Cómo crear una Data Classification Policy en Gobernanza de Datos

João Barros 06 de November de 2026 4 min de lectura

Este tutorial explica cómo crear una Data Classification Policy en Gobernanza de Datos para identificar, etiquetar y controlar datos sensibles de forma consistente. La política ayuda a reducir riesgos, a facilitar auditorías y a soportar políticas de acceso y retención.

Requisitos previos

Cuenta con permisos administrativos en un servicio de catalogación/metadata (p. ej.: Microsoft Purview o equivalente).
Inventario inicial de fuentes de datos (bases de datos, data lakes, archivos) y ejemplos de datos sensibles.
Conocimientos básicos de expresiones regulares (regex) y de las etiquetas/terminología que la organización usa.
Herramienta para probar regex (opcional) y acceso a un entorno de pruebas.

Paso 1: Definir objetivos y categorías de clasificación

Antes de configurar cualquier política, defina qué tipos de datos quiere identificar (p. ej.: PII, PCI, PHI, secretos internos) y qué acciones desencadena cada etiqueta (p. ej.: cifrado, restricción de acceso, anonimización). Documente formatos y ejemplos para cada categoría — esto facilita reglas eficaces y reduce falsos positivos.

Paso 2: Crear un conjunto de reglas con regex y heurísticas

Construya reglas que detecten patrones concretos (p. ej.: NIF, tarjetas de crédito, correos electrónicos). Combine regex con heurísticas (contexto de columna/título, tipo de archivo) para mejorar la precisión. Pruebe cada regex con ejemplos reales y simulados.

# Exemplos de regex (sintaxe PCRE comum)
# NIF (Portugal): 9 dígitos
regex_nif = r"\b\d{9}\b"
# Cartão de crédito (Visa/Master simplificado)
regex_cc = r"\b(?:4[0-9]{12}(?:[0-9]{3})?|5[1-5][0-9]{14})\b"
# Email
regex_email = r"[A-Za-z0-9._%+-]+@[A-Za-z0-9.-]+\.[A-Za-z]{2,}"

Paso 3: Implementar la policy en la herramienta de catalogación

En su herramienta (p. ej.: Microsoft Purview) cree una nueva Data Classification Policy o Policy Rule. Para cada categoría, añada las reglas regex y las condiciones (aplicar solo a columnas con nombre que contenga 'email', 'nif', 'cc' para reducir falsos positivos).

# Pseudopasso: configurar regra na UI/API da ferramenta
1. Nova Policy -> Nome: "Classificação PII Básica"
2. Categoria: PII -> Etiqueta: "Confidencial - PII"
3. Adicionar Rule:
   - PatternType: Regex
   - Pattern: regex_email
   - Scope: columnName contains 'email' OR fileExtension in (csv,txt)
4. Ativar scan agendado ou manual

Paso 4: Ejecutar scans y refinar con excepciones

Ejecute un scan inicial sobre fuentes de prueba para medir la tasa de detección y falsos positivos. Analice muestras y cree excepciones o reglas adicionales (p. ej.: excluir columnas llamadas 'test_email' o archivos en /archive/). Itere hasta alcanzar una precisión aceptable.

# Processo de iteração (exemplo lógico)
1. Run scan -> export results
2. Sample hits -> verificar verdadeiro positivo/negativo
3. Se falso positivo -> adicionar condição de exclusão
4. Se falso negativo -> relaxar regra ou adicionar contexto adicional

Paso 5: Integrar etiquetas con políticas operativas

Tras etiquetar los datos, vincule las etiquetas a acciones operativas: crear alertas de acceso, aplicar Column-Level Security, activar cifrado o iniciar procesos de anonimización. Documente el flujo para que Data Stewards y equipos de seguridad sepan responder a las detecciones.

# Exemplo conceptual de integração
If data.label == 'Confidencial - PII':
    apply_access_policy(role='PRIV_SECURE')
    log_event('PII_detected', resource_id)

Verificar el resultado

Valide si las etiquetas se aplicaron correctamente: consulte el informe de la policy en la herramienta, analice ejemplos de archivos/tablas etiquetadas y verifique que se dispararon acciones (logs, cambios de permisos, alertas). Realice una prueba de acceso con un usuario no privilegiado para confirmar las restricciones.

Conclusión

Al crear una Data Classification Policy en Gobernanza de Datos consigue identificar y etiquetar datos sensibles de forma escalable, reduciendo riesgo y facilitando el cumplimiento. Próximos pasos: automatizar revisiones periódicas, involucrar a los Data Stewards para validación humana e integrar las detecciones con procesos de remediación. Consejo: comience con pocas reglas de alta precisión antes de ampliar la cobertura — ¿qué categorías priorizará primero?