Bueno clasificación de la información.
Este es un tema muy importante porque muchas veces y esto se da en el 90 95 por ciento de las empresas.
Las empresas compran una solución en forma de sombrilla.
Qué significa esto.
Que una solución abarca a todo tipo de información comprar un firewall para proteger la base de datos
para proteger toda la información básicamente y obviamente pone la información en la misma base de datos.
La información que se usa para algo no tan crítico como para algo crítico entonces muchas veces caemos
en este error del efecto sombrilla que usamos una solución para proteger todo.
Sin embargo como vimos en el capítulo anterior el impacto puede ser distinto entonces dependiendo el
impacto recuérdense que podemos pagar más o pagar menos por una solución siempre y cuando no sea más
gasto que el mismo impacto financiero que vayamos a sufrir por alguna disrupción o por algún algún hackeo.
Pero si tenemos que tener conciencia de estar conscientes de qué tipo de información estamos tratando
entonces para esto para glauca clasificar la información lo primero es que tenemos etiquetas o niveles
digámoslo así.
Para esto no hay una receta de cocina o algo bueno algo malo.
Esto va a depender de cada empresa siempre y cuando tengamos claro qué significa cada a cada nivel.
Por ejemplo los más conocidos serán top secret secret Cafferata Pablete todo muy secreto secreto confidencial
y público.
Entonces esto se puede utilizar.
Pueden utilizar esta escala o cualquier otra escala que más les convenga para ver la criticidad de una
de alguna información o quién la puede ver quién no la puede ver etc. verdad.
Luego dependiendo de esto podemos dar algún nivel de Asia.
Nuestros usuarios se resguardan de los temas ni les Privilege la que quieren necesitan saber nuestros
usuarios y cuáles son los privilegios mínimos que le podemos dar para que puedan hacer su trabajo.
Entonces esto es para data para que nosotros podamos tener una mejor compra sobre nuestras soluciones
de verdad.
Recuérdense hay información muy sensible que tenemos que saber manejar y no vamos a poder manejar si
no tenemos esta clasificación de la información.
Créanme He visto empresas comprando de LPC Database Prevention o data Dodig Prevention sistemas de protección
de la pérdida de datos sin siquiera tener una clasificación o tener etiquetas información verdad.
Ahora bien se recuerda que en el capítulo anterior vimos el análisis cualitativo y cuantitativo y se
recuerda también que tenemos que empezar por uno cualitativo porque no tenemos data histórica.
Esto nos lleva a definir dueños de la información por qué dueños de la información porque al final el
dueño de la información es el que no va a poder dar un valor estimado sobre la información.
Sin embargo también puede que si nosotros asignamos a un dueño de la información éste se haga responsable
de salvaguardar esa información verdad.
Entonces bajo este concepto tenemos valga la redundancia varios conceptos claves verdad.
Por ejemplo el dueño de la información verdad el Data owner o el System on.
Pero sin embargo un dueño de la información posiblemente no tenga tiempo para aplicar las contramedidas
que sabe que tienen que aplicarse.
Volvemos a la analogía de la política del proceso.
La política es algo que algo alto nivel que nos dice el qué y el proceso el cómo.
Pues más o menos esta es la relación entre el dueño de la información y el custodio de la información.
El custodio de la información es el que aplica los controles.
Por ejemplo el dueño de la información dice esta información es top secret la vamos a encriptar con
un algoritmo fuerte y lo vamos a aplicar.
Un jazz o vamos a aplicar firmas digitales en dado caso tengamos que enviarla por correo o algo por
el estilo.
Esa es la política.
Y entonces el custodio de la información viene y sigue el proceso aunque entonces para encriptar esta
información hay que utilizar este software.
Hay que hacer esto esto y esto paso a paso y lo hace por supuesto.
Entonces el dueño de la información es el último responsable.
Sí pero puede asignar custodios de la información para que hagan el trabajo para aplicar lo que el control
que ha definido el dueño de la información y por último tenemos los usuarios que también tienen cierta
responsabilidad sobre los sistemas ya que si un sistema un usuario revela algo del sistema puede ponernos
en peligro.
Tenemos a bajo esta misma línea de pensamiento a los data controllers y data processors o los controladores
de la data y los que procesan nada tarda más o menos de decir que son similares o incluso hasta sinónimos
de los Data y Data que historian pero tienen una pequeña diferencia.
En este caso los Data controllers crean y manejan la información dentro de la organización es decir
crean y manejan la información no es necesariamente los últimos responsables de proteger la información
se los aclaro porque muchos libros a veces hacen la comparación e incluso los ponen como sinónimos.
Si bien tienen algo de relación no son exactamente lo mismo Orda otra vez el Data controller crea y
maneja la información muchas veces sensible dentro de la organización.
Por ejemplo lo hacen los empleados de recursos humanos.
Muchas veces son data controllers porque ellos crean y manejan información sensible por ejemplo salarios
beneficios sanciones despidos etcétera etcétera.
Y los Data processors o los procesadores de la data manejan la data en nombre de los controladores de
los data controllers por ejemplo digamos que bajo el mismo ejemplo de recursos humanos decidimos mejor
asociar o sacar hacia afuera o tercerizar el tema de la planilla por ejemplo de los pagos entonces sí
se podría hacer un data process data controles de los recursos humanos porque siempre ellos generan
cuánto va a ganar cada persona pero tenemos un tercero haciendo el tema de los pagos del perro o de
la planilla.
Entonces ese es un ejemplo de data controles y data procesos verdad y tenemos un principio acá se la
de la Organización para la Cooperación y para la Cooperación y Desarrollo Económico Organization for
Economic Operation en development.
Ellos tienen un principio que se llama dacha Collection una Imitation básicamente la limitación de la
colección o de la recolección de información verdad y esto se puede ver en muchas muchas regulaciones
y leyes como por ejemplo GPL y en lo que esto consta es que debería haber límites a lo que recolectamos
de información en este caso personal o cualquier información verdad y tiene que ser en una por una vía
legal y justa y tiene que ser apropiada y tiene que ser con el consentimiento del usuario para el uso
específico que se le vaya a dar.
Es decir yo no puedo estar pidiéndoles información sobre sus tarjetas de créditos y jamás voy a procesar
un pago.
Y si lo voy a hacer tiene que ser con su consentimiento y tiene que ser limitado por ejemplo yo lo único
que voy a recolectar es un número de tarjeta y no el código de seguridad de la parte de atrás por ejemplo
gorda.
Ahora bien hablando de todos estos conceptos de información tenemos otro concepto clave que es daster
remanencia o lo que queda de la información.
Si bien muchas personas piensan que eliminar algo de o darle clic derecho eliminar y vaciar la papelera
de reciclaje es eliminar la información.
Hoy lo que estamos eliminando son los punteros hacia la información no estamos eliminando la información
como tal.
Y muchas veces desgraciadamente se nos deshacemos de discos duros o de cualquier información aperta
un medio vs vez si todavía usan civis que no creo pero en dado caso raro caso que utilizas todavía.
Bueno cualquier medio donde se ha manejado la información cómo la vamos a eliminar recuérdense por eso
se llama data Romanes.
Esto significa la data que queda pendiente o que queda todavía remanente cuando nosotros eliminamos
la información.
Por ejemplo si yo vengo y elimino algo de mi disco duro y luego tiro a la computadora pues alguien con
software especializados pueden recuperar esa información.
Y he aquí el peligro de utilizar muchas veces esas campañas comunitarias de las universidades o de cualquier
otro proveedor donde dicen venga a dejarnos tus discos duros y nosotros nos deshacemos de ellos de una
forma verde que si está bien hay que cuidar el medio ambiente pero hay que haber pasado técnicas de
destrucción de información por ejemplo over Riddim o Google o como le conocen comúnmente en español
borrado militar.
Esto significa pasar muchas muchas muchas veces su sobrescribir el disco duro muchas veces con ceros
es decir lo llenamos una vez con cero lo volvemos a llenar otra vez con ceros lo volvemos a llenar tres
con ceros esto para que no sólo se eliminen los punteros a la información sino que se elimine la información
como tal es decir los sectores del disco duro ya no tendrían este tipo de información.
Ahora tenemos el digás que es básicamente pasar un magneto muy fuerte por el disco duro para eliminar
la esto funciona únicamente con discos duros con discos duros rotacionales y no con discos duros de
estado sólido.
KB vale la pena destacarlo.
Luego tenemos la que más me gusta creo que es la más segura pero la más desordenada no es ordenador
pero sí la que deja más más desorden y posiblemente sea tan verde como otras soluciones que es la destrucción
física del disco duro como tal un martillo funciona muy bien quemarlas funciona muy bien un horno de
microondas funciona muy bien pero bueno y luego tenemos Friedkin que es básicamente lo mismo que para
los papeles las trituradoras para los papeles.
También hay trituradoras para discos duros como tal.
También lo hay donde podemos también aplicar esta técnica al final esas trituradoras son especiales
obviamente y dejan hecho como un polvo un polvillo a los discos duros y esto podría ser una muy buena
técnica a evaluar cuando estamos hablando de tatar.
Y bueno eso es todo por hoy señores muchas gracias espero les ha gustado y nos vemos muy pronto.