Categorizar con FIPS 199 y tipos de información

La norma FIPS 199 mide el impacto de un fallo de seguridad en tres propiedades: confidencialidad (que solo vean quienes deben), integridad (que los datos no cambien sin autorización) y disponibilidad (que estén cuando se necesitan). Cada una recibe un nivel de impacto: bajo, moderado o alto, según el daño que causaría su pérdida a la misión, a los activos o a las personas.

El método práctico es por tipos de información (la guía SP 800-60 ayuda a nombrarlos): se valora cada tipo en las tres propiedades y el sistema toma, para cada propiedad, el nivel más alto entre sus tipos. A esto se le llama la marca de agua alta. El nivel mide el daño de la pérdida, no la probabilidad de que ocurra ni el historial de incidentes.

El sistema no hereda el promedio de sus tipos sino el nivel más alto de cada propiedad: un solo tipo de información con disponibilidad Moderada obliga a todo el sistema a tratarla como Moderada. Revisa los cinco tipos del Visor Predial con SELECT * FROM tipos_de_informacion.

Las reglas de clasificación de la casa añaden criterio propio sobre FIPS 199. Una de ellas fija un mínimo para los datos que identifican a una persona. Si un tipo de información la incumple, la categorización no está terminada aunque la tabla esté completa.

Lee las reglas con SELECT * FROM reglas_de_clasificacion y compáralas con los tipos.

La propuesta del responsable del sistema es declararlo todo Bajo porque parte de los datos es pública y nunca hubo un incidente. Lee SELECT * FROM propuesta_del_responsable. La categorización se hace sobre el daño que causaría una pérdida, y la integridad de un registro de titularidad es la que sostiene los cobros y las escrituras: ningún tipo del sistema es insignificante en esa propiedad.