Clasificación de información: el paso aburrido sin el que ningún DLP funciona

Hay un patrón que se repite en casi todos los proyectos de protección de datos: la empresa quiere comprar el DLP —la herramienta visible, la que se demuestra— y quiere saltarse el paso previo, el aburrido, el que no luce en ninguna presentación. Ese paso es clasificar la información. Y saltárselo es como contratar a un guardia de seguridad y no decirle nunca qué es lo que debe cuidar.

Qué significa clasificar

Clasificar es categorizar tus datos según su sensibilidad, para saber qué protección merece cada cosa. No hace falta un esquema complejo; de hecho, mientras más simple, mejor se aplica. Cuatro niveles suelen bastar: público (puede verlo cualquiera), interno (de la empresa, sin drama si se ve dentro), confidencial (daño real si se filtra) y restringido (lo más crítico). El objetivo no es la taxonomía perfecta: es que cada dato tenga una etiqueta que diga cuánto cuidarlo.

Por qué el DLP depende de esto

Un DLP solo protege lo que sabe reconocer. Sin clasificación, tienes dos malos caminos: o se apoya solo en patrones genéricos y deja pasar todo lo que no calza con una tarjeta o un RFC, o lo configuras para bloquear casi cualquier cosa y entonces genera tantos falsos positivos que frena el trabajo y termina desactivado. La clasificación es lo que le da criterio: esto cuídalo, esto déjalo pasar. Herramientas como las de Forcepoint aplican políticas mucho más finas cuando los datos vienen etiquetados.

Cómo se hace sin morir en el intento

El error que mata estos proyectos es querer etiquetarlo todo desde el día uno. Es interminable y por eso nunca se termina. El enfoque que sí funciona:

• Empezar por la corona: identifica primero la información más crítica —esa cuya fuga te quitaría el sueño— y clasifícala. Es una fracción del total y concentra la mayor parte del riesgo.
• Combinar automático y humano: herramientas que clasifican por patrón y ubicación, más el criterio de quien conoce el negocio.
• Iterar: ampliar cobertura por olas, no de golpe.

Dos formas de empezar (una funciona)

El contraste se ve en dos proyectos reales de la misma escala. En el primero, la empresa decidió clasificar "todo" antes de encender el DLP: montó un comité, discutió taxonomías de siete niveles, intentó etiquetar años de archivos históricos... y a los seis meses seguía sin proteger un solo dato, agotada en reuniones. En el segundo, se preguntó una sola cosa: ¿qué información, si se filtrara mañana, nos costaría clientes, multas o el negocio? La respuesta fueron tres cosas —la base de clientes, los contratos y la información financiera—, una fracción minúscula del total. Se clasificaron esas primero, se apuntó el DLP a ellas, y en pocas semanas había protección real sobre lo que de verdad importaba; el resto se fue incorporando por olas, sin prisa. La diferencia no fue la herramienta ni el presupuesto: fue entender que clasificar es priorizar, no inventariar. Empezar por la corona da resultados en semanas; querer abarcarlo todo garantiza no terminar nunca.

El paso aburrido que lo sostiene todo

La clasificación no es glamorosa y por eso se pospone, pero es el cimiento sobre el que se para cualquier control de datos serio —del DLP a la preparación para cumplimiento. Un DLP con buena clasificación es un guardia que sabe qué proteger; sin ella, es uno que dispara a todo o no dispara a nada. Ayudar a arrancarlo por lo que de verdad importa es parte de nuestro servicio de protección de datos. No es el paso emocionante; es el que hace que todos los demás funcionen.