Proteger la información de una organización comienza por saber exactamente qué tan crítico es cada activo. En este laboratorio práctico se completa la matriz de clasificación de activos de información utilizando una plantilla en Excel, aplicando los criterios de la triada de seguridad y asignando controles iniciales según lo que reporta el dueño del proceso.
¿Cómo se valora un activo con confidencialidad, integridad y disponibilidad?
La valoración del activo de información se realiza en la sección correspondiente de la plantilla, donde se evalúan tres dimensiones fundamentales [00:24]:
- Confidencialidad: determina quién puede acceder al activo. Se clasifica en alto, medio o bajo.
- Integridad: mide qué tan importante es que la información permanezca exacta y sin alteraciones.
- Disponibilidad: evalúa la necesidad de que el activo esté accesible cuando se requiera.
Cada valor lo entrega el dueño del proceso, es decir, el funcionario que utiliza el activo a diario. La plantilla ya está formulada para calcular automáticamente la criticidad del activo según las combinaciones que se ingresen.
¿Por qué un solo valor alto convierte al activo en crítico?
Un punto clave es que basta con que uno solo de los tres elementos esté clasificado en alto para que el activo sea considerado crítico [01:12]. Por ejemplo, si la confidencialidad es baja y la disponibilidad es baja, pero la integridad es alta, la criticidad resultante sigue siendo alta. Esto significa que tu esfuerzo de protección debe centrarse en el elemento que eleva esa criticidad.
Cuando los tres valores están en bajo o medio sin ninguno en alto, el sistema indica que el activo no es crítico [01:36].
¿Cómo funciona la clasificación automática de la información?
La siguiente sección de la plantilla realiza la clasificación de la información de forma automática a partir de los valores ingresados [02:30]:
- Si la confidencialidad es baja, el activo se clasifica como público.
- Si la disponibilidad sube a alto, el documento pasa a ser altamente confidencial, lo que indica información estratégica de la organización.
- Un nivel medio genera una clasificación de confidencial, que requiere protección parcial.
Esta formulación sigue los lineamientos de la norma ISO 27001 [02:50]. La recomendación es mantener los términos y la estructura de la plantilla alineados con este estándar, modificando únicamente los ítems si la organización lo necesita.
¿Qué controles iniciales se deben registrar en la matriz?
En la sección final de la plantilla se documentan los controles existentes que el usuario ya aplica sobre el activo [03:25]. No se trata de inventar protecciones, sino de registrar lo que el funcionario declara como medida actual.
¿Cuáles son los tipos de control y quién es responsable?
Cada control se clasifica según su tipo [04:00]:
- Manual: el funcionario ejecuta toda la actividad. Ejemplo: guardar documentos físicos en una cajonera con llave.
- Semiautomático: combina la intervención de un sistema de información con trabajo manual del usuario.
- Automático: interviene únicamente un sistema. Ejemplo: un file server con directorio activo que controla el acceso a archivos digitales. Este es el control ideal.
El campo de responsable indica quién custodia ese control específico, no todo el proceso [04:35]. En el caso del control manual, el responsable es el secretario que tiene la llave. En el control automático del servidor, la responsable es la gerencia de tecnología que administra la infraestructura.
¿Es necesario invertir en software especializado desde el inicio?
La recomendación es clara: no solicites recursos económicos elevados a la alta dirección para software especializado cuando el proyecto apenas comienza [01:55]. La plantilla en Excel funciona como un insumo inicial sólido para construir tu sistema de gestión. Una vez que domines el proceso y lo tengas bien estructurado, puedes dar el paso hacia herramientas más robustas.
El siguiente paso es identificar los activos de información en tu propia organización y completar cada celda de la matriz con los datos reales. Comparte en los comentarios cómo avanza tu ejercicio y qué dudas específicas surgen sobre cada campo.
