Intentar proteger todos los datos al mismo nivel es caro e ineficaz. La clasificación determina dónde debe concentrarse la protección.
01. Número de clases
Tres o cuatro clases bastan: público, interno, confidencial y, si hace falta, estrictamente confidencial. Más genera confusión y nadie elige la etiqueta correcta.
02. Propiedad
Cada conjunto de datos necesita un responsable de negocio. Las solicitudes de acceso debe aprobarlas el propietario del dato, no TI. Donde TI es quien aprueba, los permisos se amplían sin control con el tiempo.
03. Mínimo privilegio
Un usuario debe acceder solo a los datos necesarios para su trabajo. En la práctica es el principio más incumplido, sobre todo en implantaciones de ERP donde se conceden roles amplios por comodidad.
04. Diseño de roles
Los permisos van a roles, no a personas. Al cambiar el personal se traspasa el rol y no se acumulan permisos personales. Donde hace falta segregación de funciones, los roles en conflicto no deben unirse en una persona.
05. Revisión periódica
Los permisos deben revisarse al menos una vez al año. Los permisos antiguos de quienes cambiaron de departamento están entre los hallazgos más comunes.
06. El proceso de salida
Todos los accesos de quien deja la empresa deben cerrarse el mismo día. Si ese flujo entre recursos humanos y TI no está automatizado, las cuentas quedan abiertas meses.