Los equipos manejan los datos de forma inconsistente — unos sobreprotegen datos triviales, otros exponen datos sensibles. ¿Qué control fundamental ayuda?
Respuesta breve
Un manejo inconsistente suele significar que no hay una definición compartida de sensibilidad, así que el control fundamental es un esquema de clasificación de datos (p. ej., público/interno/confidencial/restringido) con requisitos definidos de manejo, almacenamiento y compartición por nivel, que permite a los equipos aplicar controles proporcionados. No cifrar nada 'para simplificar' o tratar todos los datos como públicos despoja de protección a los datos que la necesitan. Borrar todos los datos de más de un día destruye registros que el negocio y la ley requieren. Solo un esquema de clasificación alinea la fuerza de los controles con la sensibilidad real de los datos.
Cuando los equipos protegen los datos de forma inconsistente, la causa raíz casi nunca es una herramienta que falta, sino que nadie ha acordado cuánto valen los datos. Sin una definición compartida de sensibilidad, cada equipo improvisa: los datos triviales se blindan mientras los datos genuinamente sensibles se filtran. La solución fundamental es un esquema de clasificación de datos.
Cómo resuelve el problema la clasificación
Un esquema de clasificación define un pequeño número de niveles —comúnmente público, interno, confidencial, restringido— y, para cada nivel, los requisitos de manejo, almacenamiento, compartición y eliminación. Una vez etiquetados los datos, la fuerza del control se sigue de forma automática: los datos restringidos reciben cifrado, control de acceso estricto y DLP; los datos públicos no llevan ninguna de esas cargas. Así la protección se vuelve proporcionada —ni desperdiciada en trivialidades, ni ausente donde importa— y da a cada equipo el mismo reglamento en lugar de depender del criterio individual.
Por qué fallan las respuestas incorrectas
"No cifrar nada para simplificar" elimina la protección al por mayor, dejando los datos sensibles expuestos —lo contrario del objetivo—. "Tratar todos los datos como públicos" es el mismo error elevado a política: declara que nada necesita protección, lo cual es falso para cualquier organización real. "Borrar todos los datos de más de un día" confunde retención con clasificación y es activamente dañino —destruye registros que el negocio necesita y que reglas legales, fiscales o regulatorias suelen obligar a conservar—. Ninguna alinea los controles con la sensibilidad; aplican un único ajuste tosco a todo.
El criterio que se evalúa
El entrevistador comprueba que recurres al control habilitador del que cuelga todo lo demás. La clasificación está aguas arriba de las decisiones de DLP, retención, control de acceso y cifrado —acertarla hace que esos controles sean sencillos de orientar—. Las buenas respuestas señalan que un propietario de datos (y no solo el equipo de GRC) debería fijar la clasificación, que las etiquetas deben ser utilizables o se vuelven letra muerta, y que el esquema solo aporta valor cuando realmente impulsa los controles aguas abajo. Es la diferencia entre proteger los datos por su sensibilidad y protegerlos a ojo.
Posibles preguntas de seguimiento
- ¿Quién debería decidir la clasificación de un conjunto de datos: el propietario, el equipo de GRC o una herramienta automatizada?
- ¿Cómo evitas que la clasificación se convierta en algo que nadie aplica?
- ¿Cómo se conecta la clasificación, aguas abajo, con la DLP, la retención y el control de acceso?