A.8.2.

1 Clasificación de la información
Control La información debe ser clasificada en términos de los requisitos legales, valor,
criticidad y sensibilidad respecto a una divulgación o modificación no autorizada.
La gestión de la seguridad de la información con la norma ISO 27001 para algunas
organizaciones es muy importante a la hora de realizar la clasificación de la
información.
Proceso para clasificar la información según ISO 27001
Figura 1 Clasificación de la información

Fuente: pwc. (Septiembre 05 ,2016). Clasificación de la Información

Organizando y protegiendo su activo más valioso.
Inventario de la información. Es necesario establecer un inventario de los activos de
información disponible en la empresa, considerando registrar aspectos tales como su
tamaño, ubicación, servicios o departamentos a los que pertenecen, quienes son sus
responsables, etc.
Criterios de clasificación de la información. Debemos establecer claramente los
criterios de clasificación que vamos a aplicar a los activos de información. Estos
deberán estar relacionados con las medidas de seguridad que plantearemos aplicar a
nuestra información. Algunos de estos criterios podrían ser:
Por el nivel de accesibilidad o confidencialidad:
 Confidencial. Accesible solo por la dirección o personal concreto
 Interna. Accesible solo al personal de la empresa
 Pública. Accesible públicamente
 Por su utilidad o funcionalidad:
 Información de clientes y proveedores
 Información de compras y ventas
 Información de personal y gestión interna
 Información sobre pedidos y procesos de almacén
Por el impacto por robo, borrado o pérdida:
 Daño de imagen
 Consecuencias legales
 Consecuencias económicas
 Paralización de la actividad

Flujo grama de Clasificación de la información

Figura 2 Flujo grama de clasificación de la información
A.8.2.2 Etiquetado de la información
Control Un conjunto apropiado de procedimientos para el etiquetado de la información
debe ser desarrollado e implementado en concordancia con el esquema de clasificación
de la información adoptado por la organización.
Este deberá llevar el identificador del nivel de calificación de la información, Dicho
identificador puede estar en el encabezado del documento, en el nombre del archivo, en
la etiqueta del medio de almacenamiento o en una nota anexa.
Para el etiquetado de los activos de información deberán seguirse las siguientes
recomendaciones:
1) En general los activos del tipo público, no requieren etiquetado, independiente del
formato en que se encuentren.
2) Los activos con otros niveles de confidencialidad son etiquetados de la siguiente
forma:
 Documentos en papel: Si el documento contiene información reservada o de uso
interno, se debe indicar el nivel de clasificación al menos en la portada del documento;
si contiene información secreta se debiera indicar el nivel de clasificación tanto en la
portada como en cada una de las paginas o en el sobre que contiene dicho documento,
como también en la carpeta de archivo en la que se guarda el documento.
 Documentos electrónicos: Si el documento contiene información reservada o de uso
interno, se debe indicar el nivel de clasificación al menos en la portada del documento;
si contiene información secreta, se debiera indicar dicho nivel de clasificación tanto en
la portada como en cada una de las páginas.
 Correo electrónico: se indica el nivel de clasificación en la primera línea del cuerpo
del correo electrónico.
 Soporte de almacenamiento electrónico (discos, tarjetas de memoria, etc.): se
debe indicar el nivel de clasificación sobre la superficie de cada soporte.
 Información transmitida oralmente: el nivel de clasificación de la información
reservada, de uso interno o confidencial que se transmite a través de una comunicación
cara a cara, por teléfono o por alguna otra vía de comunicación debe ser comunicado
antes que la información propiamente dicha.
Flujo grama de etiquetado de información
Figura 3Flujo grama de etiquetado de información
Bibliografía:
 pwc. (Septiembre 05 ,2016). Clasificación de la Información Organizando y
protegiendo su activo más valioso. Septiembre 09,2018, de www.pwc.com Sitio web:
https://www.pwc.com/mx/es/risk-assurance-services/archivo/20160905-am-foll-data-
privacy-clasificacion-info.pdf
 INCIBE. Clasificación de la información. Septiembre 09,2018, Instituto Nacional de
Ciberseguridad de España Sitio web:
https://www.incibe.es/sites/default/files/contenidos/politicas/documentos/clasificacio
n-informacion.pdf
 Zúñiga, R. (Octubre 06,2017). POLÍTICA DE SEGURIDAD SOBRE
CLASIFICACIÓN Y MANEJO DE LA INFORMACIÓN. Septiembre 09,2018, de
Subsecretaría de Desarrollo Regional y Administrativo (SUBDERE) CHILE Sitio
web: http://www.chileindica.cl/instructivos/Politica-Seguridad-Clasificacion-y-
Manejo-de-Informacion-v4.pdf