Sin clasificación, todo el archivo compartido se trata igual: la lista de sueldos convive con el folleto de marketing y cualquiera con acceso a "Documentos" puede ver ambas. Los permisos se van abriendo por urgencia y, al cabo de un año, la empresa ya no sabe qué es sensible. Clasificar no es burocracia: es el criterio que hace coherentes los permisos.
Tres niveles bastan en la mayoría de las PyMEs. Lo que falla no es la cantidad de etiquetas, sino no aplicarlas al crear carpetas ni al compartir hacia fuera.
Qué significa clasificar la información
Clasificar es etiquetar por impacto si se filtra o se pierde: pública (se puede publicar), interna (solo personal) y restringida (finanzas, RR.HH., contratos, datos personales de clientes). Cada etiqueta arrastra reglas de quién lee, quién edita, dónde se guarda y cuánto se conserva.
No se clasifica "todo el disco" de un día: se empiezan las carpetas críticas y se aplica la regla a lo nuevo. El modelo de acceso mínimo se alinea con Zero Trust.
Niveles y reglas de acceso
Pública: sitio web, catálogos, comunicados. Interna: procedimientos, minutas, plantillas. Restringida: nómina, estados financieros, datos de clientes, claves y diseños. La regla práctica: si un cliente o un auditor pediría control, es restringida.
- Pública: sin restricción interna especial
- Interna: solo cuentas de la empresa, sin reenvío masivo
- Restringida: grupos por área, sin "todos" ni enlaces abiertos
Los permisos se asignan por grupo de rol, no persona a persona. Cómo corregir el desorden acumulado está en permisos de acceso a archivos compartidos.
Almacenamiento seguro por nivel
Lo restringido no vive en el OneDrive personal ni en un USB sin cifrado. Va a carpetas con auditoría, preferiblemente con MFA en la cuenta que las abre. Lo interno puede vivir en el recurso compartido estándar; lo público no necesita el mismo rigor, pero tampoco debe mezclarse en la misma carpeta raíz que lo sensible.
La retención también cambia: lo restringido se conserva el tiempo legal o contractual y luego se elimina con evidencia; lo público puede archivarse con menos control. Sin política de borrado, el archivo crece y el riesgo también.
Control de fugas hacia fuera de la empresa
La fuga típica no es un hacker: es un enlace "cualquiera con el vínculo", un adjunto al correo personal o una captura en el chat. Controles útiles: desactivar compartir anónimo en carpetas restringidas, caducidad de enlaces, marca de agua en PDFs sensibles y capacitación de cinco minutos sobre qué no se reenvía.
Proveedores y freelancers reciben carpetas temporales con fecha de corte, no acceso eterno a todo el árbol. Eso encaja con el control de acceso empresarial físico y lógico.
Evidencia para auditorías y clientes
Clientes grandes y certificaciones piden demostrar que los datos se tratan con criterio. La evidencia es simple: política de clasificación firmada, mapa de carpetas por nivel, lista de grupos con acceso a restringido y registro de revisiones semestrales. No hace falta un SIEM caro para empezar.
Cuando llega una solicitud ARCO o una auditoría, saber dónde está cada tipo de dato acorta la respuesta de días a horas. Sin clasificación, la empresa busca a ciegas y se expone.
Clasificar es poner nombre al riesgo de cada documento. Con tres niveles, grupos por rol y reglas al compartir hacia fuera, los permisos dejan de improvisarse y la información sensible deja de vivir al lado del folleto.
