La mayoría de las fugas de información no empiezan con un atacante forzando la puerta. Empiezan con alguien que ya tiene la llave: un empleado que copia la cartera de clientes a un pendrive antes de renunciar, un vendedor que reenvía una lista de precios a su correo personal para trabajar el fin de semana, un archivo con datos de nómina subido por error a una carpeta compartida con todo el mundo.
Ninguno de esos tres casos activa un antivirus. Ninguno dispara una alerta de intrusión. Y los tres son, técnicamente, una fuga de datos.
De eso se ocupa el DLP.
¿Qué significa DLP?
DLP son las siglas de Data Loss Prevention, prevención de pérdida de datos. Es el conjunto de controles que identifica la información sensible de una organización, vigila por dónde se mueve y bloquea su salida cuando esa salida no está autorizada.
La diferencia con el resto de las capas de seguridad está en el objeto que protege. Un firewall protege el perímetro. Un EDR protege el dispositivo. Un DLP protege el dato en sí, vaya donde vaya y lo mueva quien lo mueva.
¿Cómo funciona en la práctica?
Un DLP trabaja en tres momentos distintos de la vida de un archivo, y conviene entenderlos por separado porque las empresas suelen cubrir uno y descuidar los otros dos.
1. Datos en reposo. Lo que está guardado: servidores de archivos, SharePoint, bases de datos, equipos de los usuarios. Aquí el DLP rastrea y clasifica. Encuentra la hoja de cálculo con 4.000 números de identificación que alguien dejó en una carpeta pública hace dos años y nadie recuerda.
2. Datos en movimiento. Lo que viaja: correo saliente, mensajería, transferencias, tráfico web. Aquí el DLP inspecciona y decide. Si un contrato marcado como confidencial va camino a un dominio externo, se bloquea o se cifra antes de salir.
3. Datos en uso. Lo que alguien está manipulando en su equipo ahora mismo: copiar y pegar, imprimir, capturas de pantalla, USB. Es el punto más incómodo de controlar y, casualmente, por donde más información se va.
¿Qué información se protege exactamente?
Esta es la parte que más se subestima. Un DLP no sirve de nada si nadie definió antes qué es sensible en esa empresa en concreto. La respuesta cambia bastante según el sector:
- Banca y seguros. Datos de tarjetas, expedientes de crédito, información de cuentahabientes.
- Salud. Historias clínicas, resultados de laboratorio, cualquier dato que asocie a una persona con un diagnóstico.
- Retail. Bases de clientes, esquemas de precios, acuerdos con proveedores.
- Industria y energía. Planos, fórmulas, procedimientos operativos, licitaciones en curso.
- Todas. Nómina, contratos, propiedad intelectual y el correo de la dirección general.
¿Por qué importa el número?
El informe Cost of a Data Breach 2025 de IBM sitúa el costo promedio global de una brecha en 4,44 millones de dólares. Pero al desglosar por tipo de incidente aparece el dato que interesa aquí: los ataques de insider malicioso son los más caros de todos, con 4,92 millones de promedio, precisamente porque el atacante ya tiene permisos legítimos y se detecta tarde.
Ese es el escenario que un DLP está diseñado para atrapar. No al intruso, sino al acceso legítimo con intención ilegítima. O, mucho más frecuente, al acceso legítimo con un descuido.
¿Dónde suelen fallar las implementaciones?
He visto proyectos de DLP morir por las mismas cuatro razones, y ninguna es tecnológica.
La primera es arrancar bloqueando. Un DLP que el primer día empieza a frenar correos legítimos genera tal cantidad de quejas que a la semana lo apagan. Se empieza en modo observación, se mide el tráfico real y se bloquea cuando las reglas ya están afinadas.
La segunda es clasificar todo. Si el 80% de los archivos queda marcado como confidencial, en la práctica no hay nada confidencial. Menos etiquetas y mejor definidas siempre funciona mejor.
La tercera es olvidar la nube. Muchas políticas cubren el correo corporativo y dejan abiertos Drive, Dropbox, WeTransfer y el chat que el equipo usa a diario.
La cuarta, y la más común: nadie mira las alertas. Un DLP sin alguien que revise lo que reporta es un registro de fugas, no una prevención.
Cinco preguntas antes de comprar un DLP
- ¿Sabemos qué información sensible tenemos y dónde está guardada?
- ¿Quién decide qué se considera confidencial en esta empresa?
- ¿Cubrimos también la nube y los dispositivos personales, o solo el correo?
- ¿Quién va a revisar las alertas todos los días?
- ¿Qué pasa cuando el DLP bloquea algo legítimo y el usuario necesita enviarlo igual?
¿Se compra suelto o viene con otra cosa?
Las dos opciones existen y dependen del tamaño de la operación. En ZetTateK la prevención de fugas viene integrada en nuestro servicio de protección de equipos, con políticas granulares por usuario, departamento o tipo de archivo, y también se puede contratar por separado cuando la empresa ya tiene resuelto el endpoint y lo que necesita es control sobre el dato.
Si no tienes claro por dónde se te está yendo la información, el punto de partida no es comprar una herramienta. Es medir. Nuestra evaluación de seguridad sin costo incluye ese diagnóstico, y en la mayoría de los casos las sorpresas aparecen en la primera semana.
Puedes ampliar los términos técnicos de este artículo en nuestro glosario de ciberseguridad.
Un firewall te dice quién entra. Un DLP te dice qué se está llevando.
Preguntas frecuentes
¿Qué es DLP y para qué sirve en una empresa?
DLP significa Data Loss Prevention, o prevención de pérdida de datos. Son controles que detectan la información sensible de tu empresa, vigilan por dónde circula y frenan cualquier salida no autorizada. A diferencia de un firewall (que cuida el perímetro) o un EDR (que cuida el dispositivo), el DLP protege el dato en sí, sin importar quién lo mueva ni hacia dónde. Sirve tanto contra robos internos como contra descuidos.
¿Cómo empiezo a implementar un DLP en mi empresa?
El primer paso no es comprar una herramienta, es saber qué información sensible tienes y dónde está guardada. Con eso claro, se activa el DLP en modo observación para medir cómo se mueven los datos en realidad, y solo después se aplican bloqueos con reglas ya afinadas. También necesitas definir quién revisará las alertas cada día. Si no sabes por dónde empezar, ZetTateK ofrece una evaluación de seguridad sin costo que incluye ese diagnóstico.
¿Cuánto cuesta una fuga de datos si mi empresa no tiene DLP?
Según el informe Cost of a Data Breach 2025 de IBM, una brecha cuesta en promedio 4,44 millones de dólares a nivel global. Las fugas causadas por un insider malicioso, es decir, alguien con acceso legítimo, son las más caras: 4,92 millones en promedio, porque se detectan tarde. Ese es justo el tipo de incidente que un DLP ayuda a atrapar antes de que la información salga de tu empresa.
¿Cuáles son los errores más comunes al implementar un DLP?
Los proyectos de DLP suelen fracasar por cuatro razones que no son técnicas: bloquear desde el primer día (las quejas hacen que lo apaguen), etiquetar casi todo como confidencial (y entonces nada lo es), cubrir solo el correo y olvidar la nube, y no asignar a nadie que revise las alertas. Un DLP que nadie vigila no previene fugas, solo las registra cuando ya ocurrieron.
