Prevención de Pérdida de Datos (DLP).

La Prevención de Pérdida de Datos (DLP) es una categoría de controles que inspeccionan el contenido en movimiento, en reposo y en uso, y aplican políticas para mantener la información regulada o confidencial dentro de los límites de confianza. Los motores DLP combinan coincidencia de patrones, reglas léxicas, comparación de datos exactos, aprendizaje automático y huellas digitales de documentos para reconocer PII, datos de pago, código fuente o propiedad intelectual. Las acciones habituales incluyen bloquear un correo saliente, poner en cuarentena un archivo, exigir justificación o redactar el contenido antes de su salida. Las implantaciones maduras integran DLP con clasificación de datos, IAM y SIEM/SOAR para priorizar incidentes, preservar evidencia y ajustar políticas reduciendo falsos positivos, en línea con RGPD, HIPAA y PCI DSS.

Canales, detección y el problema del interno

El DLP suele desplegarse en tres puntos de aplicación: agentes de endpoint (que bloquean la copia a USB, la impresión, el portapapeles y las capturas de pantalla), pasarelas de red/correo (que inspeccionan SMTP, las cargas web y la sincronización en la nube) y conectores de nube/API que escanean los datos en reposo en SaaS y almacenamiento de objetos. La calidad de la detección depende de identificar el contenido correcto: una expresión regular por sí sola marca demasiado, por lo que los programas serios superponen la comparación de datos exactos (aplicando hash a las filas de una base de clientes real), las huellas digitales de documentos para archivos propietarios y diccionarios para términos regulados. El Requisito 4 de PCI DSS y el Artículo 32 del RGPD son impulsores habituales, pero la regla más valiosa suele ser la menos ingeniosa: alertar cuando un único usuario exporta miles de registros de una sola vez.

Los casos más difíciles son los internos y la salida por endpoint, más que los grandes hackeos. En 2022 Yahoo demandó al científico investigador saliente Qian Sang, alegando que descargó aproximadamente 570.000 archivos de la propiedad intelectual de AdLearn de la compañía a dispositivos personales minutos después de recibir una oferta de trabajo de un competidor, exactamente la exfiltración "en uso" que el DLP debe detectar. Dado que los internos motivados pueden fotografiar una pantalla o usar canales cifrados, el DLP funciona mejor como una capa de un programa más amplio: acceso con privilegios mínimos, monitorización de la actividad del usuario (UEBA) y cifrado, ajustados de forma continua para evitar que los falsos positivos enseñen al personal a ignorar las alertas.

flowchart TD
  D[Datos sensibles<br/>PII / PCI / código fuente] --> C{Inspección DLP}
  C -->|Endpoint| E[USB / impresión / portapapeles]
  C -->|Red / correo| N[SMTP / carga web]
  C -->|Nube / API| S[SaaS / almacenamiento de objetos]
  E --> P{¿Coincide política?}
  N --> P
  S --> P
  P -->|Sí| B[Bloquear / cuarentena / redactar<br/>+ alerta a SIEM]
  P -->|No| A[Permitir]