¿Qué es un activo en seguridad de la información? ¿Cómo clasificarlo y controlarlo?

¿Quieres entender qué es un activo en seguridad de la información? En una época en que los datos y la información que una empresa produce y almacena son extremadamente valiosos, tanto desde el punto de vista informacional como de la seguridad, cada información tiene un alto valor.

Una frase atribuida al matemático Clive Humby se hizo famosa: “Los datos son el nuevo petróleo”. Por eso, dejar de protegerlos hoy puede convertirse en una avalancha de pérdidas, tanto para la imagen de la empresa como desde el punto de vista financiero.

En este artículo, vas a entender qué es un activo en seguridad de la información, cómo se clasifican los activos de información y cuáles son los principales controles que debes adoptar para proteger tus datos y los de tus clientes.

¿Qué es un activo en seguridad de la información?

Podemos definir un activo en seguridad de la información como un recurso corporativo que tiene valor para la compañía y que debe protegerse mediante prácticas y políticas que garanticen su integridad, confidencialidad, disponibilidad y autenticidad.

Así, se considera activo de información cualquier elemento informacional que represente valor para la empresa, como bases de datos, archivos, documentos, contratos, etc.

Se considera activo el conjunto de conocimientos, datos e información que la empresa genera, procesa, comparte y almacena.

Además, un activo de información puede presentarse en forma física o digital y debe protegerse para preservar la integridad, la disponibilidad y la confidencialidad del dueño de la información. Así, un activo en seguridad de la información puede ser un acceso con usuario y contraseña guardado en la nube, así como información confidencial en un papel físico de una persona.

¿Qué son los activos de tecnología de la información?

Los activos relacionados con la tecnología de la información pueden definirse como todos los componentes de TI que la organización utiliza para proteger sus activos de cualquier tipo.

Se trata de los aparatos tecnológicos (virtuales, físicos, de hardware o software) que componen el ecosistema de TI de la organización, como dispositivos de almacenamiento físico, servicios de almacenamiento en la nube, piezas de hardware, software antivirus, firewalls, servidores, etc.

¿Cómo se clasifican los activos de información?

La clasificación de los activos de información es uno de los requisitos de la norma ISO 27001se abre en una pestaña nueva y tiene como objetivo establecer niveles de protección para los diferentes datos e información que circulan en la empresa.

De ese modo, se define quién, en qué momentos y cómo se podrá acceder a determinados activos.

Los activos deben clasificarse considerando los siguientes criterios:

• valor;
• requisitos legales;
• criticidad;
• sensibilidad.

Lo más común es que cada activo se clasifique en una de cuatro categorías:

• Confidencial;
• Restringida;
• Uso interno;
• Pública.

A continuación, hablamos un poco más de cada una:

1. Confidencial

El activo confidencial está en el nivel más alto de protección.

Los datos y la información de esta categoría generalmente tienen un alto valor para la empresa y pueden generar consecuencias muy negativas si se vulneran, se corrompen, se filtran, etc.

2. Restringida

Los activos clasificados como Restringidos tienen un nivel medio de protección. Están disponibles para grupos específicos.

Por ejemplo, puedes restringir el acceso a la información sobre el control de asistencia de los colaboradores solo a los empleados del departamento de Recursos Humanos.

3. Uso interno

Se categorizan como Uso interno los activos con bajo potencial de generar impacto negativo para la empresa.

Hablamos de datos e información que, en principio, deben ser utilizados internamente por los colaboradores. Sin embargo, si se filtraran, no causarían daños significativos al negocio.

4. Pública

Los activos de información clasificados como Públicos no necesitan tener su confidencialidad protegida con métodos muy sofisticados. Sin embargo, es esencial preservar su integridad y disponibilidad.

Controles de seguridad de la información: principales métodos

Los controles de seguridad de la información se dividen en dos categorías: controles físicos y lógicos.

Los controles físicos de seguridad de la información se refieren a los aparatos tangibles que buscan proteger los datos de la empresa, como cámaras de seguridad, salas de archivo, memorias USB, etc.

Los controles lógicos son toda la estructura de software que monitorea el acceso a los activos de información de la empresa, como cifrado, contraseñas, certificado digital, almacenamiento en la nube, biometría, hashing, etc.

4 consejos para controlar bien los activos de información de tu empresa

Ahora que ya sabes qué es un activo en seguridad de la información, aquí tienes 4 consejos fundamentales que te ayudarán a controlar los activos de tu compañía.

1. Arma un inventario de todos tus activos de información

Haz un relevamiento de todos los activos de la organización que pertenecen a tu empresa y clasifícalos según el formato en que se presentan, los riesgos y los posibles impactos.

Esta etapa inicial será fundamental para organizar todo el espacio que ya existe y para tener un estándar cada vez que aparezca un activo nuevo.

2. Etiqueta tus activos

Es importante crear una etiqueta para los activos de información. Así, siempre que se manipule uno, el colaborador sabrá cuál es su nivel de confidencialidad.

De esa manera, será fácil identificar si ese dato puede compartirse con los compañeros o si se trata de información extremadamente confidencial, que puede causar daños graves a la empresa.

3. Establece reglas para el manejo de los activos

La organización debe contar con reglas bien establecidas para el manejo de sus activos de información.

De ese modo, todos sabrán qué hacer y qué no hacer para preservar la integridad, la confidencialidad y la disponibilidad de los datos y la información que circulan.

4. Prueba las vulnerabilidades de los activos

Para garantizar la seguridad de los activos de información, realiza pruebas de vulnerabilidad e identifica riesgos y fallas que deben corregirse.

Además de la seguridad de la información, tu empresa está expuesta a otros riesgos. ¿Gestionar todo eso es un desafío para ti? Entonces, mira algunos consejos:

Próximos pasos

Con el inventario y la clasificación de los activos al día, el siguiente paso es entender qué puede comprometer a cada uno de ellos. Promueve la clasificación y el control de datos e información y preserva los activos de tu empresa.