SGSI Corporativo Información Segura es uno de los grupos de discusión de profesionales de seguridad informática más activos de la región. Fabián Descalzo, su coordinador, publicó semanas atrás un interesante artículo en Linkedin sobre la clasificación de la información, un punto que, además de ser necesario para saber exactamente qué hay que proteger y cuanto, está presenta en todas la normas de seguridad.

 

 

Tips básicos ¿quién decide la clasificación correcta? 

1. Los Dueños de Datos son responsables de garantizar que dicha información sea clasificada correctamente en una de las 3 categorías. 

2. Los ‘Autores’ o ‘Creadores’ de la información generalmente determinarán la categoría apropiada consultando al personal de Seguridad de la Información, según sea necesario. 

3. Los Dueños y Autores deben considerar el impacto y probabilidad de divulgación al clasificar la información. El ‘Impacto’ es evaluado en términos de pérdida o ganancia potencial, riesgo de daño a personas, daño a la reputación de la Organización y a la participación de mercado, entre otros factores. 

4. La ‘Probabilidad’ del daño es evaluada en colaboración con el personal de Seguridad de la Información y otros sectores según se requiera. 

5. Las clasificaciones establecidas por los Dueños y Autores de la Información deben ser revisadas sólo con la aprobación del Dueño/Autor. 

6. Para agregar información a un documento o colección nueva, se requiere que quien la agrega, evalúe su sensibilidad y garantice su clasificación correcta. 

Los Dueños de Datos son personas de alta gerencia que son responsables, entre otras cosas, de los niveles de clasificación asignados a la información de la Organización. Aunque los Dueños de la Información son responsables de la correcta clasificación, dicha responsabilidad muchas veces será delegada a los Autores que crean la información. En muchos casos, los Autores entienden mejor el contenido de la información y están en mejor posición de clasificarla correctamente. 

Los Autores pueden generar o crear información ‘desde cero’ o pueden recopilar información a partir de fuentes existentes. La información recibida de otra fuente, ya sea un empleado o un tercero, debe haber sido clasificada previamente. Tomar dicha información y combinarla con otra información de una segunda fuente, ya sea en forma verbal o escrita, crea efectivamente información ‘nueva’ que debe ser clasificada. 

Por ejemplo, el Material A podría contener información personal y ser clasificado como información de ‘Uso Interno’. 
El Material B podría contener información sensible utilizada para algún proceso específico (por ejemplo, información relativa a la salud, religión) y ser clasificado también como información de ‘Uso Interno’. Cuando creamos materiales nuevos que contienen información de ambas fuentes, dicha información se podría clasificar como ‘Confidencial’. 

Es importante entender que si creamos una carpeta para que la vean los demás, en papel o electrónica, que contenga tanto el Material A como el Material B, entonces habremos creado una fuente de información combinada. Como la persona que agrega esta información, más que como el ‘Autor’, necesitarás confirmar que la carpeta resultante esté marcada apropiadamente. 

En términos generales, los pasos involucrados en la clasificación son: 

a. Evaluar el posible impacto en caso de que la información de documentos o archivos electrónicos sea divulgada. Los Dueños y Autores deben considerar el nivel de impacto, el daño potencial a los Clientes y a la reputación de la Organización. 

b. Evaluar la probabilidad de divulgación de la información de documentos o archivos electrónicos. 

c. Asignar la clasificación correcta según el contenido y sensibilidad de la información. 

d. Implementar las medidas de seguridad apropiadas para el almacenamiento, distribución y desecho del documento y/o archivo electrónico, y proporcionar instrucciones adecuadas a los usuarios o receptores que deseen comunicar la información. 

Aunque los Dueños / delegados nominados son responsables de determinar y aplicar la clasificación correcta, cada persona que maneja Información, incluyendo empleados y contratistas, son responsables de garantizar que cualquier información sensible sea manejada de forma correcta y apropiada. 

http://www.itsitio.com

Related Posts

Deja una respuesta

Your email address will not be published. Required fields are marked *