Data Protection Flashcards
¿Qué es la Data Classification?
🔶DATA CLASSIFICATIONS
Es el proceso de organizar y categorizar los datos en función de su valor y sensibilidad.
Esto permite a las organizaciones proteger adecuadamente la información y asignar recursos a los datos más críticos.
El Data Owner es el responsable de decidir el nivel de clasificación de los datos.
¿Qué es el Sensitive Data?
🔶DATA CLASSIFICATIONS
Se considera Sensitive Data cualquier dato que, si es accedido por personas no autorizadas, pueda comprometer la seguridad o causar una pérdida de ventaja competitiva para la organización. Básicamente, son datos que necesitan protección.
¿Qué problemas puede causar la overclassification de datos?
🔶DATA CLASSIFICATIONS
La overclassification puede llevar a un uso excesivo de recursos, tiempo y dinero para proteger datos que no lo requieren, lo que puede resultar en gastos innecesarios.
¿Cuáles son los niveles de clasificación de datos en una empresa comercial?
🔶DATA CLASSIFICATIONS
Public: No tendría ningún impacto en tu empresa si se divulga.
Usualmente, esta es la información que ya está disponible públicamente, como la que se encuentra en tu sitio web. Un ejemplo sería un curso publicado en tu plataforma.
Sensitive: Podría tener un impacto mínimo si se divulga, como los datos financieros de la organización o un próximo lanzamiento de producto.
- Estos son datos que no querrías que tu competencia viera antes de tiempo.
Private: Incluiría cosas como registros personales, información salarial y cualquier otro dato utilizado dentro de la organización. Es información interna que solo debe ser accesible para personas dentro de la organización.
- Por ejemplo, no necesitas saber los ingresos de la empresa o el salario de los empleados.
Confidential: Contiene elementos como secretos comerciales, propiedad intelectual (IP), código fuente y otros tipos de datos que afectarían gravemente al negocio si se divulgan.
- Solo debe ser accesible por personal autorizado y posiblemente terceros bajo un NDA (confidencialidad)
Critical data: Información que es tan valiosa que no se permite ningún riesgo si se captura o se compromete. El acceso a estos datos está severamente restringido a un número muy limitado de personas de confianza.
- Ejemplos comunes incluyen números de tarjetas de crédito o información de identificación personal muy sensible. El acceso a este tipo de datos debe estar extremadamente controlado, ya que una violación podría tener consecuencias catastróficas.
¿Cuáles son los niveles de clasificación de datos en una organización gubernamental?
🔶DATA CLASSIFICATIONS
- Unclassified: Información que puede ser liberada al público en general, como bajo la Ley de Libertad de Información en los EE. UU. (FOIA).
-
Sensitive but unclassified (SBU): Informacion que no afectaría a la seguridad nacional si se divulga, pero sí afectaría a la persona involucrada.
- El expediente médico de un soldado que contiene su historial de enfermedades y tratamientos. Si se divulga, no afectaría la seguridad nacional, pero sí invadiría su privacidad y podría tener consecuencias personales o profesionales para el individuo.
-
Confidential: Información que podría afectar gravemente al gobierno si se divulga.
- Un contrato gubernamental con una empresa privada que incluye secretos comerciales o especificaciones técnicas que, si se divulgan, podrían afectar gravemente la posición competitiva de esa empresa o las relaciones comerciales del gobierno.
-
Secret: Información que podría dañar gravemente la seguridad nacional si se divulga.
- Un plan de despliegue militar para una misión en el extranjero. Si esta información se revela a enemigos o al público, podría dañar gravemente la seguridad de las tropas y comprometer la misión, además de poner en riesgo la vida de los soldados.
-
Top secret: Información que podría dañar muy gravemente la seguridad nacional
- Los planos de un sistema de misiles o un programa nuclear avanzado que, si se filtraran, podrían dañar gravemente la seguridad nacional al proporcionar a adversarios estratégicos información crítica para desarrollar contraataques o contramedidas.
¿Qué es el Data Lifecycle?
🔶DATA CLASSIFICATIONS
El Data Lifecycle abarca todas las etapas de la vida de los datos, su recolección, almacenamiento, retención y eliminación.
Tu organización necesita políticas claras que dicten cómo y por cuánto tiempo deben almacenarse los datos, y cómo deben destruirse cuando ya no son necesarios.
Además, debes asegurarte de seguir las leyes y regulaciones locales, estatales y gubernamentales sobre los requisitos de tiempo de retención de datos, ya que, dependiendo del tipo de organización que seas, podrías tener requisitos legales que te obliguen a mantener ciertos tipos de datos durante períodos de tiempo específicos.
¿Qué es el data ownership?
🔶DATA OWNERSHIP
El data ownership se refiere al proceso de identificar a la persona responsable de la confidencialidad, integridad, disponibilidad y privacidad de los activos de información dentro de una organización.
¿Cuál es la función principal de un Data Owner?
🔶DATA OWNERSHIP
El Data Owner es un rol ejecutivo senior que tiene la responsabilidad final de mantener la confidencialidad, integridad y disponibilidad de los activos de información.
Es quien decide la clasificación de los datos y asegura que los controles de seguridad adecuados se implementen.
- Ejemplo: El data owner decide que la información financiera debe etiquetarse como tal y establece controles específicos para protegerla.
¿Qué es un Data Controller y cuál es su función?
🔶DATA OWNERSHIP
El Data Controller es la entidad responsable de definir los propósitos y métodos de recolección, almacenamiento y uso de los datos. También debe garantizar que estos procesos se realicen de manera legal.
El Data Controller no puede delegar esta responsabilidad.
¿Cuál es la diferencia entre un Data Processor y un Data Controller?
🔶DATA OWNERSHIP
El Data Processor es una entidad contratada por el Data Controller para ayudar en la recolección, almacenamiento o procesamiento de los datos bajo las instrucciones del Data Controller.
Mientras que el Data Controller toma las decisiones sobre el uso de los datos, el Data Processor simplemente ejecuta esas instrucciones.
¿Cuál es la responsabilidad de un Data Steward?
🔶DATA OWNERSHIP
El Data Steward se encarga de la calidad y etiquetado de los datos, asegurándose de que estos estén correctamente clasificados de acuerdo con las directrices del Data Owner.
- Ejemplo: El data steward se asegura de que toda la información financiera esté etiquetada correctamente como información financiera, según las instrucciones del data owner.
¿Qué rol desempeña el Data Custodian en la gestión de los datos?
🔶DATA OWNERSHIP
Es responsable de la gestión del sistema donde se almacenan los datos, asegurándose de que se cumplan los controles de acceso, encriptación y medidas de respaldo y recuperacion.
A menudo son administradores de sistemas.
¿Qué hace un Privacy Officer dentro de una organización?
🔶DATA OWNERSHIP
El Privacy Officer es responsable de supervisar los datos relacionados con la privacidad, como PII o PHI, y asegurar que la organización cumpla con las regulaciones de privacidad.
También se encarga de minimizar riesgos durante una data breach y garantizar la retención y soberanía adecuadas de los datos.
Tiene que asegurarse de que la empresa esté cumpliendo con los marcos legales y regulatorios y garantizar que tengamos el propósito adecuado, limitaciones y consentimiento.
¿Quién debería ser el Data Owner?
🔶DATA OWNERSHIP
El Data Owner debería ser alguien del área de negocio que tenga un profundo conocimiento de los datos dentro del contexto de la organización, como un CFO en el caso de información financiera.
No debe ser el departamento de TI, ya que este conoce los sistemas, pero no necesariamente comprende el valor o el uso de los datos.
Data at Rest
Métodos de cifrado para Data at Rest
🔶Data States
- Cualquier dato almacenado en bases de datos, sistemas de archivos u otros sistemas de almacenamiento.
- Estos datos NO se están moviendo activamente a través de la red o procesos, como la información almacenada en el disco duro de una computadora o en los servidores de una empresa.
Métodos de cifrado para Data at Rest
- Full Disc Encryption: Este método cifra todo el disco duro. Cuando el sistema está apagado, los datos están cifrados. Cuando el sistema está encendido y el usuario ha iniciado sesión, los datos están descifrados. Puede lograrse a través del sistema operativo, software de terceros o el propio dispositivo de disco.
- Partition Encryption: Cifra particiones específicas del disco duro, dejando otras particiones sin cifrar.
- File Encryption: Cifra archivos individuales, ideal cuando se necesitan asegurar archivos específicos.
- Volume Encryption: Cifra un conjunto seleccionado de archivos o directorios.
- Database Encryption: Cifra datos almacenados en bases de datos a nivel de columna, fila o tabla.
- Record Encryption: Cifra campos específicos dentro de un registro de la base de datos. Es útil cuando varios usuarios acceden a la misma base de datos, pero no todos tienen los mismos permisos.
