CIS Control 3: Protección de datos, saber qué tienes antes de blindarlo

El tercer Control CIS pone el foco en lo que, al final, los atacantes quieren: los datos. Pero antes de blindarlos, exige un paso que casi todos se saltan: saber qué datos tienes, dónde viven y qué tan sensibles son. Porque no todos valen lo mismo. El menú de la cafetería y la base de datos de clientes no necesitan la misma protección, y tratar todo por igual lleva a dos errores caros: proteger lo trivial como si fuera crítico (desperdicio) o dejar lo crítico con la protección de lo trivial (desastre).

Clasificar antes de proteger

La pieza fundacional de este control es la clasificación: separar los datos por su nivel de sensibilidad (públicos, internos, confidenciales, y demás según tu realidad). Esto no es burocracia; es lo que permite aplicar la protección proporcionada a cada tipo. Sin clasificación, cualquier medida de protección de datos —incluido cualquier sistema de prevención de fuga (DLP)— trabaja a ciegas, porque no sabe qué debe cuidar con celo y qué puede dejar pasar. Lo explicamos a fondo en clasificación de información.

Qué pide en la práctica

• Un inventario de datos: qué información sensible manejas y dónde está almacenada (que casi siempre es en más lugares de los que crees).
• Clasificación por sensibilidad, para saber qué proteger con qué rigor.
• Controles de protección acordes: cifrado de datos sensibles, control de acceso, manejo seguro y, cuando aplica, prevención de fuga.
• Retención y disposición segura: conservar lo necesario el tiempo necesario, y destruir de forma segura lo que ya no se necesita. Guardar datos sensibles de más es cargar un riesgo sin motivo.

¿Qué salvaguardas incluye el Control 3 en CIS v8?

Es uno de los controles más extensos: 14 salvaguardas.

CIS agrupa las salvaguardas en tres grupos de implementación. IG1 es la higiene básica que recomienda para cualquier organización; IG2 suma lo necesario para empresas con más sistemas, personal de TI y datos sensibles; IG3 completa el control para organizaciones con requisitos de seguridad altos.

• IG1 (3.1 a 3.6): un proceso documentado de gestión de datos; un inventario de datos; listas de control de acceso configuradas según quién necesita qué; retención de datos definida y aplicada; destrucción segura de la información que ya no se necesita; y cifrado de los datos en los equipos de usuario, como laptops y celulares.
• IG2 (3.7 a 3.12): un esquema formal de clasificación; documentar los flujos de datos, incluidos los que salen hacia proveedores; cifrar medios removibles; cifrar la información sensible en tránsito y en reposo; y separar el procesamiento y almacenamiento según la sensibilidad de los datos.
• IG3 (3.13 y 3.14): una solución de prevención de fuga de datos y el registro de los accesos a información sensible.

¿Por dónde empezar?

1. Nombra un dueño para cada tipo de dato importante. Nóminas es de Recursos Humanos, la base de clientes es de Comercial. TI protege, pero el dueño decide quién accede.
2. Haz el inventario por sistema, no por archivo. Pregunta en qué sistemas, carpetas compartidas y servicios en la nube vive la información sensible. Un listado de 20 ubicaciones bien identificadas vale más que un escaneo de millones de archivos sin interpretar.
3. Define tres o cuatro niveles de clasificación y nada más. Con más niveles, nadie los usa.
4. Cifra primero lo que sale de la oficina: laptops y celulares. Es la salvaguarda de IG1 con mejor relación entre esfuerzo y riesgo evitado, porque un equipo robado deja de ser una fuga.
5. Revisa los permisos de las carpetas compartidas. Casi siempre aparece información delicada abierta a toda la empresa.

¿Qué evidencia pide un auditor para el Control 3?

Si tu empresa busca SOC 2 o ISO 27001, este control no se trabaja dos veces. En la ISO 27001:2022 corresponde a los controles 5.12 (clasificación de la información), 5.13 (etiquetado), 8.10 (eliminación de información), 8.12 (prevención de fuga de datos) y 8.24 (uso de criptografía). La evidencia que normalmente se revisa:

• El procedimiento de gestión de datos aprobado y su fecha de última revisión.
• El inventario de datos con dueño y nivel de clasificación de cada tipo.
• Evidencia de cifrado activo en laptops y celulares, idealmente un reporte de la consola de administración.
• Constancias de destrucción segura de medios o de borrado de información.
• La revisión periódica de permisos de las carpetas y sistemas con datos sensibles.

Tener esto organizado desde el principio es lo que convierte el control en algo que se puede demostrar, no solo afirmar. La diferencia entre ambos marcos la explicamos en SOC 2 vs ISO 27001.

El aterrizaje honesto

El descubrimiento incómodo de este control es dónde terminan viviendo los datos sensibles: en correos, en hojas de cálculo locales, en carpetas compartidas sin control, en el celular de alguien, en un servicio en la nube que nadie aprobó. Mapear eso suele ser revelador y, a veces, alarmante. Pero es el trabajo que hace posible todo lo demás: no puedes cuidar bien lo que no sabes que tienes ni dónde está. Y conecta con obligaciones más amplias, como la soberanía de datos y la protección legal de la información personal. Proteger datos no empieza con una herramienta; empieza con conocerlos.