Etiquetas de sensibilidad: qué heredan y qué no

Las herramientas de etiquetado distinguen entre etiquetar un elemento (un archivo, un correo, una tabla) y etiquetar un contenedor (un sitio, un grupo, un almacén). En Microsoft Purview, por ejemplo, un elemento lleva una sola etiqueta, y la etiqueta de un contenedor controla cosas como el acceso externo o el uso compartido, pero no etiqueta uno por uno los elementos que contiene. Otras herramientas heredan al crear el objeto y no al cambiar el contenedor. Por eso la herencia nunca se supone: se comprueba en la herramienta y en los datos.

Las etiquetas tienen un orden: la prioridad. Cuanto mayor es, más restrictiva. Subir la etiqueta de un objeto rara vez es problema; bajarla sí, porque deja el dato con menos protección. Por eso las herramientas pueden exigir una justificación cuando alguien cambia a una etiqueta de menor prioridad, y los administradores la pueden leer junto con el cambio. Una etiqueta por defecto fija una base para lo que no tiene etiqueta, pero sin formación puede dar etiquetados inexactos.

Orilla Verde calcula la etiqueta efectiva con una regla escrita: la de mayor prioridad entre la propia y la del contenedor. Con esa regla, un objeto con etiqueta propia baja dentro de un contenedor más restrictivo no es una fuga, pero sí un error de etiquetado: cualquier herramienta que lea solo la etiqueta propia lo tratará como menos sensible de lo que es.

Lee esquema-de-etiquetas.txt, regla-de-calculo.txt, contenedores.txt y objetos.txt.

Un objeto sin etiqueta propia en un contenedor sin etiqueta no hereda nada: queda sin ninguna, y los controles que dependen de la etiqueta (acceso, cifrado, descubrimiento) lo ven como invisible. Es el caso más peligroso, porque nada avisa.

Para dimensionar el trabajo, aplica la regla de la empresa a todos los objetos y cuenta cuántos terminan con la etiqueta efectiva Confidencial. Recuerda que un objeto sin etiqueta propia toma la del contenedor y que gana la de mayor prioridad.