¿Qué es el DLP?

La prevención de pérdida de datos (DLP) es un conjunto de herramientas y procesos de seguridad que detectan y evitan la transferencia, la divulgación o la destrucción no autorizadas de datos confidenciales, como información personal, registros financieros o propiedad intelectual. Los sistemas DLP inspeccionan los datos en tránsito, en uso y en reposo, y luego aplican las políticas mediante acciones como la emisión de alertas, el bloqueo o la puesta en cuarentena de los datos que coinciden con los criterios establecidos.

Puntos clave

• El DLP detecta y bloquea la transferencia no autorizada de datos confidenciales.
• Las políticas combinan patrones de datos, lógica booleana y medidas de aplicación.
• La cobertura abarca los datos en tránsito, en reposo y dentro de las aplicaciones en la nube.
• Las medidas van desde las alertas silenciosas hasta el bloqueo total y el rechazo.
• Para inspeccionar el tráfico SaaS cifrado, primero es necesario descifrar el protocolo TLS.

En esta página: Por qué es importante · Cómo funciona · Tipos · DLP y Versa · Preguntas frecuentes

¿Por qué es importante la DLP?

Los datos confidenciales salen ahora de una organización a través de docenas de canales cotidianos: un archivo adjunto de correo electrónico, una subida de datos SaaS a Dropbox o SharePoint, un mensaje de Slack, una memoria USB o un depósito en la nube mal configurado. La mayoría de estas transferencias no son maliciosas; un empleado adjunta el archivo equivocado o copia una lista de clientes en una cuenta personal para trabajar desde casa. Un número menor corresponde a fugas deliberadas. La prevención de pérdida de datos (DLP) es importante porque detecta ambos casos en el momento de la transferencia, antes de que los datos escapen al control de la organización, en lugar de cuando la filtración ya está en marcha.

La presión normativa aumenta aún más lo que está en juego. Marcos normativos como el RGPD, la HIPAA y el PCI DSS exigen a las organizaciones que demuestren que la información de carácter personal, los historiales médicos y los datos de tarjetas de pago están protegidos de forma activa, y no solo controlados en cuanto al acceso. La DLP proporciona a los equipos de cumplimiento normativo un control aplicable y auditable: cada coincidencia, alerta y bloqueo queda registrado, lo que genera las pruebas que solicitan los reguladores y los auditores. A medida que el trabajo se traslada fuera de la red y los datos se trasladan a la nube, el DLP es uno de los pocos controles que sigue a los propios datos en lugar de limitarse a un perímetro de red fijo.

¿Qué es el DLP?

El DLP funciona clasificando el contenido y, a continuación, aplicando una política en el momento en que los datos sensibles salen de su ámbito autorizado. Los métodos de clasificación van desde la simple comparación de patrones —expresiones regulares y diccionarios de palabras clave que reconocen elementos como números de tarjetas de crédito o formatos de documentos nacionales de identidad— hasta técnicas más precisas: la comparación exacta de datos con un conjunto de datos conocido, la identificación de documentos mediante huellas digitales comparadas con una plantilla registrada y el reconocimiento óptico de caracteres para el texto incrustado en imágenes.

Una simple detección no sirve de nada sin un punto de aplicación. Los sistemas DLP se sitúan en línea en esos puntos —pasarelas web y de correo electrónico, intermediarios de acceso a la nube, agentes en los terminales— donde inspeccionan el tráfico o los archivos en el contexto pertinente (una subida, una descarga, un archivo adjunto, un pegado desde el portapapeles) y llevan a cabo una acción definida por la política: permitirlo, registrar una alerta, bloquear la transferencia directamente o cerrar la sesión. Dado que el tráfico cifrado oculta su contenido por diseño, los sistemas DLP para el tráfico web y SaaS suelen depender del descifrado TLS para ver el contenido que deben inspeccionar.

Tipos de DLP

El DLP suele clasificarse según el lugar en el que se aplica. El DLP de red inspecciona los datos en movimiento en los puntos de salida de la red o de la nube —pasarelas web, correo electrónico y puntos de inspección de SASE/SSE— y es la implementación más habitual, ya que abarca a numerosos usuarios y aplicaciones desde una única capa de aplicación. El DLP de terminales se ejecuta como un agente en ordenadores portátiles y de sobremesa, controlando acciones locales que un control de capa de red no puede detectar, como copias en USB, operaciones del portapapeles e impresión, y sigue funcionando cuando un dispositivo está fuera de la red corporativa. El DLP en la nube se integra con un agente de seguridad de acceso a la nube para inspeccionar los datos en reposo dentro de aplicaciones SaaS y almacenamiento en la nube, no solo en tránsito. El DLP de detección (datos en reposo) analiza recursos compartidos de archivos, bases de datos y repositorios para localizar dónde se encuentran ya los datos confidenciales, lo que suele ser el primer paso antes de redactar políticas de transferencia eficaces. La mayoría de las implementaciones maduras combinan varias de estas opciones en lugar de basarse en una sola.

DLP y Versa

Versa Ofrece DLP como uno de los servicios principales de Security Service Edge en VersaONE, configurado en Concerto en la sección Security Service Edge > Protección en tiempo real. El modelo de configuración es modular y por capas: los patrones de datos definen la detección granular mediante expresiones regulares y palabras clave para valores como un número de tarjeta de crédito o un número de identificación; los perfiles de protección de datos combinan múltiples patrones con operadores booleanos y de proximidad (AND, OR, NOT, NEAR) para expresar condiciones más precisas; las «Reglas de DLP» utilizan uno o más perfiles y eligen un método de inspección —Análisis de contenido, DLP de archivos, Coincidencia exacta de datos (EDM), Huella digital de documentos u OCR— limitado a tipos de archivo específicos, actividades (carga/descarga) y contexto (encabezado, cuerpo, archivo adjunto); y los «Perfiles de DLP» agrupan varias reglas y las aplican a aplicaciones y grupos de usuarios específicos. A continuación, un perfil de DLP se asocia a una regla de protección de Internet de « SASE » o a una regla de protección de aplicaciones privadas, con las acciones «Permitir», «Alertar», «Bloquear» o «Rechazar».

Dado que la mayor parte del tráfico relevante para DLP dirigido a aplicaciones SaaS como Gmail, Slack o SharePoint está cifrado, es imprescindible disponer de una regla de descifrado TLS para las aplicaciones de destino a fin de poder inspeccionar el contenido. « Versa » también incluye reglas DLP integradas —entre las que se encuentra el perfil «GenAI_DLP», que agrupa las detecciones «Source_Code», «US_Financial» y «PII_US»— y cada evento DLP se registra en « Versa Analytics» para su revisión. Consulte la Guía de configuración de DLP para ver casos de uso prácticos y «Configurar la prevención de pérdida de datos en Concerto» para obtener la referencia de configuración completa.

Preguntas frecuentes

¿Cuál es la diferencia entre un DLP y un cortafuegos?

Un cortafuegos (o NGFW) controla qué conexiones y aplicaciones se permiten en función de la identidad, el puerto y las firmas de las aplicaciones. El DLP inspecciona el contenido real del tráfico permitido en busca de patrones de datos confidenciales. Son complementarios: el cortafuegos decide qué tráfico se permite, y el DLP decide qué contenido de ese tráfico puede salir.

¿Qué es la coincidencia exacta de datos (EDM) en DLP?

El EDM compara el contenido saliente con un conjunto de datos estructurado y con hash —como una base de datos de clientes— en lugar de con un patrón genérico. Identifica registros específicos (un ID de cliente real, no solo algo que se parezca a uno), lo que reduce drásticamente los falsos positivos en comparación con la detección basada únicamente en expresiones regulares.

¿Qué es la identificación de documentos mediante huellas digitales en DLP?

La identificación de documentos registra un formulario o una plantilla confidencial y calcula un índice de similitud entre este y los archivos en tránsito. Si el contenido de un archivo saliente coincide con la plantilla por encima de un umbral configurado, se activa la regla, lo cual resulta útil para proteger formularios estructurados cuya redacción exacta varía en cada ocasión.

¿Requiere DLP el descifrado TLS?

En el caso del tráfico web y SaaS, sí. El DLP inspecciona el contenido de la carga útil, y las conexiones cifradas ocultan esa carga útil por diseño. Para que una regla de DLP pueda ver el contenido de una subida, un archivo adjunto o el cuerpo de un mensaje, debe existir una regla de descifrado TLS para las aplicaciones correspondientes.

¿Cuál es la diferencia entre el DLP de red y el DLP de terminales?

El DLP de red inspecciona los datos en tránsito en las puertas de enlace y los puntos de inspección en la nube, abarcando a numerosos usuarios desde una única capa de aplicación, aunque solo el tráfico que atraviesa la red. El DLP de terminales se ejecuta en el propio dispositivo, por lo que también detecta acciones locales como las transferencias por USB, incluso cuando el dispositivo está desconectado.

Más información sobre DLP

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre DLP, te conviene echar un vistazo a lo siguiente.