Clasificación de datos: qué es, los niveles y cómo clasificar la información de la empresa

La clasificación de datos es el proceso de separar las informaciones de la empresa en niveles de sensibilidad, para definir quién puede ver cada dato, cómo debe protegerse y qué puede pasar si se filtra. Parece un tema solo de seguridad de la información, pero en la práctica la clasificación de datos es una de las decisiones de gobernanza que más evita pérdidas, multas y exposición. Sin ella, todos los datos se tratan igual: la tabla de precios que no puede salir de la empresa queda en la misma carpeta compartida que el menú del comedor. Y cuando todo tiene el mismo peso, nada está realmente protegido.

Quien ya trabajó con alta y mantenimiento de registros maestros, compras, TI o compliance conoce la escena. Una hoja de cálculo con datos de clientes circulando por correo. Una base de proveedores exportada por alguien que iba a "solo hacer un análisis en casa". Ninguna de estas cosas ocurre por mala intención. Ocurre porque nadie marcó ese dato como sensible y nadie definió la regla de cómo debía tratarse. El problema empieza cuando la empresa lo descubre después de la filtración, y no antes.

Qué es la clasificación de datos

La clasificación de datos es asignar a cada información un nivel que representa cuán sensible es y cuánto necesita protegerse. Es un trabajo de gobernanza que responde tres preguntas simples sobre cada dato: cuál es el impacto si esa información se divulga sin autorización, quién necesita tener acceso a ella y qué controles exige.

La norma ISO 27001, referencia mundial en seguridad de la información, trata esto como parte de la gestión de activos de información. No obliga a la empresa a usar niveles específicos. Lo que orienta es que cada organización defina su propia escala de confidencialidad con base en riesgo y valor, y que esa escala valga para cualquier formato: archivo electrónico, papel, correo, medio de almacenamiento e incluso información hablada.

El punto que poca gente percibe es que clasificar datos no es etiquetar archivos por burocracia. Es crear un lenguaje común para que todos en la empresa sepan, al mirar una información, cómo debe tratarse. Del practicante al director, la regla es la misma.

Por qué clasificar los datos hace diferencia en el negocio

Sin clasificación, la empresa vive dos extremos a la vez, y los dos cuestan caro. Por un lado, datos sensibles quedan expuestos porque nadie sabía que eran sensibles. Por otro, datos triviales reciben una protección demasiado pesada, creando trabas de acceso que perjudican a quien necesita la información para operar.

En la práctica, la clasificación resuelve decisiones que aparecen todos los días. ¿Este informe puede enviarse al proveedor? ¿Esta base puede ir a una herramienta en la nube? ¿Este dato puede alimentar un modelo de inteligencia artificial? Quien responde a ojo se equivoca tarde o temprano. Quien responde con base en un nivel ya definido se equivoca mucho menos. Y además ahorra: la seguridad de la información no es infinita, y clasificar permite concentrar cifrado, control de acceso y monitoreo donde importa, en lugar de repartir una protección igual para todo y proteger mal lo que realmente la necesita.

Los niveles de clasificación de datos

La mayoría de las empresas medianas y grandes trabaja con cuatro niveles. Los nombres cambian de una organización a otra, pero la lógica es siempre la misma: cuanto mayor el daño de una filtración, más alto el nivel.

El nivel público reúne las informaciones que pueden circular libremente, dentro y fuera de la empresa, sin riesgo. Material de marketing, contenido del sitio web, comunicados oficiales. Si se filtra, no pasa nada, porque la intención ya era divulgarlo.

El nivel interno, a veces llamado de uso interno, es el dato que circula dentro de la empresa pero no debería salir de ella. Procedimientos, organigramas, comunicados internos, buena parte de los informes operativos. La filtración no es grave, pero tampoco es deseable.

El nivel restringido o confidencial de negocio ya pide un cuidado real. Son informaciones estratégicas: tabla de precios no divulgada, márgenes, contratos, datos de proveedores homologados, propuestas comerciales, planes de producto. Si esa información llega al competidor, la empresa pierde ventaja competitiva de verdad.

El nivel confidencial o secreto es la protección máxima. Datos personales y sensibles de clientes y colaboradores, información financiera crítica, secretos de negocio, credenciales de sistema. Aquí la filtración puede generar una multa de la LGPD (Ley General de Protección de Datos de Brasil), una acción judicial y un daño de imagen que lleva años reparar. Es el dato al que solo puede acceder quien tiene una necesidad clara y comprobada.

Una recomendación práctica: empieza con tres o cuatro niveles, no más. Una escala demasiado larga confunde la operación y nadie consigue recordar en qué nivel encaja cada cosa. La gobernanza que no se sigue en la práctica se vuelve un documento parado en una carpeta.

Cómo clasificar los datos en la práctica

El error más común es tratar la clasificación como un proyecto único, intentar clasificar todo de una vez y trabarse en la primera semana. El camino que funciona es empezar por los datos más sensibles e ir avanzando. La ISO 27001 organiza este trabajo en cuatro etapas que tienen sentido en cualquier empresa.

La primera es el inventario. Antes de clasificar, hay que saber qué existe: qué bases, hojas de cálculo, sistemas e informes. Aquí la clasificación toca directamente la gobernanza de datos, porque un catálogo de datos y un inventario de datos personales ya entregan buena parte de ese mapa. No se puede proteger lo que nadie sabe que existe.

La segunda es la clasificación en sí. Para cada activo de información, alguien necesita decidir el nivel usando un criterio claro de riesgo. Y ese "alguien" no es seguridad por sí sola. Quien conoce el dato es el área dueña de él. Compras sabe el peso de una tabla de proveedores, finanzas sabe el peso de un estado financiero. Seguridad aporta el método, el negocio aporta el contexto.

La tercera es el etiquetado. El nivel necesita quedar visible, marcado en el archivo, en el sistema, en el informe. Sin etiqueta, la clasificación existe solo en la cabeza de quien clasificó y desaparece en la primera vez que se comparte. Muchas herramientas hoy aplican esa etiqueta de forma automática, estampando el nivel en el propio documento.

La cuarta es el tratamiento, y suele ser la parte más trabajosa. Cada nivel tiene reglas propias: quién accede, si puede ir por correo, si puede salir de la empresa, si necesita cifrado, cuánto tiempo se guarda y cómo se descarta. De nada sirve clasificar un dato como confidencial y seguir tratándolo como si fuera público. La etiqueta sin regla es un adorno.

Quién es responsable de la clasificación de datos

La clasificación de datos no es tarea de una persona ni de un área aislada. Funciona cuando los roles están claros. El data owner, el dueño del dato, es quien responde por la información de un dominio y decide el nivel de clasificación, porque conoce el valor y el riesgo de ese dato en el negocio. El data steward cuida el día a día, garantiza que la clasificación se aplique, se revise y se mantenga. El área de seguridad de la información define el método, la política y los controles técnicos de cada nivel. Y el encargado de protección de datos (DPO) entra con fuerza cuando el dato es personal, conectando la clasificación con las exigencias de la LGPD.

Quien ya intentó implantar esto lo sabe: el problema casi nunca es técnico. Es definir al dueño. Mientras nadie asume la responsabilidad por un conjunto de datos, la clasificación queda en el limbo y el riesgo sigue en pie.

Qué herramientas ayudan a clasificar datos

La herramienta ayuda, pero no sustituye la decisión de negocio sobre qué es sensible. Dicho esto, el mercado tiene plataformas maduras que automatizan el descubrimiento, el etiquetado y el monitoreo a gran escala. En el universo Microsoft, Microsoft Purview hace clasificación y etiquetado integrado al entorno corporativo. Plataformas de gobernanza y catálogo como Collibra, Informatica y Ataccama traen la clasificación como parte del control sobre los datos. Y hay herramientas enfocadas en el descubrimiento de datos sensibles y en la conformidad, como BigID, Varonis y Netwrix, que recorren bases y sistemas buscando información que necesita protección.

La elección depende del tamaño de la empresa, del entorno de tecnología y de la madurez en gobernanza. El punto es no invertir el orden. La herramienta compra velocidad y escala, no criterio. Primero la empresa define los niveles y las reglas, después la tecnología aplica eso en el volumen que la mano humana no alcanza.

Clasificación de datos y LGPD

La LGPD no usa la palabra clasificación, pero exige en la práctica todo lo que la clasificación entrega. La ley exige saber qué datos personales trata la empresa, dónde están, quién accede y cómo se protegen. No se puede responder a eso sin antes clasificar. Es la clasificación la que separa el dato personal común del dato personal sensible, aquel que la LGPD protege con rigor extra, como salud, biometría, origen racial y convicción religiosa.

En la práctica, la clasificación es lo que transforma la LGPD de texto de ley en control real. Cuando la empresa marca una base como contenedora de datos personales sensibles, consigue aplicar acceso restringido, registrar el tratamiento y responder rápido a una solicitud de un titular o a una fiscalización. Sin clasificación, la respuesta a "dónde están los datos personales de nuestros clientes" es un silencio incómodo. Y ese silencio, ante la ANPD (la autoridad de protección de datos de Brasil), cuesta caro.

Clasificación de datos e inteligencia artificial

El tema ganó una capa nueva con la carrera de la inteligencia artificial. Las empresas están metiendo bases enteras dentro de asistentes, copilotos y modelos, muchas veces sin detenerse a pensar qué hay ahí adentro. Y ahí está el problema. Cuando un dato confidencial entra sin control a una herramienta de IA, puede reaparecer en una respuesta, alimentar un modelo externo o filtrarse por un camino que nadie previó.

La clasificación de datos es justamente la traba que faltaba. Es ella la que dice qué puede y qué no puede entrar a un modelo. Una base pública o interna alimenta una IA con tranquilidad. Una base confidencial necesita cuidado, anonimización o simplemente quedar fuera. La gobernanza de datos no frena la IA. Es lo que permite usar IA sin convertir cada proyecto en un riesgo de filtración.

Cómo aprender clasificación de datos

La clasificación de datos no se aprende memorizando los cuatro niveles. Se aprende entendiendo el contexto mayor de la gobernanza, porque conversa con catálogo de datos, inventario de datos personales, calidad, seguridad de la información y LGPD al mismo tiempo. Un buen camino de estudio pasa por tres frentes: el cuerpo de conocimiento de gestión de datos, el DAMA-DMBOK, que trata la seguridad y la clasificación como parte de la gobernanza; la familia de normas de seguridad de la información, con la ISO 27001 al frente, que da el método de inventario, clasificación y tratamiento; y la LGPD, que conecta todo esto con la realidad brasileña de protección de datos personales.

Para quien quiere una certificación, la CDMP, de DAMA, es la referencia internacional en gestión de datos y cubre el tema dentro de seguridad de datos. Pero el aprendizaje que más vale es el práctico: tomar una base real, definir niveles, clasificar y diseñar las reglas de tratamiento. Es ahí donde el concepto se vuelve competencia.

Las oportunidades de carrera

La clasificación de datos por sí sola no es un cargo, pero es una competencia que abre puertas en una de las áreas que más crecen en el mercado. Los profesionales de gobernanza de datos, seguridad de la información, privacidad y compliance son cada vez más disputados, empujados por la LGPD, por la regulación y ahora por la presión de usar IA con responsabilidad. Roles como data steward, analista de gobernanza, encargado de protección de datos y especialista en seguridad de la información pasan por la clasificación en el día a día.

Lo que vuelve valiosa esta competencia es que une tres mundos que solían andar separados: negocio, tecnología y conformidad. Quien sabe mirar un dato y decir el nivel de protección que exige, y por qué, entrega un valor que pocos entregan. Y ese perfil todavía es escaso en Brasil, lo que empuja la demanda y la remuneración hacia arriba.

MDM Academy

La MDM Academy es la escuela de gobernanza y datos maestros de 4MDG. Nació para formar profesionales capaces de resolver los problemas reales que vemos todos los días en las empresas: datos duplicados, registros maestros sin estándar, información sensible sin control, una base en la que nadie confía y proyectos de tecnología que se traban por la calidad de los datos. El foco no es una teoría lejana, es la práctica de quien vive la gobernanza dentro de proyectos de verdad, con SAP, alta y mantenimiento de registros maestros, compras, supply chain y MDM.

Quien entra a la MDM Academy aprende gobernanza de datos de forma aplicada, construye repertorio para asumir roles como data steward y analista de gobernanza, y pasa a ver el dato como un activo de negocio, no como una hoja de cálculo olvidada. Si quieres crecer en esta área o llevar la gobernanza de datos a tu empresa, vale la pena conocer la MDM Academy y entrar al Club de los Datos, donde la comunidad intercambia experiencia y evoluciona junta.

Principales dudas

¿Qué es la clasificación de datos? Es el proceso de separar las informaciones de la empresa en niveles de sensibilidad para definir cómo cada dato debe accederse, protegerse y tratarse. Responde cuál es el impacto si un dato se filtra, quién puede acceder a él y qué controles exige.

¿Cuáles son los niveles de clasificación de datos? La mayoría de las empresas usa cuatro: público, interno, restringido o confidencial de negocio, y confidencial o secreto. Los nombres varían, pero la lógica es siempre la misma: cuanto mayor el daño de una filtración, más alto el nivel y más fuerte la protección.

¿Clasificación de datos es lo mismo que LGPD? No, pero van juntas. La LGPD exige saber qué datos personales trata la empresa y cómo los protege, y es la clasificación la que identifica y separa esos datos, principalmente los datos personales sensibles, para aplicar el control correcto.

¿Quién es responsable de clasificar los datos? El dueño del dato, el área de negocio que conoce el valor y el riesgo de esa información, define el nivel. La seguridad de la información aporta el método, el data steward mantiene la clasificación en el día a día y el encargado de protección de datos entra cuando el dato es personal.

¿Por dónde empezar a clasificar datos en la empresa? Empieza por los datos más sensibles, no por todo de una vez. Haz el inventario de lo que existe, define de tres a cuatro niveles simples, clasifica con el área dueña del dato, etiqueta y crea reglas claras de tratamiento para cada nivel.

Conclusión

La clasificación de datos es una de esas prácticas que parecen un detalle hasta el día en que una información sensible se filtra por el camino equivocado. Mientras todo se trata igual, la empresa protege mal lo que importa y encorseta lo que no lo necesitaba. Cuando cada dato tiene un nivel claro, la protección deja de ser suerte y pasa a ser decisión.

Al final, clasificar datos es un acto de gobernanza antes de ser un acto de seguridad. Es la empresa deteniéndose a decir, en voz clara, cuánto vale cada información y cómo debe tratarse. Y en una época en que el dato alimenta informes, decisiones e inteligencia artificial, saber el peso de cada información dejó de ser un lujo. Se volvió condición para operar sin exponerse.