¿Qué es la clasificación de datos? Niveles, métodos y guía de implantación paso a paso

• Para la mayoría de las organizaciones bastan cuatro niveles: Público, Interno, Confidencial y Restringido.
• Hay tres métodos principales: clasificación basada en contenido, basada en contexto y realizada por el usuario. Los programas eficaces combinan los tres.
• La norma ISO/IEC 27001:2022, en su Anexo A, define la clasificación de la información (5.12) y su etiquetado (5.13) como controles.
• El artículo 9 del RGPD define las categorías especiales de datos personales; la ley turca KVKK (art. 6) tiene una lista similar. Estos datos deben ir en el nivel más alto.
• La clasificación no es un proyecto puntual. Cada día se crean datos nuevos, así que el descubrimiento y el etiquetado deben ser continuos.

1. ¿Qué es la clasificación de datos?

La clasificación de datos es el proceso de agrupar la información de una organización según su sensibilidad y el impacto que causaría su divulgación no autorizada. Cada grupo recibe un nombre de nivel y cada nivel tiene sus propias reglas: quién puede acceder, dónde se puede almacenar, cómo puede salir de la organización y cuánto tiempo se conserva.

El Instituto Nacional de Estándares y Tecnología de EE. UU. (NIST) define en FIPS 199 niveles de impacto bajo, moderado y alto para la confidencialidad, la integridad y la disponibilidad. NIST SP 800-60 orienta sobre cómo asignar tipos de información a esos niveles. En la práctica empresarial, este enfoque suele traducirse en etiquetas más simples como “Público – Interno – Confidencial – Restringido”.

Esta guía está pensada para responsables de TI, de seguridad de la información y de cumplimiento en privacidad. No es asesoramiento jurídico. Confirme las obligaciones que aplican a su organización con su asesor legal.

2. Niveles de clasificación: un modelo de cuatro niveles

Cuantos más niveles se definen, más difícil es que los usuarios elijan el correcto. Por eso la mayoría de las organizaciones empieza con tres o cuatro. La tabla muestra un modelo habitual de cuatro niveles y los controles típicos de cada uno. Tome los ejemplos como orientación y adáptelos a su propio análisis de riesgos.

3. Métodos de clasificación

Clasificación basada en contenido

Se inspecciona el contenido del archivo con expresiones regulares, algoritmos de verificación y diccionarios de palabras clave. Por ejemplo, los números de tarjeta de pago se validan con el algoritmo de Luhn y el DNI español incluye una letra de control. La validación reduce los falsos positivos de números aleatorios. Este método es objetivo, pero no entiende el contexto: también puede detectar un número de tarjeta ficticio en un archivo de pruebas.

Clasificación basada en contexto

En lugar del contenido, se observa el entorno: qué aplicación creó el archivo, en qué carpeta está, a qué departamento pertenece el propietario, desde qué sistema se exportó. Considerar “Confidencial” todo archivo exportado del sistema de RR. HH. es una regla sencilla y eficaz. Este método es rápido, pero no verifica el contenido.

Clasificación realizada por el usuario

Quien crea el archivo elige el nivel. El propietario del dato es quien mejor conoce el contexto, lo que lo hace valioso para documentos legales, de estrategia y de I+D. Su punto débil es la inconsistencia: con prisa, los usuarios eligen el nivel más bajo. Complemente la elección del usuario con sugerencias automáticas y pida una justificación al rebajar una etiqueta.

4. Relación entre clasificación de datos, DLP y DSPM

La clasificación no protege los datos por sí sola; indica qué datos hay que proteger. La protección ocurre en otras capas:

• DSPM (gestión de la postura de seguridad de datos) descubre dónde están los datos sensibles: servidores de archivos, endpoints y almacenamiento en la nube. Es el lado de “inventario” de la clasificación. Más información: /es/productos/dspm.
• DLP (prevención de pérdida de datos) controla la salida de los datos clasificados por USB, correo, carga web, portapapeles e impresión. Es el lado de “aplicación” de la clasificación. Más información: /es/productos/dlp.
• La gestión de accesos decide quién puede abrir los datos de cada nivel.

Moftgate DLP combina la detección basada en contenido en el endpoint (por ejemplo, patrones de documentos de identidad, IBAN y números de tarjeta) con reglas de contexto, y aplica la política según el nivel del dato: aviso y aprobación para datos “Confidenciales”, bloqueo para datos “Restringidos”. Moftgate DSPM informa de dónde están los datos sensibles, de modo que el programa de clasificación se basa en un inventario real y no en suposiciones. Para los fundamentos, consulte nuestra guía “¿Qué es DLP?”; para la diferencia entre ambos, “¿Qué es DSPM?”.

5. La clasificación de datos ante el RGPD y la KVKK

El artículo 9 del RGPD define las categorías especiales de datos personales, como los que revelan el origen étnico o racial, las opiniones políticas, las convicciones religiosas, la afiliación sindical, los datos genéticos y biométricos y los datos relativos a la salud o la vida sexual. El artículo 32 exige una seguridad adecuada al riesgo y el artículo 30 exige un registro de las actividades de tratamiento. El reglamento no usa la palabra “clasificación”, pero una organización que no sabe distinguir estos datos no puede aplicar el nivel de protección adecuado.

La Ley turca de Protección de Datos Personales n.º 6698 (KVKK), relevante para empresas que operan en Turquía, sigue la misma lógica: su artículo 6 enumera las categorías especiales y su artículo 12 exige medidas técnicas y administrativas que garanticen un nivel de seguridad adecuado. La clasificación es la forma documentada de ese “nivel adecuado”.

6. Plan de implantación paso a paso

• 1. Redacte la política: reúna niveles, definiciones, ejemplos y reglas de cada nivel en un documento de una página. Obtenga la aprobación de la dirección.
• 2. Asigne propietarios de datos: nombre en cada departamento a una persona que decida el nivel de sus datos.
• 3. Descubra: use DSPM o un escaneo de descubrimiento para saber qué servidores, endpoints y almacenes en la nube contienen datos sensibles.
• 4. Defina reglas: configure patrones de contenido, reglas de contexto y opciones de etiquetado para el usuario.
• 5. Empiece en modo supervisión: ejecute primero las políticas de DLP solo con registro y elimine los falsos positivos.
• 6. Aplique de forma gradual: primero bloquee los datos “Restringidos” y después active el aviso y aprobación para los “Confidenciales”.
• 7. Forme: explique los niveles a los empleados con ejemplos reales y muestre por qué importa la etiqueta.
• 8. Mida y revise: informe del número de incidentes, la tasa de falsos positivos y el porcentaje de archivos sin etiquetar; actualice la política al menos una vez al año.

7. Errores frecuentes

• Demasiados niveles: seis o siete niveles confunden a los usuarios y generan etiquetas incoherentes.
• Marcar todo como “Confidencial”: si todo es confidencial, nada lo es, y los usuarios empiezan a ignorar los avisos.
• Clasificar solo los archivos nuevos: los datos antiguos en servidores heredados suelen ser el mayor riesgo.
• No vincular las etiquetas a las herramientas: si DLP y las reglas de acceso ignoran la etiqueta, esta es solo decoración.
• Saltarse el modo supervisión: empezar bloqueando rompe flujos de trabajo y genera rechazo al proyecto.
• No tener propietario del dato: sin alguien que decida el nivel, todos los debates se quedan en el equipo de TI.