nivel de acceso debe tener. Por ejemplo, los datos altamente sensibles pueden ser accesibles sólo para un pequeño grupo de personal autorizado, mientras que los datos menos sensibles pueden ser accesibles para un grupo más amplio de empleados.
Cifrado de datos
La clasificación de los datos ayuda a las organizaciones a determinar qué datos requieren encriptación y el nivel de encriptación necesario. Por ejemplo, algunos datos altamente sensibles podrían requerir encriptación tanto en reposo como en tránsito, mientras que los datos menos sensibles podrían necesitar ser encriptados sólo en reposo.
Copia de seguridad y recuperación de datos
La clasificación de los datos ayuda a las organizaciones a determinar qué datos necesitan una copia de seguridad y con qué frecuencia. Por ejemplo, es posible que los datos altamente sensibles necesiten copias de seguridad diarias y almacenadas en ubicaciones seguras externas, mientras que los datos menos sensibles sólo necesiten copias de seguridad semanales.
Cumplimiento
La clasificación de datos también se utiliza para garantizar el cumplimiento de normativas de protección de datos como el Reglamento General de Protección de Datos (RGPD), la Ley de Portabilidad y Responsabilidad de los Seguros Médicos (HIPAA) o la Norma de Seguridad de Datos del Sector de las Tarjetas de Pago (PCI DSS). Estas normativas suelen exigir a las organizaciones la implementación de medidas de seguridad específicas para proteger los datos sensibles, y la clasificación de los datos es el primer paso para determinar qué datos entran en esta categoría..
Preguntas frecuentes sobre clasificación de datos
El cumplimiento de la privacidad de los datos se refiere a la adhesión de una organización a las leyes, reglamentos y normas del sector que rigen la recopilación, el almacenamiento, el procesamiento y el intercambio de datos personales y sensibles.
Los requisitos de cumplimiento varían en función de la jurisdicción, el sector y el tipo de datos de que se trate, con ejemplos como el Reglamento General de Protección de Datos (RGPD), la Ley de Portabilidad y Responsabilidad de los Seguros Médicos (HIPAA)
El cumplimiento del GDPR se refiere a la adhesión de una organización al Reglamento General de Protección de Datos de la Unión Europea, una ley integral de privacidad de datos que entró en vigor en mayo de 2018. El reglamento se aplica a cualquier organización que procese datos personales de residentes en la UE, independientemente de su ubicación geográfica.
El cumplimiento del GDPR implica la implementación de medidas de protección de datos como la minimización de datos, el cifrado y la seudonimización, así como garantizar que se respetan los derechos de los interesados, incluido el derecho de acceso, rectificación y supresión. Las organizaciones también deben realizar evaluaciones del impacto de la protección de datos, nombrar a un responsable de protección de datos si es necesario e informar de las violaciones de datos en un plazo de 72 horas.
La normativa HIPAA hace referencia a la Ley de Portabilidad y Responsabilidad de los Seguros Sanitarios, una ley federal estadounidense que establece normas para proteger la privacidad y la seguridad de la información sanitaria de los pacientes. La normativa consta de la Regla de Privacidad, que regula el uso y la divulgación de la información sanitaria protegida (PHI), y la Regla de Seguridad, que establece requisitos específicos para salvaguardar la confidencialidad, integridad y disponibilidad de la PHI electrónica.
Las organizaciones que manejan PHI, como los proveedores de atención sanitaria y sus socios comerciales, deben implementar salvaguardas administrativas, físicas y técnicas, así como garantizar una formación adecuada y prácticas de gestión de riesgos para lograr el cumplimiento de la HIPAA.
