Clasificación de la información

Clasificar es asignar a un conjunto de datos un nivel según el daño que causaría su divulgación. Los marcos de seguridad de la información (la familia ISO/IEC 27000, las categorías de impacto bajo, moderado y alto de FIPS 199 y NIST SP 800-60) parten de la misma idea: el nivel sale del impacto, no de la tecnología donde se aloja.

Por eso lo fija el propietario del dato, que conoce la finalidad y el daño posible, y no el equipo que administra el servidor. Cuando un conjunto mezcla datos de distintos niveles, se protege según el más alto: separarlos es una decisión posterior, no un atajo para clasificar a la baja.

Abre politica-de-clasificacion.txt y lee las reglas.

El nivel solo sirve si se refleja en cómo se almacena el dato. La política exige que únicamente lo Público viva en un almacenamiento con acceso público. Un solo conjunto Reservado en un contenedor abierto basta para que el nivel «exista en el papel» y la información esté, en la práctica, expuesta.

Cruza el nivel de cada fila de inventario-de-datos.csv con la columna de acceso público.

La regla 1 pide nivel y propietario con nombre para todo conjunto. Sin propietario nadie puede decidir el nivel (regla 2), nadie responde si se pide el acceso y nadie aprueba una excepción. En los inventarios reales estos conjuntos suelen ser restos de soporte, exportes temporales o copias hechas «solo por un rato».

Busca la fila a la que le faltan las dos cosas.

Para los niveles Reservada y Clasificada la política pide cifrado con una clave del cliente, es decir, una clave cuyo uso y revocación decide la entidad y no solo el proveedor. En el nivel más alto un conjunto sin esa clave es un hallazgo: el cifrado «por defecto» del proveedor protege contra el robo del disco, pero no le da a la entidad el control de quién puede leer el contenido.

La clasificación también dimensiona el trabajo: los niveles Reservada y Clasificada son los que activan clave del cliente, residencia nacional y acceso nominal. Contarlos le dice a la entidad cuánto de su inventario cae bajo esas reglas, y a un auditor, cuántos conjuntos mirar primero.