Establecer y Mantener un Esquema de Clasificación de Datos
Descripción
Establecer y mantener un esquema general de clasificación de datos para la empresa. Las empresas pueden usar etiquetas como "Sensible", "Confidencial" y "Público", y clasificar sus datos de acuerdo con esas etiquetas. Revisar y actualizar el esquema de clasificación anualmente o cuando ocurran cambios empresariales significativos que puedan impactar esta Salvaguarda.
Lista de Verificación de Implementación
Herramientas Recomendadas
Plataforma de gobernanza de datos y cumplimiento con DLP, protección de información, etiquetas de sensibilidad y gestión de riesgo interno
Microsoft · Suscripción por usuario (E5/independiente)
Prevención de pérdida de datos empresarial que cubre endpoint, red, almacenamiento y canales en la nube con inspección de contenido basada en políticas
Broadcom · Licencia empresarial
Plataforma DLP y CASB nativa en la nube que proporciona protección de datos en línea para SaaS, IaaS, web y endpoint
Netskope · Suscripción por usuario
Amenazas y Vulnerabilidades (CIS RAM)
Escenarios de Amenazas
Manejo Inadecuado de Datos Sensibles por Clasificación Desconocida
ConfidencialidadLos empleados comparten, almacenan o transmiten datos altamente sensibles usando canales inseguros porque no existe un esquema de clasificación para comunicar el nivel de sensibilidad de los datos.
Protección Insuficiente para Datos de Alto Valor
ConfidencialidadSin etiquetas de clasificación, todos los datos reciben el mismo nivel base de protección, dejando los datos altamente sensibles con controles inadecuados mientras se sobreprotegen los datos de bajo valor.
Vulnerabilidades (Cuando la Salvaguarda está Ausente)
Sin Esquema de Clasificación de Datos
Sin etiquetas de clasificación y criterios definidos, los empleados no tienen un marco para determinar cómo manejar los datos, lo que lleva a una protección inconsistente y frecuentemente inadecuada.
Incapacidad para Aplicar Protecciones de Datos Basadas en Riesgo
Sin clasificación, los controles de seguridad no pueden aplicarse proporcionalmente basándose en la sensibilidad de los datos, resultando en costos excesivos o protección insuficiente.
Requisitos de Evidencia
| Tipo | Elemento de Evidencia | Frecuencia de Recolección |
|---|---|---|
| Documento | Documentación del inventario o catálogo actual | Mantenido continuamente, revisado trimestralmente |
| Documento | Documentación de procesos/procedimientos para actividades de identificación | Revisado anualmente |
| Documento | Documento de política vigente (actual, aprobado, comunicado) | Revisado anualmente |