Cómo se clasifica un activo de información

El inventario de activos suele empezar como una lista de computadoras y servidores. Crece hasta las cuatrocientas filas, nadie lo mantiene actualizado y, cuando llega el momento de decidir qué proteger con qué controles, no ayuda en nada. El problema es de origen: un inventario de equipos no es un inventario de información, y sin clasificación no hay forma de justificar por qué un dato se cifra y otro se envía por correo.

Qué cuenta como activo de información

La información es el activo; el equipo es solo uno de los sitios donde vive. Por eso el inventario tiene que registrar los conjuntos de información relevantes —bases de datos de clientes, expedientes de personal, código fuente, contratos, planos, resultados de laboratorio— junto con los activos asociados que los soportan: sistemas, medios de almacenamiento, servicios en la nube, incluso el papel y el conocimiento de las personas. Cada uno necesita un propietario identificado, que no es quien lo administra técnicamente sino quien responde por su uso y por las decisiones de acceso.

Sobre qué se clasifica

La clasificación se hace evaluando el impacto de perder cada una de las tres propiedades, y ese es el matiz que más se pasa por alto. La mayoría de los esquemas clasifican solo por confidencialidad —público, interno, confidencial, restringido— y dejan fuera las otras dos. Pero hay información poco sensible cuya indisponibilidad detiene la operación, y hay registros cuya alteración sin detectar tendría consecuencias legales aunque su divulgación no importe. Un esquema que solo mide secreto deja esos casos sin control proporcional.

• —Confidencialidad: qué daño causa que esta información llegue a quien no debe verla.
• —Integridad: qué daño causa que sea alterada sin que nadie lo note.
• —Disponibilidad: qué daño causa no poder acceder a ella durante una hora, un día o una semana.
• —Requisitos legales y contractuales: datos personales, información regulada o cláusulas del cliente que imponen un nivel mínimo con independencia del análisis interno.

La clasificación sirve para algo o no sirve

Etiquetar por etiquetar no aporta. El valor aparece cuando cada nivel tiene reglas de manejo asociadas y conocidas: cómo se etiqueta, quién puede acceder y con qué autorización, cómo se transmite dentro y fuera de la organización, dónde se puede almacenar, cuánto tiempo se conserva y cómo se destruye al final. Sin esa tabla de reglas, la clasificación es un adorno del inventario. Con ella, resuelve discusiones diarias sin escalarlas: quien recibe un documento marcado sabe qué puede hacer con él.

Los errores que más cuestan tiempo

Dos son casi universales. El primero es la sobreclasificación: cuando casi todo termina marcado como confidencial, las reglas estrictas se vuelven impracticables y el personal las evade, con lo que se pierde también la protección de lo que sí lo necesitaba. El segundo es tratarla como un ejercicio de una sola vez: la información cambia de valor con el tiempo —una estrategia comercial deja de ser sensible después de anunciarse— y la clasificación debe revisarse periódicamente y al cambiar el contexto. Un inventario congelado hace tres años describe una organización que ya no existe.

Por dónde empezar

Conviene arrancar por los procesos, no por los equipos: qué información entra, se transforma y sale de cada proceso de negocio, quién responde por ella y qué pasaría si se pierde, se altera o se filtra. Esa ruta produce un inventario corto y útil en lugar de uno exhaustivo e inservible. En Sonora, donde la operación industrial y de servicios de Hermosillo trabaja con cadenas de suministro que exigen acuerdos de confidencialidad y controles verificables a sus proveedores, la clasificación es lo que permite responder un cuestionario de cliente sin improvisar. En la Consultoría ISO 27001 en Hermosillo se levanta por proceso y con el propietario presente, porque el dueño real de la información casi nunca es el área de sistemas.