Un DLP (Data Loss Prevention) es un conjunto de controles que detectan, monitorizan y bloquean la salida no autorizada de información sensible. Cubre tanto la fuga accidental —un correo enviado por error— como la exfiltración intencionada por parte de un empleado descontento o un atacante que ya está dentro.
Las fugas de datos no aparecen siempre como un titular dramático: en la mayoría de los casos son un correo mal dirigido, un USB conectado a un portátil corporativo o un fichero subido a una herramienta de IA. Un DLP bien desplegado las detecta antes de que se conviertan en una brecha notificable. Esta guía explica qué es exactamente, qué tipos existen y cuándo conviene tener uno.
Qué es y qué no es un DLP
Un DLP no es un antivirus ni un firewall. Es un sistema especializado en proteger la información — no la red, no los puestos, sino los datos— y en evitar que salgan de la organización sin permiso. Para lograrlo:
- Descubre dónde están los datos sensibles.
- Clasifica esos datos según su criticidad.
- Monitoriza los canales por donde podrían salir.
- Alerta o bloquea los movimientos que violan las políticas.
Tipos según el punto de control
- DLP de endpoint — agente en el puesto. Cubre USB, impresión, copy-paste, capturas de pantalla, carga en webs y subida a herramientas de IA. Imprescindible para teletrabajo.
- DLP de red — inspección del tráfico que sale al exterior. Detecta correos, transferencias y cargas con contenido sensible.
- DLP de email — análisis del correo saliente para bloquear destinatarios externos, cifrar adjuntos o forzar revisión.
- DLP en la nube — integrado con SaaS corporativos (Microsoft 365, Google Workspace, Salesforce…) para impedir compartidos públicos y descargas masivas.
Datos en reposo, en tránsito y en uso
Un DLP serio cubre los tres estados:
- En reposo: ficheros en servidores, repositorios y nube.
- En tránsito: correo, transferencias, conexiones cifradas.
- En uso: la información cuando un usuario la abre, copia o exporta.
Cuándo necesitas un DLP
No todas las empresas necesitan un DLP, pero hay perfiles claros:
- Empresas con propiedad intelectual sensible (I+D, código fuente, planos, fórmulas).
- Organizaciones con volúmenes relevantes de datos personales: salud, RRHH, finanzas, sector legal.
- Despliegues amplios de teletrabajo o BYOD.
- Empresas sujetas a ENS, NIS2 o ISO 27001:2022 (el control 8.12 pide explícitamente DLP).
- Sectores con histórico de fuga por insider (consultoría, banca, defensa).
Encaje normativo
El DLP no aparece nominalmente en el RGPD, pero materializa las medidas técnicas apropiadas que pide el artículo 32. NIS2 lo coloca dentro de las medidas mínimas de gestión de riesgos. La ISO 27001:2022 lo eleva al rango de control específico: el nuevo control 8.12 Data Leakage Prevention. Y el ENS, aunque sin nombrarlo, lo cubre a través de medidas de protección de la información del Anexo II.
Si tu organización maneja datos sensibles y aún no tiene un DLP desplegado, lo siguiente es entender qué soluciones encajan con tu operación y por dónde empezar. Lo cuenta nuestra guía sobre cómo elegir una solución DLP y, si quieres conocer la nuestra, DataPatrol es el agente DLP que desplegamos en endpoints corporativos.