Prevención de pérdida de datos (DLP)

¿Qué es la prevención de pérdida de datos (DLP)?

La prevención de pérdida de datos (DLP, por sus siglas en inglés) es un conjunto de herramientas y políticas que localiza datos sensibles, vigila cómo se usan y se mueven, y bloquea o avisa de acciones que podrían exponerlos. El glosario del NIST la describe como la capacidad de identificar, supervisar y proteger los datos en uso, en movimiento y en reposo, mediante inspección profunda del contenido y análisis contextual de las transacciones (glosario NIST CSRC). Los objetivos habituales son datos personales, números de tarjeta, credenciales y código fuente. Limita las fugas accidentales y los errores internos; no sustituye lo básico de la protección de datos.

Los tres estados que cubre la DLP

• Datos en uso: lo que hace un usuario en un equipo, como copiar a una memoria USB, imprimir, hacer capturas o pegar en una herramienta de chat.
• Datos en movimiento: tráfico que sale de la organización por correo, subida web, uso compartido de archivos o mensajería, inspeccionado en una pasarela o en el servicio en la nube.
• Datos en reposo: archivos en bases de datos, recursos compartidos, portátiles y almacenamiento en la nube, analizados para saber dónde están realmente los datos sensibles.

Cómo funciona

1. Descubrir y clasificar. Analizar el almacenamiento para localizar datos sensibles y etiquetarlos (públicos, internos, confidenciales, regulados).
2. Definir políticas. Redactar reglas como: los números de tarjeta no pueden salir por correo; el código fuente no puede subirse a cuentas personales.
3. Detectar. Comparar el contenido con patrones (por ejemplo, un número de tarjeta con suma de control válida), palabras clave, huellas de documentos y contexto como remitente, destino y tipo de archivo.
4. Responder. Registrar, avisar al usuario, pedir una justificación, poner en cuarentena o bloquear.
5. Revisar y ajustar. Revisar incidentes, eliminar falsos positivos y adaptar las políticas a los cambios en el trabajo.

Ejemplo

Un empleado intenta enviar por correo a una dirección personal una hoja de cálculo con datos de clientes. La regla de DLP reconoce el contenido y el destinatario externo, bloquea el mensaje y avisa al equipo de seguridad. El empleado ve una breve explicación y puede pedir una excepción mediante un proceso documentado.

Errores habituales

• Activar el bloqueo desde el primer día. Es mejor empezar solo monitorizando, medir los falsos positivos y luego aplicar.
• Saltarse la clasificación. Las reglas que no saben qué datos importan, o no los detectan o bloquean todo.
• Ignorar los canales cifrados. La inspección de contenido no puede leer lo que no ve; decida dónde se descifra el tráfico para inspeccionarlo y qué cubren los controles de endpoint o de la nube. Por qué es un compromiso real se explica en cifrado de extremo a extremo.
• Ver la DLP solo como una herramienta. Sin formación y políticas claras, la gente la esquiva.
• Olvidar los accesos. La DLP no corrige permisos demasiado amplios; combínela con la gestión de identidades y accesos y el control de acceso basado en roles.

DLP, pruebas y monitorización

LoadFocus no es un producto de DLP. Lo que sí puede hacer es ayudarle a no crear exposición mientras prueba. Use datos sintéticos, no datos reales de clientes, en las pruebas de carga y en las cargas de la monitorización de API, y guarde las claves de API y los tokens en la configuración segura de sus herramientas en lugar de en los scripts. Para más orientación, consulte buenas prácticas de seguridad en pruebas en la nube. La DLP es un control entre muchos; los riesgos que la rodean se describen en amenazas de ciberseguridad.

Preguntas frecuentes

¿Qué significa DLP?

Data loss prevention, en español prevención de pérdida de datos, a veces también prevención de fuga de datos. Ambas describen controles que evitan que los datos sensibles salgan de donde se les permite estar.

¿Cuál es la diferencia entre DLP y cifrado?

El cifrado hace los datos ilegibles para quien no tenga la clave. La DLP examina qué datos se usan o se envían y decide si la acción está permitida. Se complementan: la DLP puede exigir que los archivos sensibles solo se compartan cifrados.

¿Qué tipos de DLP existen?

La DLP de red inspecciona el tráfico saliente, la de endpoint controla las acciones en los dispositivos y la de nube aplica políticas dentro de servicios SaaS y de almacenamiento en la nube. Muchos productos combinan las tres.

¿La DLP detiene las amenazas internas?

Reduce las fugas accidentales y facilita detectar la extracción descuidada o deliberada de datos. Un empleado decidido aún puede encontrar rodeos, por lo que conviene combinarla con control de acceso, registros y análisis de comportamiento.

¿La normativa exige DLP?

La mayoría de las normas piden proteger los datos personales o regulados, pero no nombran la DLP como producto obligatorio. La DLP es una forma de demostrar que esos controles existen.