La mayoría de las fugas de información no empiezan con un atacante forzando la puerta. Empiezan con alguien que ya tiene la llave: un empleado que copia la cartera de clientes a un pendrive antes de renunciar, un vendedor que reenvía una lista de precios a su correo personal para trabajar el fin de semana, un archivo con datos de nómina subido por error a una carpeta compartida con todo el mundo.
Ninguno de esos tres casos activa un antivirus. Ninguno dispara una alerta de intrusión. Y los tres son, técnicamente, una fuga de datos.
De eso se ocupa el DLP.
¿Qué significa DLP?
DLP son las siglas de Data Loss Prevention, prevención de pérdida de datos. Es el conjunto de controles que identifica la información sensible de una organización, vigila por dónde se mueve y bloquea su salida cuando esa salida no está autorizada.
La diferencia con el resto de las capas de seguridad está en el objeto que protege. Un firewall protege el perímetro. Un EDR protege el dispositivo. Un DLP protege el dato en sí, vaya donde vaya y lo mueva quien lo mueva.
¿Cómo funciona en la práctica?
Un DLP trabaja en tres momentos distintos de la vida de un archivo, y conviene entenderlos por separado porque las empresas suelen cubrir uno y descuidar los otros dos.
1. Datos en reposo. Lo que está guardado: servidores de archivos, SharePoint, bases de datos, equipos de los usuarios. Aquí el DLP rastrea y clasifica. Encuentra la hoja de cálculo con 4.000 números de identificación que alguien dejó en una carpeta pública hace dos años y nadie recuerda.
2. Datos en movimiento. Lo que viaja: correo saliente, mensajería, transferencias, tráfico web. Aquí el DLP inspecciona y decide. Si un contrato marcado como confidencial va camino a un dominio externo, se bloquea o se cifra antes de salir.
3. Datos en uso. Lo que alguien está manipulando en su equipo ahora mismo: copiar y pegar, imprimir, capturas de pantalla, USB. Es el punto más incómodo de controlar y, casualmente, por donde más información se va.
¿Qué información se protege exactamente?
Esta es la parte que más se subestima. Un DLP no sirve de nada si nadie definió antes qué es sensible en esa empresa en concreto. La respuesta cambia bastante según el sector:
- Banca y seguros. Datos de tarjetas, expedientes de crédito, información de cuentahabientes.
- Salud. Historias clínicas, resultados de laboratorio, cualquier dato que asocie a una persona con un diagnóstico.
- Retail. Bases de clientes, esquemas de precios, acuerdos con proveedores.
- Industria y energía. Planos, fórmulas, procedimientos operativos, licitaciones en curso.
- Todas. Nómina, contratos, propiedad intelectual y el correo de la dirección general.
¿Por qué importa el número?
El informe Cost of a Data Breach 2025 de IBM sitúa el costo promedio global de una brecha en 4,44 millones de dólares. Pero al desglosar por tipo de incidente aparece el dato que interesa aquí: los ataques de insider malicioso son los más caros de todos, con 4,92 millones de promedio, precisamente porque el atacante ya tiene permisos legítimos y se detecta tarde.
Ese es el escenario que un DLP está diseñado para atrapar. No al intruso, sino al acceso legítimo con intención ilegítima. O, mucho más frecuente, al acceso legítimo con un descuido.
¿Dónde suelen fallar las implementaciones?
He visto proyectos de DLP morir por las mismas cuatro razones, y ninguna es tecnológica.
La primera es arrancar bloqueando. Un DLP que el primer día empieza a frenar correos legítimos genera tal cantidad de quejas que a la semana lo apagan. Se empieza en modo observación, se mide el tráfico real y se bloquea cuando las reglas ya están afinadas.
La segunda es clasificar todo. Si el 80% de los archivos queda marcado como confidencial, en la práctica no hay nada confidencial. Menos etiquetas y mejor definidas siempre funciona mejor.
La tercera es olvidar la nube. Muchas políticas cubren el correo corporativo y dejan abiertos Drive, Dropbox, WeTransfer y el chat que el equipo usa a diario.
La cuarta, y la más común: nadie mira las alertas. Un DLP sin alguien que revise lo que reporta es un registro de fugas, no una prevención.
Cinco preguntas antes de comprar un DLP
- ¿Sabemos qué información sensible tenemos y dónde está guardada?
- ¿Quién decide qué se considera confidencial en esta empresa?
- ¿Cubrimos también la nube y los dispositivos personales, o solo el correo?
- ¿Quién va a revisar las alertas todos los días?
- ¿Qué pasa cuando el DLP bloquea algo legítimo y el usuario necesita enviarlo igual?
¿Se compra suelto o viene con otra cosa?
Las dos opciones existen y dependen del tamaño de la operación. En ZetTateK la prevención de fugas viene integrada en nuestro servicio de protección de equipos, con políticas granulares por usuario, departamento o tipo de archivo, y también se puede contratar por separado cuando la empresa ya tiene resuelto el endpoint y lo que necesita es control sobre el dato.
Si no tienes claro por dónde se te está yendo la información, el punto de partida no es comprar una herramienta. Es medir. Nuestra evaluación de seguridad sin costo incluye ese diagnóstico, y en la mayoría de los casos las sorpresas aparecen en la primera semana.
Puedes ampliar los términos técnicos de este artículo en nuestro glosario de ciberseguridad.
Un firewall te dice quién entra. Un DLP te dice qué se está llevando.
