Clasificar los datos y seguirles la vida

Clasificar es asignar un nivel a un conjunto de datos para que a cada nivel le corresponda un tratamiento mínimo. El criterio no es técnico: es el daño que causaría que ese dato se divulgara, se alterara o se perdiera, medido sobre las personas a las que pertenece y sobre la empresa. Por eso la política de Cabuya define cada nivel con una frase sobre el daño y no sobre una tecnología.

De ahí sale la regla que más se incumple: el nivel lo da el contenido, no el sistema donde se guarda ni el equipo que lo creó. Una tabla de diagnósticos en una base de datos «interna» sigue siendo restringida. Los marcos de gestión de la seguridad de la información piden clasificar la información y etiquetarla (en ISO/IEC 27002:2022 son los controles 5.12 y 5.13); la parte que importa al arquitecto es que la clasificación se use después para decidir controles.

Un inventario de almacenes declara un nivel por almacén. El método para revisarlo es sencillo y se hace con el expediente delante: por cada fila, lee qué contiene y pregúntate qué nivel de la política le correspondería; luego compara con el declarado. Las diferencias hacia abajo son las peligrosas, porque el almacén recibe menos controles de los que merece.

Cuando hay varias diferencias, se ordenan por la distancia entre el nivel merecido y el declarado: la mayor es la primera que se corrige. En Cabuya, los diagnósticos y las historias clínicas son el ejemplo que da la propia política para el nivel más alto.

Hay almacenes que no tienen un solo tipo de dato sino una mezcla: un buzón de correo, una carpeta compartida, un volcado de base de datos. La regla es que el almacén se clasifica por el elemento más sensible que pueda contener, porque no se puede garantizar que los demás elementos lo sean menos. Separar la parte sensible en otro almacén es una buena decisión de diseño, pero hasta que se haga, el almacén entero lleva el nivel más alto.

Pedirle al cliente o al usuario que no envíe lo sensible no es un control: es una esperanza. El diseño tiene que funcionar el día que alguien lo envíe igualmente.

Los datos tienen ciclo de vida: se crean, se usan, se comparten, se archivan y se destruyen. Cada fase tiene riesgos distintos y se diseña un control por fase. Lo habitual es que las primeras tengan controles (porque dan trabajo a alguien cada día) y que la última no tenga ninguno, porque destruir no produce ninguna queja hasta que el dato aparece donde no debía.

La última fase merece atención propia: un dato que sigue existiendo después de su plazo es una exposición que no sirve a ningún propósito. En esta sala solo la buscas; en la sala sexta se diseña cómo se cierra.

Un dato derivado de otro hereda su nivel mientras conserve lo que lo hacía sensible. Un exporte con cédula y diagnóstico es exactamente tan sensible como las reclamaciones de las que sale; que sea «solo una copia de trabajo» o que lo use otra área no cambia el daño de una divulgación. El nivel baja únicamente cuando el dato se transforma de forma que ya no identifica ni revela (agregarlo, anonimizarlo de verdad), y esa transformación hay que poder demostrarla.

Este principio explica por qué los exportes, los informes y las copias para análisis son los almacenes donde más a menudo se pierde el nivel: nadie los percibe como «el dato».