Se calcula que una empresa mediana gestiona en torno a un petabyte de datos de todo tipo dentro de su organización, mientras que una gran empresa puede llegar a afrontar el reto de gestionar entre 200 y 300 petabytes de datos. Y, aunque las tecnologías de big data e inteligencia artificial han puesto el valor en la cualificación del dato para su utilización de cara a la generación de negocio, convirtiendo al dato en uno de los grandes activos de la empresa, lo cierto es que más vital, y muchas veces desconocido, es saber cómo implementar una adecuada data classification y etiquetado para velar por su seguridad y protección y garantizar el cumplimiento de las normativas de privacidad.
De esta manera, la clasificación de datos o data classification es un paso fundamental en la gestión de los riesgos de ciberseguridad, sobre todo cuando se trata de datos sensibles. La clasificación de datos implica identificar los tipos de datos que se reciben, crean, comparten, procesan y almacenan en los diferentes sistemas de información de una organización o de los sistemas y aplicaciones que la organización opera, cuando hablamos de soluciones en la nube, para salvaguardar la información y cumplir con las regulaciones de privacidad y protección de datos.
Además, una correcta política y arquitectura de data classification ayuda a fortalecer la postura de seguridad y reducir el riesgo de incidentes relacionados con la exposición de información confidencial. Sobre todo, porque la gestión de los datos implica también determinar la confidencialidad de los datos, el daño reputacional y el impacto probable en caso de que se vean comprometidos, se pierdan o se utilicen de forma indebida, más allá de las sanciones económicas previstas en las normativas de protección de datos como GDPR o la Directiva NIS2 (Directiva (UE) 2022/2555)
Clasificación de datos: ¿por qué es importante?
La clasificación de datos es importante porque ayuda a mantener seguros los datos confidenciales que maneja una organización; reduce las posibilidades de que se produzcan violaciones o usos indebidos de los datos; vela por la protección y seguridad de los datos facilitando el registro de auditoría de acceso a datos sensibles; permite definir políticas para la gestión de todo el ciclo de vida del dato (obtención, creación, procesado y eliminación); y respalda el cumplimiento de las leyes de protección de datos.
Una política integral de data classification puede aumentar la visibilidad sobre cómo se recopilan y procesan los datos, reasignar recursos a otros proyectos estratégicos y minimizar el riesgo operativo al garantizar el cumplimiento normativo. Gracias al avance de las tecnologías y la aparición de herramientas y plataformas como ArexdataDSPM la clasificación de datos ha dejado de ser tan compleja.
Y es que, si echamos la vista atrás, la clasificación de datos está dando un salto cualitativo en los últimos años. En sus inicios se hacía a través de procesos manuales por lo que, a menudo, los datos estaban expuestos a errores e inconsistencias debido a la intervención humana. Con la digitalización y el aumento exponencial del volumen de datos en las empresas la clasificación manual se convirtió en una metodología poco práctica e ineficiente, sobre todo, ante la necesidad de gestionar el volumen de datos, la velocidad a la que se crean y se demandan, y la variedad y tipología de los datos.
Automatización y data classification
Esta situación, llevó al desarrollo de sistemas de clasificación de datos automatizados, que aprovechaban algoritmos y aprendizaje automático para clasificar los datos según criterios predefinidos. Con la ayuda de la tecnología, no sólo se ha mejorado la precisión en el tratamiento y clasificación de los datos, sino que también se ha reducido el tiempo necesario para la clasificación de datos y, sobre todo, para su gestión.
Así, con la integración de tecnologías de big data y de inteligencia artificial avanzada, la clasificación de datos se ha vuelto aún más sofisticada, capaz de identificar información confidencial dentro de conjuntos de datos complejos y aplicar las medidas de seguridad adecuadas. Y, especialmente importante, como ocurre con el caso de ArexdataDSPM, es que desde una única plataforma y con apenas un par de clics, es posible controlar y gestionar todos los datos independientemente de su ubicación (Cloud, On-Premise, BBDD, Puestos de Trabajo, etc.) a lo largo de todo su ciclo de vida.
Con usuarios en la oficina o trabajando en movilidad o desde ubicaciones remotas, para garantizar una gestión de riesgos eficaz, las compañías deben considerar la posibilidad de clasificar los datos trabajando en sentido inverso a partir del uso contextual de los datos y creando un esquema de categorización que tenga en cuenta si un caso de uso determinado tiene un impacto significativo en las operaciones de negocio de una organización. Por ejemplo, determinando si los datos son confidenciales, deben tener integridad y/o estar disponibles para qué personas o desde dónde. Y siempre sin perder de foco el cumplimiento normativo.
Cómo implementar una política de clasificación de datos
La clasificación de datos es particularmente importante a medida que las nuevas leyes y regulaciones globales de privacidad brindan a los consumidores derechos de acceso, eliminación y otros controles sobre los datos personales. Así, una correcta política de clasificación de datos permite a las organizaciones facilitar con rapidez el acceso a los datos según su tipología al ser capaces de verificar la identidad del solicitante, localizar sus datos personales, asegurarse de que los datos devueltos solo contengan los datos personales del solicitante y posiblemente rechazar una solicitud si no es coherente con la ley aplicable.
Y es que un marco de clasificación de datos junto con el etiquetado y el marcado adecuados ayudarán a proteger los datos personales y los datos más sensibles que maneja una empresa. Para ello se pueden utilizar etiquetas secundarias dentro de un nivel de clasificación para ayudar con el etiquetado, al descubrimiento de datos de privacidad relevantes y, sobre todo, a la trazabilidad y el control del acceso a datos confidenciales.
Data Classification: Multientorno
Si tomamos como referencia las funcionalidades de Arexdata DSPM, la gestión de clasificación multi entorno proporciona herramientas para clasificar y ubicar datos sensibles almacenados en repositorios locales, cloud, puestos de trabajo, etc., extendiendo la seguridad más allá del perímetro de la organización. Mediante el registro de auditoría de acceso a datos sensibles es posible conocer y registrar todas las actividades relacionadas con el acceso a los datos sensibles, lo que permite realizar un seguimiento de quién ha accedido a qué información y cuándo. Por su parte, la funcionalidad de protección contra la fuga de datos previene o detecta la exfiltración de datos sensibles, ya sea mediante medios electrónicos o impresiones físicas. Una funcionalidad muy interesante, por ejemplo, para situaciones de espionaje, borrado intencionado de datos o copia de bases de datos de clientes por parte de un empleado que deja la empresa o que ha sido despedido.
Cabe insistir una vez más, que una correcta implantación de data classification pasa por gestionar todo el ciclo de vida de los datos y definir políticas para el almacenamiento, retención y eliminación adecuada de datos sensibles, de acuerdo con los requisitos legales y normativos. En el caso de nuestra plataforma, está incluida dentro de la sección Gobierno del Dato certificada por el CCN e incluida en su catálogo CSPIC y facilita la sinergia con normativas como: ISO/IEC 27001 y ENS (Esquema Nacional de Seguridad), que son utilizadas como una base tecnológica para cumplir con los requisitos de la NIS2.
