Clasificar correctamente los activos de información es una de las tareas más críticas dentro de un sistema de gestión de seguridad de la información. Comprender cómo aplicar los criterios de confidencialidad, integridad y disponibilidad a cada activo permite proteger lo que realmente importa y asignar recursos de forma inteligente. A continuación se explica paso a paso cómo se realiza este proceso y qué criterios debes dominar para construir tu propia matriz de inventario de activos de información.
¿Qué es la matriz de inventario de activos de información y por qué es un proceso continuo?
El resultado final de todo el trabajo de identificación y clasificación se documenta en la matriz de activos de información [0:08]. Este documento centraliza cada activo con su respectiva clasificación y es la base para las decisiones de protección.
El flujo de trabajo para construirla sigue un ciclo que no termina: revisar, definir, actualizar y publicar. Las flechas del proceso indican que siempre debes estar monitoreando, porque los cambios son inevitables. Si todavía no cuentas con un software especializado, un archivo de Excel es suficiente para comenzar [0:43]. Gastar recursos en herramientas costosas cuando el trabajo apenas inicia puede no ser oportuno; la gestión de recursos es tu responsabilidad y debes ser estratégico con ellos.
¿Cómo se clasifican los activos según la confidencialidad?
La tríada de seguridad —confidencialidad, disponibilidad e integridad— reaparece aquí como el marco fundamental [1:10]. Cada activo se clasifica de acuerdo con estos tres criterios de forma independiente.
En cuanto a la confidencialidad, la norma ISO 27001 propone cuatro niveles, aunque te da libertad para agregar más según las necesidades de tu organización [1:37]:
- Altamente confidencial: información estratégica del negocio. Por ejemplo, la formulación química de una farmacéutica o el diseño de un nuevo dispositivo en empresas como Apple o Samsung [2:06]. Solo un grupo selecto de funcionarios debe acceder a ella. Si cae en manos equivocadas, el impacto reputacional o económico es grave.
- Confidencial: algunos procesos y áreas la necesitan para operar, pero no todas. Una filtración genera impacto negativo en procesos específicos [2:50].
- Pública: información que puede encontrarse en redes sociales, sitios web o con una búsqueda en Google. No requiere destinar grandes recursos de protección porque su exposición no genera afectación significativa [3:09].
- No clasificada: este nivel es especialmente importante. No significa que la información carezca de valor; simplemente no se ha podido clasificar aún porque el funcionario responsable estaba ausente, en vacaciones o en licencia [3:40]. La norma recomienda tratarla como altamente confidencial hasta que puedas determinar su verdadera categoría. Es mejor pecar de precavido que descuidar un activo valioso.
¿Qué significan los niveles de integridad y disponibilidad en la clasificación?
La integridad se refiere a que las modificaciones sobre la información deben realizarse únicamente por usuarios legítimamente autorizados y debidamente registrados [4:42].
¿Qué impacto tiene una alteración no autorizada?
- Alta: una modificación no autorizada genera impacto legal, económico o de imagen. Piensa en una comercializadora donde alguien cambia todos los precios a cero; las demandas y el daño reputacional serían enormes [5:15].
- Media: el daño es moderado. Hay afectación en algún proceso, pero la empresa puede recuperarse sin consecuencias críticas [5:56].
- Baja: la modificación no genera impacto significativo. Un ejemplo claro es un archivo que un usuario guarda en su escritorio por costumbre, pero que no alimenta ningún sistema real [6:30]. Si un atacante lo modifica creyendo que es el archivo clave, no ocurre nada porque los datos reales provienen de otro sistema.
También aplica la categoría no clasificada, que debe manejarse como alta mientras se logra determinar su nivel real [7:30].
¿Cómo se mide la disponibilidad de un activo?
- Alta: la información debe estar accesible en el momento exacto que la compañía la requiere. Si los precios de un producto nuevo no están disponibles el día del lanzamiento, se genera un problema grave de expectativa y ventas [7:50].
- Media: un retraso moderado. Si el sistema de nómina no está disponible el día de pago, quizá debas pagar dos o tres días después. Hay molestias, pero no implica el cierre de la compañía [8:37].
- Baja: la ausencia temporal de los datos no genera impacto relevante en la cadena de procesos [9:22].
Como en los criterios anteriores, los activos cuya disponibilidad no se ha podido evaluar deben tratarse con clasificación alta [9:35].
Ahora que conoces los criterios para clasificar activos, el siguiente paso es llevar todo esto a la práctica construyendo una matriz en Excel. ¿Ya tienes identificados los activos más críticos de tu organización? Comparte tu experiencia en los comentarios.
