CTL · Control / práctica Identificar · Nivel 2 · Intermedio

Clasificación de la información

Asignar a cada tipo de información un nivel (pública, interna, confidencial, restringida) para saber cómo guardarla, compartirla y destruirla.

¿Qué es?

Clasificar la información es ponerle a cada tipo de dato una etiqueta según qué tan delicado es, para que todos sepan cómo tratarlo: el calendario escolar puede publicarse; el expediente médico de un alumno, no.

Es como los colores de un semáforo en los documentos: verde se comparte con cualquiera, amarillo solo dentro de la escuela y rojo solo con quien lo necesita.

En términos técnicos

  • Se define un esquema de pocos niveles (normalmente cuatro).
  • El dueño de la información decide su nivel según el daño que causaría su divulgación, modificación o pérdida.
  • Cada nivel tiene reglas de manejo: dónde se guarda, quién accede, cómo se envía, si se imprime y cómo se destruye.
  • La información se etiqueta (en el nombre del archivo, el encabezado del documento o con herramientas automáticas).

¿Dónde la vas a encontrar?

En gobiernos (información reservada y confidencial), en empresas (documentos marcados como internos o confidenciales), en herramientas como Microsoft Purview o Google Workspace que etiquetan documentos y en las reglas de cualquier escuela sobre expedientes y calificaciones.

¿Por qué importa?

Un caso verosímil

Una docente, con buena intención, publica en la página del grupo «la lista para la excursión», con nombres, teléfonos de tutores y alergias de cada alumno. Nadie le había dicho que esa información no se publica: para ella era «una lista más».

Qué se perdió

  • Datos personales sensibles (salud) expuestos públicamente.

Qué lo habría evitado

Un esquema simple, explicado a todo el personal: «Expedientes, datos de salud y contactos de tutores = Restringida: solo en el sistema escolar, nunca en redes, grupos ni páginas». Con la regla clara, la docente habría publicado solo la fecha y el punto de reunión.

¿Cómo se aplica?

Esquema de cuatro niveles

Nivel Qué incluye (escuela) Si se divulga…
Pública Calendario, oferta educativa, avisos generales No pasa nada
Interna Planeaciones, minutas, directorio del personal Molestia menor
Confidencial Calificaciones, listas de alumnos, nómina Daño a personas o a la escuela
Restringida Expedientes médicos y psicológicos, datos de casos especiales, contraseñas Daño grave, responsabilidad legal

Reglas de manejo por nivel

Acción Pública Interna Confidencial Restringida
Dónde se guarda Cualquier lugar Espacios institucionales Sistema escolar o carpeta con acceso por rol Sistema con acceso nominal y bitácora
Enviar por correo Sí Solo a cuentas institucionales Solo a quien lo necesita Evitarlo; si es necesario, cifrado
USB personal Sí No recomendable No No
Imprimir Sí Sí Solo lo necesario y recogerlo de inmediato Solo con autorización
Destruir Normal Normal Trituradora / borrado seguro Trituradora / borrado seguro con registro

Por nivel

Nivel Cómo aplicarlo
Persona Distingue lo que puedes publicar de lo que no (documentos oficiales, datos bancarios, ubicación)
Escuela Esquema de cuatro niveles en una página, con ejemplos concretos, explicado al personal
Empresa Política de clasificación, etiquetado en documentos y herramientas de prevención de fuga de datos (DLP)

Relación con NIST CSF 2.0

Función Categoría Relación
Identificar (ID) ID.AM — Asset Management Los activos, incluidos los datos, se priorizan según su clasificación, criticidad e impacto
Proteger (PR) PR.DS — Data Security Los datos se protegen según su nivel
Proteger (PR) PR.AA — Identity Management, Authentication, and Access Control El acceso se concede según la clasificación

Para tomar en cuenta

  • Pocos niveles: tres o cuatro bastan; más genera confusión.
  • Con ejemplos: el personal entiende mejor «las calificaciones son confidenciales» que una definición abstracta.
  • La información cambia de nivel: un examen es restringido antes de aplicarse e interno después.
  • El nivel lo decide el dueño, no quien la tiene a la mano.
  • En el sector público, la clasificación también depende de la ley de transparencia (información reservada o confidencial).

Material descargable

Aún no hay material descargable para este tema. Pronto habrá cuadernillos, manuales o laboratorios.

Referencias

  • ISO/IEC. ISO/IEC 27001:2022, controles 5.12 (Clasificación de la información), 5.13 (Etiquetado) y 5.14 (Transferencia de información).
  • NIST. FIPS 199 — Standards for Security Categorization of Federal Information and Information Systems (2004). https://csrc.nist.gov/pubs/fips/199/final
  • NIST. The NIST Cybersecurity Framework (CSF) 2.0 (2024), categorías ID.AM y PR.DS. https://www.nist.gov/cyberframework

Antes conviene ver…

Relacionado con…

© solutions_ · Ciberseguridad · 11 Clasificación de la información