En el contexto de la ciberseguridad, existen diversos roles de usuario que definen los permisos y responsabilidades de una persona, en relación con la seguridad de la información dentro de un sistema.

Estos roles varían desde roles con una gran carga de responsabilidad hasta roles más generales, como el usuario final. Establecer estos roles y su alcance es crucial para el control de acceso y la gestión de riesgos.

Los principales roles de usuario en ciberseguridad son:

CISO (Chief Information Security Officer)
Es responsable de la estrategia y dirección de la ciberseguridad de la organización.

CSO (Chief Security Officer)
Similar al CISO, pero con un enfoque más amplio en la seguridad general de la organización.

CTO (Chief Technology Officer)
Responsable de la tecnología y la infraestructura de la organización, lo cual incluye la ciberseguridad.

CIO (Chief Information Officer)
Persona encargada de la gestión de la información y la tecnología en la organización.

DPO (Delegado de Protección de Datos)
Responsable de la protección de datos personales, según la normativa de protección de datos.

Arquitecto/a de ciberseguridad
Diseña e implementa la arquitectura de seguridad de la organización.

Analista de seguridad
Monitorea, analiza y responde a incidentes de seguridad.

Informático/a forense
Investiga incidentes de seguridad y recopila pruebas.

Hacker ético
Realiza pruebas de penetración para identificar vulnerabilidades.

Usuario/a final
Es cualquier persona que interactúa con los sistemas y aplicaciones de la organización, y tiene un rol sumamente importante en la seguridad, porque muchas veces se convierte en el eslabón más fácil de romper para ingresar al sistema.

Por más robusta que sea la seguridad de una organización y se tomen todas las previsiones, el factor humano sigue siendo uno de los puntos más vulnerables. Con frecuencia, las personas ciberdelincuentes se valen de técnicas de ingeniería social enfocadas en las personas usuarias finales, para penetrar en los sistemas de las organizaciones. Por ello es trascendental que entiendan la importancia de la seguridad y generar el nivel de conciencia adecuado, para que logren identificar una potencial amenaza.

Clasificación de la información

Se acostumbra a clasificar la información para poder delimitar el acceso que requieren los diferentes usuarios. El acceso de las personas usuarias se define por roles y permisos, determinando qué información pueden ver, modificar o compartir.

Según la sensibilidad de la información y la necesidad de protección, se pueden clasificar los datos en: públicos, internos, confidenciales y restringidos.

Pública

Información accesible a cualquier persona, tanto dentro como fuera de la organización. Un ejemplo de ella es el número telefónico de una empresa o el precio de un artículo.

Interna

Información de uso exclusivo de la organización, accesible a todos las personas propias pero de manejo interno, como los horarios de trabajo o el inventario de bienes.

Confidencial

Información sensible que, si fuera revelada, podría usarse para causar daño a las personas o a la organización. El acceso está restringido a personas con autorización específica, dado que por ejemplo es información financiera, estados de cuenta o datos de clientes(as).

Restringida

Información muy sensible y crítica para las personas, la organización o inclusive el gobierno. El acceso está altamente restringido a personas autorizadas y cuenta con altos estándares de verificación formal, porque su uso afecta seriamente la seguridad de las partes involucradas. En esta categoría se encuentran, por ejemplo, secretos industriales o datos personales sensibles.