Esquemas de clasificación y etiquetado

La norma ISO/IEC 27002:2022 trata esto en dos controles seguidos. El 5.12 pide clasificar la información según las necesidades de protección que tiene, y el 5.13 pide etiquetarla para que ese nivel se vea y se pueda automatizar su tratamiento. Primero se decide el nivel y después se marca.

Un esquema útil tiene pocos niveles (cuatro es habitual) y cada uno se define por el daño que causaría su divulgación: ninguno, menor, material, grave. No se define por el formato del archivo, por la carpeta donde vive ni por quién lo escribió. Un esquema con diez niveles no lo aplica nadie, y uno con dos no distingue lo que se protege distinto.

Abre el esquema de Faroval y léelo entero.

Un inventario falla de dos maneras. Puede clasificar de menos (un activo grave marcado como menor: si sale, nadie lo trata con cuidado) o de más (todo Restringido: nadie puede trabajar y la gente empieza a ignorar las etiquetas). La primera es la que causa fugas; la segunda causa evasión del proceso.

Para encontrar la primera se compara cada fila del inventario con la definición del esquema, no con lo que dice la columna del nivel. La columna de contenido dice qué hay de verdad dentro.

Hay una segunda brecha: que el nivel exista en el inventario no significa que el archivo lo lleve. Las herramientas de prevención de fuga que se verán más adelante leen la etiqueta del archivo, no el inventario. Un activo bien clasificado en un Excel de gobierno y sin etiqueta en el archivo es invisible para cualquier control automático.

Cuenta cuántos activos del inventario están en esa situación.

La cláusula de responsables del procedimiento de Faroval es corta: el nivel lo decide el dueño del activo. No lo decide TI, que guarda los archivos pero no sabe qué consecuencias tendría su salida, ni lo decide GRC, que revisa el esquema pero no conoce cada documento. Si no hay dueño, nadie decide, nadie reclasifica y nadie responde.

Busca el activo que se quedó sin dueño.

Los documentos reales mezclan. Un informe de proyecto puede traer una tabla de precios (Confidencial) y una página de contactos del cliente (Interno). Faroval resolvió ese caso con una regla que ya viste en la tabla de reglas: el documento lleva el nivel más alto de lo que contiene, y toda copia o extracto hereda el del original. Es la regla conservadora y la que menos exige decidir cada vez.

Un analista copia un párrafo de un informe Confidencial a un documento nuevo que iba a ser Interno.