Un asistente copia la base de clientes a una memoria USB para “trabajar desde la casa”. Una analista pega un informe con cédulas en un chat de IA para resumirlo. Un vendedor reenvía una cotización a su correo personal. Ninguno quiso causar un incidente, pero los tres sacaron información sensible de la empresa. Para eso existe el DLP.
Qué es DLP
DLP significa Data Loss Prevention, o prevención de pérdida de datos. Es un conjunto de tecnologías y políticas que identifican la información sensible, vigilan por dónde se mueve y bloquean o alertan cuando sale por un canal no autorizado.
Un sistema DLP hace tres cosas:
- Descubre y clasifica los datos sensibles: tarjetas, documentos de identidad, historias clínicas, secretos técnicos, propiedad intelectual.
- Monitorea cómo se usan y se mueven esos datos.
- Aplica políticas: permitir, alertar, pedir justificación, bloquear o poner en cuarentena.
Por dónde se fugan los datos
La mayoría de las fugas no requieren un hacker. Ocurren por canales cotidianos:
- Dispositivos USB y discos externos.
- Correo electrónico, sobre todo el reenvío a cuentas personales.
- Cargas web: servicios de almacenamiento, formularios, sitios de transferencia de archivos.
- Chats de IA y mensajería, como ChatGPT, Gemini o WhatsApp Web.
- Portapapeles: copiar y pegar entre aplicaciones.
- Capturas de pantalla e impresión.
- Datos en reposo guardados donde no deberían estar.
Fuga accidental vs fuga intencional
El DLP protege frente a ambas. En la práctica, buena parte del valor está en evitar errores: el usuario recibe una advertencia antes de enviar algo que no debía.
Tipos de DLP: endpoint, red y nube
DLP de endpoint
Un agente instalado en cada equipo controla lo que pasa localmente: USB, portapapeles, impresión, capturas y archivos. Su ventaja es que funciona aunque el equipo esté fuera de la oficina.
DLP de red
Inspecciona el tráfico que sale de la red corporativa. Es útil para correo y web, pero no ve lo que ocurre en equipos remotos.
DLP en la nube
Se conecta a servicios como Google Workspace o Microsoft 365 para revisar archivos compartidos y correos.
Lo ideal es combinar capas, para que un dato no quede protegido en un canal y expuesto en otro.
Datos sensibles en Colombia: cédulas, NIT y tarjetas
Un DLP genérico detecta números de tarjeta, pero en Colombia también hay que reconocer cédulas y NIT. Un detalle técnico importante: no basta con buscar “cualquier número de 10 dígitos”, porque eso genera muchas alertas falsas. Los buenos motores validan el dato:
- Algoritmo de Luhn para números de tarjeta.
- Módulo 11 para NIT y dígito de verificación de la DIAN.
Esto reduce falsos positivos y hace que las alertas sean útiles. Además, la Ley 1581 de 2012 de protección de datos personales obliga a las empresas en Colombia a proteger la información de sus titulares, y el DLP es uno de los controles técnicos que ayuda a demostrarlo.
Cómo implementarlo por fases
Fase 1: descubrir
Activa el DLP en modo monitoreo. Identifica qué datos sensibles existen, dónde están y por qué canales se mueven. No bloquees nada todavía.
Fase 2: políticas por riesgo
Define reglas para los casos más críticos: datos de tarjetas, historias clínicas, bases de clientes. Empieza con alertas y advertencias al usuario.
Fase 3: bloqueo selectivo
Cuando las reglas estén afinadas, activa el bloqueo en canales de alto riesgo (USB, correo personal, chats de IA).
Fase 4: mejora continua
Revisa incidentes mensualmente, ajusta excepciones y capacita al equipo con casos reales.
Cómo lo hace NESS DLP
NESS DLP corre dentro del mismo agente de NESS, junto al antivirus, el filtro web y el gestor de parches. Entre sus capacidades:
- Agente nativo para Windows, extensión para navegadores Chromium y conector para Google Workspace (Gmail y Drive).
- Control de archivos, portapapeles, USB, red, impresión, capturas de pantalla, DNS y cargas web.
- Protección frente a fugas en WhatsApp y chats de IA como ChatGPT y Gemini.
- OCR nativo, validación Luhn y Módulo 11, y detección de secretos como llaves AWS y JWT.
- Cuarentena cifrada AES-256-GCM y evidencia forense firmada.
- Plantillas preconfiguradas para Ley 1581, GDPR, PCI-DSS, HIPAA e ISO 27001.
NESS DLP está incluido en la licencia NESS Enterprise.
Preguntas frecuentes
¿Qué significa DLP?
Data Loss Prevention, prevención de pérdida de datos: tecnología que evita que la información sensible salga por canales no autorizados.
¿El DLP es solo para grandes empresas?
No. Cualquier empresa que maneje datos de clientes, pacientes o tarjetas puede beneficiarse, y la Ley 1581 aplica a todas.
¿El DLP lee los correos de los empleados?
El DLP analiza contenido según políticas definidas para detectar datos sensibles. Conviene informar a los colaboradores y documentar las políticas.
¿Un DLP genera muchas alertas falsas?
Depende de la calidad de la detección. Validar datos con algoritmos como Luhn o Módulo 11 reduce falsos positivos.
Enlaces internos sugeridos
- Detección de correos comprometidos: cómo evitar filtraciones
- El ciclo de vida de un token filtrado
- Fuga de datos en ChatGPT y chats de IA (25 oct)
- Ley 1581: checklist de protección de datos (21 oct)
Protege tus datos sin frenar a tu equipo
Agenda una demo de NESS Unified IT Defense y mira NESS DLP en acción con casos de USB, correo y chats de IA.
