Niveles de clasificación de datos: 4 niveles con ejemplos

Cuatro de cada diez empresas del Reino Unido (43%) y tres de cada diez organizaciones benéficas (30%) informaron de una violación o ataque de seguridad cibernética en los últimos 12 meses, según el gobierno del Reino Unido. Encuesta sobre violaciones de seguridad cibernética 2025Se trata de una encuesta realizada en el Reino Unido, pero la idea se aplica a otros lugares. La mayoría del personal no puede proteger información que no puede nombrar, y la pregunta "¿esta hoja de cálculo es interna o confidencial?" surge mucho antes de que alguien sea atacado.

Esta publicación presenta los cuatro niveles de clasificación de datos que utilizan la mayoría de las organizaciones: público, interno, confidencial y restringido. Cada nivel incluye cinco ejemplos y una regla de manejo. Además, muestra su relación con dos esquemas formales, para que sepas distinguir entre una convención y un estándar.

¿Qué es la clasificación de datos?

La clasificación de datos es una etiqueta que indica cómo se debe manejar una información. Esta etiqueta se coloca en un documento, un archivo o un conjunto de datos, y señala una regla: quién puede verlo, cómo se puede enviar y cómo se almacena.

No es necesario que todas las organizaciones utilicen una lista de niveles específica. Los cuatro ejemplos que se muestran a continuación son una forma común de establecer una política, no un estándar definido por el NIST ni por ningún gobierno. Su propia política puede usar 3 niveles, 5 niveles o nombres diferentes, y el responsable de los datos decide qué etiqueta es la más adecuada. Los ejemplos son genéricos, así que sustitúyalos por sus propios documentos al impartir la formación.

Ronda 1: Público (5 ejemplos)

La información pública está destinada a ser vista por cualquier persona. Compartirla fuera de la organización no causa ningún daño.

Regla de manejo: No hay restricciones para compartirlo, pero solo el propietario lo publica y se mantiene preciso.

1. Un comunicado de prensa publicado.
2. Un anuncio de empleo.
3. Un folleto del producto.
4. Un público blog enviar.
5. Los precios están publicados en el sitio web.

Nuestra recomendación: el anuncio de empleo. La gente suele tratarlo como algo confidencial porque proviene del departamento de Recursos Humanos. Fue escrito para ser leído por desconocidos, por lo que es público.

Ronda 2: Interna (5 ejemplos)

La información interna está destinada a las personas que trabajan para la organización. No es secreta, pero no está disponible para personas ajenas a ella.

Regla de manejo: Solo para empleados, la información se mantiene dentro de los sistemas de la empresa y no se comparte con terceros sin la autorización del propietario.

1. El directorio del personal.
2. Un boletín interno.
3. Notas de la reunión.
4. Un documento de política.
5. Un plan de proyecto.

Nuestra recomendación: notas de reuniones. Parecen inofensivas, pero a menudo mencionan clientes, precios o personas. Comprueba su contenido antes de enviarlas a un proveedor.

Ronda 3: Confidencial (5 ejemplos)

La información confidencial causaría daños reales si llegara a las personas equivocadas, como la pérdida de clientes, problemas legales o una posición más débil en una negociación.

Regla de manejo: Solo la información necesaria, cifrada al enviarse y compartida a través de herramientas aprobadas, no por correo electrónico personal.

1. Una lista de clientes.
2. Un contrato firmado.
3. Una previsión financiera.
4. Una evaluación de desempeño.
5. Precios del proveedor.

Nuestra recomendación: la lista de clientes. Es fácil de exportar y fácil de pegar en un correo electrónico. Un solo error puede entregarle a un competidor toda tu cartera de clientes.

Ronda 4: Restringido (5 ejemplos)

El nivel restringido es el más estricto. Una filtración podría causar graves daños a la organización o a personas, por lo que el acceso está limitado a personas específicas.

Regla de manejo: Solo usuarios autorizados, los controles más estrictos y el registro de accesos.

1. Contraseñas y claves.
2. Datos de la tarjeta de pago.
3. Historiales médicos.
4. Resultados financieros no publicados.
5. Detalles del incidente de seguridad.

Nuestra recomendación: credenciales en un documento compartido. La mayoría de las personas reconocen este error en su propio equipo. Una contraseña en una hoja compartida se almacena como datos internos restringidos.

Cómo se corresponden los niveles con los esquemas formales

Los cuatro niveles son una convención, por lo que ninguno de los esquemas formales los reproduce exactamente. La tabla muestra la correspondencia más aproximada. Considere esta representación como una aproximación.

FIP 199 No define cuatro niveles. Define tres niveles de impacto potencial (bajo, moderado y alto) para la información federal y los sistemas de información, en función de la cantidad de daño que causaría una pérdida de confidencialidad, integridad o disponibilidad (NIST FIPS 199). Un efecto adverso limitado es bajo, uno grave es moderado y uno severo o catastrófico es alto.

El Política de clasificaciones de seguridad del gobierno del Reino Unido Utiliza tres niveles: OFICIAL, SECRETO y ALTO SECRETO. La página GOV.UK se actualizó por última vez el 5 de agosto de 2024. OFICIAL cubre la mayor parte de la información gubernamental, y "-SENSITIVE" es una marca adicional en la información OFICIAL cuya vulneración podría causar más daño. La política dice que no es un esquema legal (GOV.UK: Clasificaciones de seguridad del gobierno).

Los Archivos Nacionales de EE. UU. también mantienen un registro de Información No Clasificada Controlada (CUI). Es una lista de categorías agrupadas por tema, como infraestructura crítica, defensa y finanzas, no una escalera de niveles (Registro NARA CUISi su organización maneja información del gobierno de EE. UU., lea su contrato para saber qué categorías se aplican.

Etiquetado y manipulación

Una etiqueta solo sirve si la gente la aplica de la misma manera. Cuatro hábitos garantizan la coherencia.

1. Etiqueta en el momento de la creación. El autor es quien mejor sabe qué contiene el archivo, así que pídale que lo marque cuando lo guarde.
2. En caso de duda, utilice el nivel superior. Tratar un archivo como confidencial requiere algo de tiempo. Tratar datos confidenciales como internos puede perjudicar al cliente.
3. Nunca rebajes la calidad sin el propietario. Solo el propietario de los datos, siguiendo la política establecida, puede cambiar el valor de una etiqueta.
4. Reclasificar cuando cambie la sensibilidad. Las previsiones son confidenciales hasta que se publican los resultados y pueden hacerse públicas posteriormente.

Estos hábitos importan porque las filtraciones son comunes. La encuesta anterior encontró que el 43% de las empresas del Reino Unido informaron una en el último año, y un archivo sin etiqueta es un archivo que nadie sabía que debía proteger. Para conocer el lado humano de los ataques, consulte nuestra publicación sobre ejemplos de ingeniería social.

Formas de organizar un cuestionario de clasificación con AhaSlides

Puedes impartir los 4 niveles en una sesión de 20 minutos. La participación de los alumnos facilita la memorización de las reglas, a diferencia de lo que ocurre con un documento PDF. Crea cada diapositiva a partir de los ejemplos anteriores.

1. Elija respuesta: "¿De qué nivel es este documento?" Muestra un ejemplo de cada ronda, añade una tabla de clasificación y otorga los puntos correspondientes al nivel correcto.
2. Nube de palabras: "¿Cuál es la información más delicada que manejas?" Las respuestas muestran qué equipos trabajan diariamente con datos confidenciales o restringidos.
3. Escala de valoración: "¿Qué tan seguro/a te sientes al etiquetar un archivo?" Califícalo del 1 al 5 y luego contacta a las personas que obtuvieron una puntuación baja.
4. Abierto, anónimo: "¿Qué pregunta le gustaría hacerle al equipo de seguridad?" La gente hará preguntas que no se atrevería a decir en voz alta.

¿Buscas más formas de ejecutarlo? Ver formación en concienciación sobre ciberseguridad, Controles de pulso de seguridad informática y phishing en Slack y Documentación sobre IA y formación en privacidadLa plantilla del curso de clasificación y manejo de datos te proporciona las diapositivas listas para adaptar.

Preguntas frecuentes

¿Cuáles son los 4 niveles de clasificación de datos?

El esquema más común es Público, Interno, Confidencial y Restringido, aunque cada organización establece el suyo propio. Público se puede compartir con cualquier persona, Interno permanece dentro de la organización, Confidencial es solo para quienes necesitan saberlo y Restringido es solo para personas específicas.

¿Existe un conjunto estándar de niveles de clasificación de datos?

No, no existe un único conjunto. La norma FIPS 199 define tres niveles de impacto (bajo, moderado y alto) para los sistemas federales de EE. UU., y el gobierno del Reino Unido utiliza sus propias tres clasificaciones: OFICIAL, SECRETO y MÁXIMO SECRETO. Las organizaciones privadas eligen las suyas, y un patrón común es de cuatro niveles.

¿Cuáles son algunos ejemplos de datos confidenciales?

Listas de clientes, contratos, previsiones financieras y evaluaciones de desempeño. Los precios de los proveedores también se incluyen aquí. Si llegaran a manos equivocadas, causarían graves daños, por lo que se comparten únicamente con quienes necesitan conocer esta información.

¿Cuál es la diferencia entre datos confidenciales y datos restringidos?

El nivel restringido es el más estricto, limitado a personas específicas con los controles más estrictos. Los datos confidenciales se comparten con quienes los necesitan para su trabajo. Los datos restringidos, como contraseñas o información de tarjetas de pago, están disponibles para muchas menos personas y se registra su acceso.

¿Quién decide cómo se clasifican los datos?

El responsable de los datos, siguiendo la política de la organización, suele aplicar primero la etiqueta el autor, y el responsable la confirma o la modifica. El personal no debe cambiar la etiqueta por sí mismo.

Por dónde empezar

Elige un equipo, etiqueta sus 10 archivos más comunes con los 4 niveles y realiza el cuestionario para ver dónde discrepan los participantes. Esas discrepancias te mostrarán qué ejemplos necesita tu política.