Qué es DLP

Data Loss Prevention (DLP) es un conjunto de tecnologías y políticas que detectan y evitan que los datos sensibles salgan de la organización sin autorización. El objetivo es prevenir la exfiltración de datos, ya sea accidental o maliciosa.

DLP protege los datos en tres estados:

• Datos en reposo: almacenados en discos, bases de datos y recursos compartidos de archivos.
• Datos en tránsito: en movimiento por la red, el correo electrónico o la web.
• Datos en uso: activos en un endpoint (portapapeles, pantalla o USB).

La pérdida suele ser involuntaria:

• Un empleado envía una hoja de cálculo a la dirección equivocada.
• Un archivo termina en un bucket público de la nube.
• Se copian datos sensibles en una unidad USB.

La otra posibilidad son los empleados internos malintencionados y los atacantes externos que exfiltran datos.

Entre los tipos de datos que se suelen proteger se incluyen:

• Datos personales (PII), como nombres, documentos de identidad y direcciones.
• Datos de pago (PCI), como números de tarjeta.
• Historias clínicas (PHI).
• Propiedad intelectual y código fuente.

Los motores de DLP identifican el contenido sensible mediante varias técnicas:

• Coincidencia de patrones (regex) para datos estructurados, como números de tarjeta.
• Palabras clave y diccionarios.
• Huellas digitales y coincidencia exacta de datos de archivos conocidos.
• Etiquetas de clasificación aplicadas a los archivos.

Los controles se sitúan en distintas capas:

• DLP de endpoint: agente en portátiles que controla USB, portapapeles e impresión.
• DLP de red: inspecciona el tráfico de correo electrónico y web.
• DLP en la nube y CASB: supervisa SaaS y el almacenamiento en la nube.

Una política de DLP vincula la detección con una respuesta. Entre las acciones habituales se incluyen:

• Supervisar y registrar únicamente.
• Alertar al usuario o al equipo de seguridad.
• Bloquear la transferencia.
• Poner en cuarentena o cifrar los datos.

Activar el bloqueo de inmediato provoca falsos positivos e interrumpe los flujos de trabajo. La mayoría de las implementaciones comienzan en modo de supervisión (auditoría) para conocer el comportamiento normal y ajustar las reglas, y después pasan al bloqueo para las reglas con un alto nivel de confianza.

Las reglas demasiado amplias marcan actividades inofensivas y frustran a los usuarios. El ajuste es continuo:

• Perfeccione los patrones y añada contexto (por ejemplo, exija un umbral de cantidad).
• Añada a la lista de permitidos los flujos legítimos conocidos.
• Revise las alertas y realice ajustes.

DLP y el cifrado se complementan. El cifrado protege la confidencialidad de los datos; DLP controla su movimiento. Tenga en cuenta que un cifrado sólido aplicado por los usuarios puede impedir que DLP inspeccione los datos, por lo que la política puede exigir canales de cifrado gestionados por la empresa.

DLP es una herramienta potente, pero no absoluta:

• No puede inspeccionar contenido que no puede descifrar.
• Fotografiar una pantalla permite eludirlo.
• Los datos mal clasificados pueden escapar a sus controles.

DLP es una capa de una estrategia de defensa en profundidad, junto con el control de acceso y la supervisión.

Recuerde los tres estados de los datos que protege DLP.

DLP detecta y detiene la exfiltración no autorizada de datos:

• Protege los datos en reposo, en tránsito y en uso.
• Detecta mediante patrones, palabras clave, huellas digitales y etiquetas.
• Se implementa en las capas de endpoint, red y nube.
• Comience en modo de supervisión, ajuste los falsos positivos y después bloquee.