¿Quién debe clasificar la información?

De manera general, será el propietario de la información el encargado de realizar tal clasificación en base a los resultados de la evaluación de riesgos, el cual sigue la lógica de que mientras más valiosa sea una información, mayor será las consecuencias en caso de incumplir con su confidencialidad, de modo que el ...

Para realizar el proceso de clasificación de información deben participar activamente los responsables de la producción de la información, jefes de dependencia, y custodios técnicos de la misma, ya que solo el productor de información, puede determinar el nivel de clasificación que debe recibir.

La más famosa divide la información clasificada en cuatro apartados, que son, en orden descendente: Confidencial, Restringido, Interno y Uso Público.

La Clasificación de Datos implica categorizar o estructurar datos en orden de importancia o relevancia. Generalmente la clasificación se realiza según la criticidad de los documentos o según su sensibilidad (confidencial, restringido, uso general y público).

Toda clasificación debe hacerse siguiendo un solo criterio clasificador. Debe ser exhaustiva o completa. La clasificación, según varios criterios, debe guardar orden lógico, teniendo en cuenta la extensión y la comprensión o contenido, es decir: clases, subclases, familias, géneros y especies.

Establecer los criterios de clasificación de la información que esté en poder de “La Organizacion” sin importar el medio que la soporte. Los activos de información deben ser inventariados. La información debe ser clasificada. La información debe ser etiquetada y debe darse el tratamiento adecuado a dicha clasificación.

La clasificación de la información según ISO 27001 es un proceso en el que la organización evalúa los datos que posee y el nivel de protección que cada uno requiere. Se trata de uno de los aspectos más complejos, pero sin duda más interesantes, en la gestión de la seguridad de la información.

Las normas ISO se clasifican en: ISO 9000 (vocabulario de la totalidad) ISO 9001 (modelo para sistema de gestión) ISO 9003 (modelo para producción): Esta norma es anulada por la ISO 9001:2000, siendo la versión actual la ISO 9001:2015.

La norma ISO 27001 es un estándar internacional que establece los requisitos para la implementación, mantenimiento y mejora continua de un Sistema de Gestión de la Seguridad de la Información (SGSI). Este sistema se utiliza para proteger la confidencialidad, integridad y disponibilidad de la información.

¿Qué son los “activos” según la norma ISO 27001? En la Gestión de la Seguridad de la Información, los activos se refieren a cualquier elemento valioso para una organización que debe ser protegido del acceso no autorizado, uso, divulgación, modificación, destrucción o compromiso.

Una clasificación se basta de tan sólo un elemento clasificador o fundamenta (una clasificación según el color del objeto, por ejemplo). En cambio, una tipología precisa la interacción de diversos fundamenta de manera simultánea.

Un criterio de clasificación es una característica que permite agrupar a un conjunto de seres vivos y diferenciarlo del resto.

Confidencial (cuando presenta un nivel mayor de confidencialidad). Restringida (nivel medio de confidencialidad). De uso interno (nivel más bajo de confidencialidad) Público (cuando la información es accesible a todo el público)

Por lo general, los sistemas de clasificación documental se basan en:

Clasificar nos sirve para organizar, para ordenar. En nuestra vida diaria clasificamos, agrupamos diferentes objetos, plantas o animales, aun sin ponerle ese nombre a nuestra forma de proceder. El orden que obtenemos al agrupar lo que queremos conocer o las cosas que tenemos, hace que resulte más fácil nuestra tarea.

Existen tres estados básicos de datos dentro de cualquier organización:

Se debe diferenciar la seguridad sobre las personas (seguridad física), la seguridad sobre el ambiente (seguridad ambiental), la seguridad en ambiente laboral (seguridad e higiene), etc.

Controles de seguridad administrativos o de gestión: Son aquellos controles procedimentales, administrativos y/o documentales que establecen las reglas a seguir para la protección del entorno. Ejemplos: Política de seguridad.

La norma ISO 9001 busca mejorar la confianza y satisfacción del cliente así como de las partes interesadas; establecer una cultura proactiva de prevención, mejora y protección medioambiental y asegurar la consistencia de calidad de productos y servicios. De ahí que sea muy demandada y se fomente su uso.

Las normas ISO 9000 son fundamentales para que las empresas brinden productos de calidad a sus clientes. Abarcan un conjunto de directrices orientadas a la óptima gestión de una organización. Tienen como finalidad unificar criterios para reducir los costes de producción y aumentar la productividad.

¿Cuál es la diferencia entre ISO 9000 e ISO 9001? ISO 9000 es una familia de normas que establece los requisitos de un sistema de gestión de la calidad. ISO 9001 es la norma de la familia ISO 9000 que establece los requisitos para un sistema de gestión de la calidad específico del sector manufacturero.

​Qué es la norma ISO 27001

Ayuda a las organizaciones a establecer la política y los objetivos de gestión de la seguridad de la información y a comprender cómo se pueden gestionar los aspectos importantes, aplicar los controles necesarios y establecer objetivos claros para mejorar la seguridad de la información.

AENOR ha sido acreditada para certificar la nueva versión de ISO/IEC 27001:2022. España, es el tercer país europeo por centros certificados, con 3.483; siendo AENOR el principal certificador.

La norma ISO 27001 es importante porque establece un punto de referencia para el tipo de marco de SGSI que las empresas u organizaciones pueden implementar y ajustar según sus necesidades.

Citando la norma:

Generalmente, se usan tres clasificaciones: alta, media y baja para saber cuáles activos se deben tratar con prioridad. Alta: cuando los activos de información tienen clasificación de dos en todas las propiedades (confidencialidad, integridad y disponibilidad).

Se puede considerar como un activo de información a:

Las herramientas o utilidades para el desarrollo y soporte de los sistemas de información. Personas que manejen datos, o un conocimiento específico muy importante para la organización (Por ejemplo: secretos industriales, manejo de información crítica, know how).