YPF: Clasificación y Seguridad de la Información

En una compañía de la envergadura y complejidad de YPF, la información no es simplemente un conjunto de datos; es el activo estratégico más valioso que impulsa nuestras operaciones, innovaciones y decisiones futuras. Desde los detallados mapas sísmicos de Vaca Muerta hasta los registros de mantenimiento de una refinería, cada pieza de información posee un valor intrínseco que debe ser protegido con el máximo rigor. Para gestionar esta inmensa responsabilidad, YPF se apoya en estándares internacionales de primer nivel, siendo la norma ISO 27001 el pilar fundamental sobre el cual construimos nuestro Sistema de Gestión de la Seguridad de la Información (SGSI). La clasificación de la información es el primer y más crucial paso en este proceso, permitiéndonos entender qué protegemos y por qué.

¿Por qué es Crucial la Clasificación de Información en YPF?

La naturaleza de nuestras operaciones implica manejar datos de extrema sensibilidad. Una fuga de información, por mínima que sea, podría tener consecuencias significativas que van desde pérdidas económicas hasta riesgos operativos y de reputación. La correcta clasificación nos permite aplicar los controles de seguridad adecuados a cada tipo de información, optimizando recursos y garantizando una protección eficaz. Los principales motivos para esta clasificación son:

• Ventaja Competitiva: Datos geológicos, planes de exploración y estrategias comerciales son el corazón de nuestro negocio. Protegerlos es proteger nuestro futuro.
• Seguridad Operacional: La información sobre el funcionamiento de nuestras plantas, ductos y refinerías es crítica. Su integridad y confidencialidad son esenciales para prevenir incidentes y garantizar la seguridad de nuestro personal y del medio ambiente.
• Cumplimiento Normativo y Legal: YPF está sujeta a una multitud de regulaciones. La clasificación nos ayuda a cumplir con leyes de protección de datos personales, normativas financieras y otros requisitos legales.
• Confianza de Inversores y Socios: Demostrar una gestión robusta de la seguridad de la información fortalece la confianza de nuestros accionistas, socios estratégicos y del mercado en general.

El Modelo de 4 Pasos de ISO 27001 Aplicado en YPF

Para llevar a cabo esta tarea de manera sistemática y eficiente, adoptamos un proceso estructurado basado en las mejores prácticas de la norma ISO 27001. Este modelo se desglosa en cuatro fases clave que se adaptan a la realidad y escala de YPF.

Paso 1: Realizar un Inventario de Activos de Información

El primer paso es saber qué tenemos. No podemos proteger lo que no conocemos. En YPF, este inventario es una tarea monumental que abarca una diversidad enorme de activos. No hablamos solo de documentos de texto o planillas de cálculo; nuestros activos de información incluyen:

• Bases de datos geofísicos con terabytes de información sísmica.
• Modelos de simulación de yacimientos.
• Datos en tiempo real de sistemas SCADA que monitorean la producción y el transporte.
• Planos de ingeniería de instalaciones complejas.
• Contratos estratégicos con proveedores y socios.
• Informes financieros y proyecciones de mercado.
• Datos personales de miles de empleados y clientes.

Para cada uno de estos activos, se designa un propietario de la información. Generalmente, es un líder o gerente del área que genera o utiliza principalmente dichos datos (por ejemplo, el Gerente de Exploración es el propietario de los datos sísmicos). Esta persona es la responsable final de su correcta clasificación y protección.

Paso 2: Clasificar los Activos Identificados

Una vez inventariados, cada activo debe ser clasificado según su nivel de sensibilidad. En YPF, utilizamos un esquema de clasificación basado en el impacto que tendría una divulgación no autorizada. Si bien la norma ISO 27001 es flexible, hemos estandarizado un sistema claro de cuatro niveles para toda la organización:

• Confidencial: Es el nivel más alto de sensibilidad. Su divulgación no autorizada podría causar un daño grave a YPF, a sus socios, a sus empleados o a la seguridad nacional. El acceso está estrictamente limitado al principio de “necesidad de conocer”.
• Restringida: Información sensible cuyo acceso se limita a grupos específicos dentro de la compañía. Su divulgación podría tener un impacto negativo en las operaciones o la reputación de la empresa.
• Uso Interno: Es la información de trabajo diario que, si bien no es pública, no causaría un daño significativo si se divulgara internamente. Está destinada a la libre circulación entre los empleados de YPF para el cumplimiento de sus funciones.
• Pública: Información diseñada para ser compartida con el público en general. No requiere ningún control de confidencialidad.

Para clarificar esta clasificación, hemos desarrollado una tabla de referencia:

Paso 3: Etiquetar los Activos

Una vez clasificada, la información debe ser etiquetada de forma clara y consistente. Este etiquetado sirve como una señal visual o digital que informa a cualquier usuario sobre el nivel de protección requerido. El etiquetado en YPF adopta múltiples formas:

• Documentos Físicos: Se utilizan sellos o encabezados/pies de página claros (ej. “YPF – CONFIDENCIAL”) en cada página de los documentos impresos.
• Documentos Digitales: Se aplican marcas de agua, encabezados y pies de página automáticos en documentos de ofimática. Además, se utilizan etiquetas de metadatos que pueden ser leídas por otros sistemas de seguridad para aplicar políticas automáticamente.
• Correos Electrónicos: Nuestro sistema de correo electrónico puede requerir que el remitente clasifique el mensaje antes de enviarlo, añadiendo una etiqueta visible en el asunto o cuerpo del correo.
• Sistemas y Aplicaciones: Las aplicaciones que manejan datos sensibles muestran indicadores visuales permanentes en la interfaz para recordar a los usuarios el nivel de confidencialidad de los datos que están manejando.

Paso 4: Manejo Seguro de los Activos

La clasificación y el etiquetado carecen de sentido si no se traducen en acciones concretas. Esta fase consiste en definir y aplicar las reglas de manejo para cada nivel de clasificación. Estas reglas abarcan todo el ciclo de vida de la información: creación, almacenamiento, transporte, uso y destrucción.

Por ejemplo, un documento clasificado como Confidencial en YPF debe seguir reglas estrictas: no puede ser enviado por correo electrónico sin cifrado de extremo a extremo, debe almacenarse únicamente en repositorios designados con controles de acceso reforzados, no puede imprimirse sin una justificación válida y su destrucción debe realizarse mediante métodos seguros que impidan su reconstrucción.

En contraste, un documento de Uso Interno puede ser compartido libremente en la red corporativa, pero no debe ser subido a servicios en la nube públicos o compartido en redes sociales.

Preguntas Frecuentes (FAQ)

¿Qué sucede si un empleado clasifica incorrectamente un documento?

La clasificación incorrecta es un riesgo. Si se sub-clasifica (ej. marcar algo Confidencial como Uso Interno), se expone la información a riesgos innecesarios. Si se sobre-clasifica, se pueden crear barreras burocráticas que dificultan el trabajo. Por ello, la capacitación continua es fundamental. Además, existen procesos de revisión y auditoría para detectar y corregir estas desviaciones.

¿Este proceso se aplica solo a la información digital?

No. El sistema de clasificación se aplica a la información en todos sus formatos: digital, papel, e incluso información verbal compartida en reuniones. Por ejemplo, una reunión donde se discutan temas “Confidenciales” debe realizarse en una sala segura y los asistentes deben ser conscientes de la prohibición de divulgar lo discutido.

¿Quién es el responsable final de la seguridad de la información?

Si bien el propietario de la información es responsable de su clasificación y de definir los accesos, la seguridad de la información es una responsabilidad de todos los empleados de YPF. Cada persona que maneja información de la compañía tiene el deber de respetar su clasificación y aplicar las medidas de protección correspondientes. La ciberseguridad es un esfuerzo colectivo.

En conclusión, el proceso de clasificar la información según la norma ISO 27001 no es un ejercicio burocrático, sino una disciplina estratégica esencial para la supervivencia y el éxito de YPF. Es la base que nos permite proteger nuestros secretos industriales, asegurar la continuidad de nuestras operaciones y mantener la confianza de una nación y del mercado global. Es un compromiso continuo con la excelencia y la seguridad en cada dato que manejamos.