¿Qué es DLP?
Privacidad, seguridad e identidad
DLP significa Prevención de Pérdida de Datos (Data Loss Prevention). Se refiere a los controles que una organización utiliza para reducir el movimiento, la divulgación, la exposición o la exfiltración no autorizados o inapropiados de información sensible. En la práctica, DLP puede incluir políticas, reglas de inspección, controles de endpoints, controles de navegador, verificaciones de correo electrónico, alertas, bloqueos, cifrado, advertencias a usuarios y registros de auditoría. Se aplica a datos en reposo, datos en tránsito y datos en uso. En los entornos de trabajo actuales, DLP es relevante no solo para los adjuntos de correo electrónico, sino también para las herramientas de colaboración, el intercambio de archivos, los sistemas internos de conocimiento, las herramientas de IA no gestionadas, los cuadros de prompts, las cargas desde el navegador y los dispositivos del personal. Es una capa de control útil, pero no es la solución completa.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
Muchas personas asocian DLP con un filtro de correo electrónico que detecta números de tarjetas de crédito. Esa visión es demasiado limitada. DLP se entiende mejor como un conjunto de controles prácticos que ayudan a una organización a decidir cuándo la información sensible debe permitirse, advertirse, ponerse en cuarentena, cifrarse, bloquearse o registrarse mientras se almacena, accede, copia o comparte.
La "pérdida" en DLP no se refiere únicamente a una brecha causada por un atacante externo. También abarca el manejo accidental o inapropiado por parte del personal, los contratistas y los sistemas. Una hoja de cálculo enviada al destinatario equivocado, un archivo copiado al correo web personal, una lista de clientes pegada en un chatbot de IA no gestionado, o un documento confidencial trasladado desde un espacio de trabajo controlado a un dispositivo personal pueden ser todos problemas de DLP.
Por eso DLP está estrechamente vinculado al flujo de trabajo real. Afecta a navegadores, endpoints, repositorios de documentos, aplicaciones en la nube, plataformas de mensajería y correo electrónico, porque esos son los lugares donde la información realmente se mueve. El objetivo no es bloquear el trabajo habitual, sino hacer que el movimiento de alto riesgo sea más difícil, esté mejor señalizado, sea más revisable y menos invisible.
Por qué es importante
DLP es importante porque la información cruza ahora más fronteras, con mayor rapidez y con menos fricción. El personal trabaja con herramientas basadas en navegador, copia y pega entre sistemas, colabora en unidades compartidas, utiliza dispositivos personales y gestionados, e interactúa cada vez más con funciones de IA que pueden aceptar texto, archivos y prompts. La información sensible no solo "sale" por un único evento dramático: se filtra a través del trabajo cotidiano cuando los controles son débiles.
Para las organizaciones del Reino Unido, esto tiene implicaciones operativas y desde la perspectiva de la protección de datos. Si los datos personales se divulgan a la persona equivocada, se exportan sin la autorización adecuada o quedan expuestos por un intercambio mal controlado, puede estar ante una brecha de datos personales. El enfoque de la ICO es práctico: una brecha incluye la divulgación no autorizada de datos personales o el acceso no autorizado a ellos. DLP ayuda a reducir las probabilidades de llegar a ese punto, pero también mejora la capacidad de detectar e investigar actividades de riesgo cuando se producen.
También es relevante para información empresarial sensible que no es de carácter personal: contratos, planes de producto, modelos de precios, procedimientos de seguridad, borradores de adquisiciones y materiales fuente para sistemas de IA internos. Una vez que los empleados utilizan servicios de IA no gestionados o herramientas de colaboración de terceros, la antigua suposición de que los datos viajan principalmente por correo electrónico deja de ser válida. Las cargas desde el navegador, el pegado de prompts, el correo web, las plataformas de mensajería y las copias en endpoints pasan a formar parte del problema.
Por eso un DLP sensato es una cuestión de gobernanza. Obliga a la organización a responder preguntas incómodas pero necesarias: ¿qué información es más importante?, ¿por dónde se mueve?, ¿qué rutas son legítimas?, ¿cuáles son de riesgo?, y ¿cómo debe responder el sistema cuando alguien cruza un límite?
Cómo funciona
DLP funciona generalmente combinando el análisis del contenido con el contexto. Un control examina un fragmento de información, una acción y un destino, y luego decide qué hacer. El análisis del contenido puede incluir coincidencia de patrones, etiquetas, metadatos, tipo de documento o una inspección más profunda. El análisis del contexto puede incluir quién es el usuario, qué dispositivo utiliza, a dónde envía los datos, si el destino es interno o externo, y si la acción se ajusta a una política definida.
Por eso DLP abarca varios estados de los datos. Los datos en reposo son la información almacenada en repositorios como buzones de correo, plataformas de archivos, sitios de colaboración o endpoints. Los datos en tránsito son la información que se mueve a través del correo electrónico, cargas web, APIs, chat o servicios de transferencia. Los datos en uso son la información que un usuario abre, copia, pega, imprime, captura en pantalla o maneja de cualquier otra forma en un dispositivo. Un enfoque maduro contempla los tres estados en lugar de centrarse en uno solo.
En la práctica, una política DLP puede advertir a un usuario de que está enviando datos personales sensibles fuera de la organización por correo electrónico, poner en cuarentena una transferencia de archivos hasta su revisión, bloquear la copia de un documento etiquetado a medios extraíbles, o impedir que un navegador gestionado envíe datos financieros a aplicaciones de IA no gestionadas. En casos de menor riesgo, puede simplemente registrar el evento o solicitar una justificación empresarial.
La respuesta importa tanto como la regla. Demasiados bloqueos estrictos pueden llevar al personal a buscar alternativas no controladas. Muy pocos controles generan exposición silenciosa. El patrón más adecuado es el control calibrado: identificar primero las rutas de datos críticas, decidir dónde prevenir, dónde advertir, dónde monitorizar y dónde cifrar, y luego comprobar que la política sigue permitiendo el trabajo habitual.
DLP también depende de los controles adyacentes. Funciona mejor cuando la información está clasificada de forma coherente, el acceso está controlado, el registro está disponible y la respuesta a incidentes tiene un camino claro cuando una actividad de riesgo se convierte en una brecha real.
Dónde aparece en los flujos de trabajo reales
Tomemos un ejemplo del área financiera. Un miembro del personal intenta pegar datos bancarios e información de pagos de clientes en un chatbot de IA público para redactar una explicación de conciliación. Una configuración DLP bien diseñada en un dispositivo gestionado puede detectar el contenido sensible y advertir o bloquear la acción, según la política. Eso no es "estar en contra de la IA": es una decisión de límites. Estos datos no deben salir de un entorno controlado por esa vía.
Consideremos ahora la colaboración. Un gestor de proyectos comparte una carpeta externamente e incluye por error un libro de trabajo con notas sobre ausencias de empleados. DLP puede ayudar detectando el contenido sensible, marcando el intercambio externo inusual o exigiendo verificaciones adicionales antes de que se complete el envío. Si el evento ocurre de todas formas, los registros son valiosos para entender qué se movió, cuándo, por quién y a quién.
Un tercer ejemplo se sitúa en el endpoint. Un empleado que está a punto de marcharse copia un conjunto de archivos comerciales en una unidad USB y luego envía documentos seleccionados a una cuenta de correo web personal. La guía del NCSC es explícita: el correo electrónico y los dispositivos de almacenamiento externo son rutas habituales de exfiltración, y los controles técnicos deben cubrir todo el entorno, incluidos BYOD, contratistas y trabajo remoto. Un patrón DLP práctico en este caso podría combinar el control de medios extraíbles, la monitorización del correo externo, advertencias al usuario y una revisión reforzada en los períodos de riesgo conocidos asociados a salidas de personal.
Por último, pensemos en los sistemas internos de conocimiento. Una organización puede permitir que un asistente de IA interno resuma repositorios aprobados, pero bloquear las cargas a herramientas externas no gestionadas. Esa es una decisión de límites DLP. La organización no está diciendo "no a la IA": está diciendo "usa esta ruta controlada para esta información, y no aquella otra".
Malentendidos frecuentes
El primer malentendido es que DLP equivale a filtrado de correo electrónico. El correo sigue siendo importante, pero es solo una ruta entre muchas. Si se ignoran los navegadores, los endpoints, las aplicaciones de colaboración, los medios extraíbles, las plataformas de mensajería y los cuadros de prompts de IA, se está ignorando cómo viaja realmente la información.
El segundo malentendido es que DLP previene todas las brechas. No es así. Algunos eventos seguirán dependiendo del juicio humano, algunos destinos pueden quedar fuera del alcance de la visibilidad, y los atacantes o personas internas con determinación pueden sortear los controles. DLP reduce el riesgo y mejora la detección, pero no ofrece certeza.
Otro error frecuente es tratar DLP como sustituto de la gestión de identidades y accesos (IAM). En realidad, DLP e IAM resuelven problemas distintos. IAM decide quién puede acceder a la información y qué está autorizado a hacer en principio. DLP vigila los movimientos o exposiciones de riesgo cuando esa información se maneja. Si los derechos de acceso son demasiado amplios, DLP acaba compensando una base débil.
También es un error pensar que DLP es puramente técnico. La redacción de las políticas, la concienciación de los usuarios, la responsabilidad de los gestores, las normas de uso aceptable y la gestión de incidentes influyen en si DLP funciona en la práctica. Los mensajes de advertencia deben ser comprensibles. Las excepciones necesitan un cauce. El personal debe entender por qué se produjo un bloqueo y qué alternativa segura existe.
Por último, algunas organizaciones asumen que DLP es solo para datos claramente regulados. En realidad, muchos de los mismos controles son igualmente relevantes para la propiedad intelectual, los documentos de estrategia, los precios para clientes y la documentación sensible desde el punto de vista de la seguridad.
Riesgos y limitaciones
El principal riesgo de DLP es la falsa confianza. Los equipos pueden desplegar un puñado de reglas y concluir que los datos sensibles están bajo control. En realidad, la cobertura de DLP es desigual si no se comprenden las rutas de datos, las pruebas, la titularidad de las políticas y las lagunas de alcance. Los dispositivos no gestionados, los canales no monitorizados, las rutas de salida cifradas y el contenido mal clasificado pueden debilitar el resultado.
También existe una limitación de usabilidad. Los bloqueos excesivos sin alternativas suelen generar flujos de trabajo en la sombra. El personal captura datos en pantalla, reescribe contenido, traslada el trabajo a canales personales o deja de usar el proceso aprobado porque resulta demasiado frustrante. Un buen DLP es, por tanto, específico y proporcionado: comienza con los datos de mayor riesgo, las rutas más habituales y las reglas empresariales más claras.
DLP tampoco debe confundirse con el cumplimiento legal por sí solo. Puede apoyar la seguridad de la información y reducir la probabilidad de divulgación no autorizada, pero no sustituye a la evaluación de riesgos, la minimización de datos, la retención, los controles contractuales con encargados del tratamiento ni la respuesta ante brechas. Si se produce una brecha de datos personales, sigue siendo necesario evaluar el riesgo para las personas afectadas, contener el evento, documentarlo y decidir si se requiere notificación.
En el uso de IA, DLP tiene otra limitación: puede controlar muchas rutas de intercambio, pero no puede corregir una elección de modelo inadecuada, una diligencia debida débil con el proveedor o permisos internos demasiado amplios. Si el contenido sensible ya está disponible de forma excesivamente amplia dentro del propio entorno, DLP sobre los flujos de salida solo resuelve parte del problema.
Qué deben hacer los responsables a continuación
Comience por mapear por dónde se mueve realmente la información sensible, no por dónde dice la política que debería moverse. Revise el correo electrónico, las unidades compartidas, las herramientas de colaboración, los navegadores gestionados y no gestionados, los endpoints, los medios extraíbles y los flujos de trabajo de IA. A continuación, identifique los tipos de datos y los destinos que suponen el mayor riesgo práctico.
A partir de ahí, diseñe una respuesta por etapas. Decida dónde prevenir, dónde advertir, dónde monitorizar y dónde cifrar. Asegúrese de que existen alternativas aprobadas, especialmente para los equipos sometidos a presión de entrega. Pruebe las políticas con usuarios reales antes de una implantación amplia. Revise los registros, no solo la configuración de las políticas.
Por último, conecte DLP con los controles que lo rodean. Depure los derechos de acceso, mejore la clasificación, documente la gestión de incidentes y revise cómo se almacenan en primer lugar los datos personales y la información comercialmente sensible. DLP es más eficaz cuando forma parte de un modelo operativo más amplio para el trabajo seguro, en lugar de ser un filtro de último momento añadido encima.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿DLP es solo para datos personales?
No. Los datos personales son un caso de uso principal, sobre todo porque la divulgación no autorizada puede convertirse en una decisión de notificación de brecha, pero DLP también se utiliza habitualmente para la propiedad intelectual, datos financieros, documentos legales, material de precios, código fuente e información sensible desde el punto de vista de la seguridad. La pregunta clave no es si los datos están regulados, sino si su movimiento, exposición o intercambio inapropiados causarían daño a la organización o a las personas afectadas.
¿Puede DLP impedir que el personal pegue información en herramientas de IA?
En muchos entornos, sí, pero solo donde la organización tiene visibilidad y control sobre la ruta. Los navegadores gestionados, el DLP en endpoints y los controles en la nube respaldados por políticas pueden a menudo advertir o bloquear determinadas cargas y contenidos de prompts. Lo que DLP no puede hacer es controlar mágicamente cada dispositivo no gestionado o cada herramienta externa sin cobertura técnica. Por eso las rutas de IA aprobadas y la estrategia de dispositivos importan tanto como la ambición de la política.
¿DLP sustituye al control de acceso?
No. El control de acceso decide quién puede acceder a la información y en qué condiciones. DLP se centra en lo que ocurre cuando esa información se maneja, mueve o comparte. Si demasiadas personas ya pueden ver material sensible, DLP se convierte en un control compensatorio en lugar de un límite claro. Los mejores resultados suelen obtenerse cuando IAM, clasificación, DLP, registro y formación funcionan de forma conjunta, en lugar de gestionar historias de gobernanza por separado.
Fuentes
National Cyber Security Centre: Reducing data exfiltration by malicious insiders - NCSC framing of prevent, monitor and audit; common exfiltration routes; email, external storage, BYOD, monitoring and technical controls including DLP software.
National Institute of Standards and Technology: Data Confidentiality: Detect, Respond to, and Recover from Data Breaches - Detection and response framing for confidentiality events, monitoring of users and data, and coverage of data in transit, at rest and in use.
National Institute of Standards and Technology NCCoE: Data Confidentiality: Identifying and Protecting Assets Against Data Breaches - Protection of data at rest, in transit and in use; role-based access controls; encryption and data protection planning.
National Institute of Standards and Technology: The NIST Cybersecurity Framework (CSF) 2.0 - CSF outcomes covering data-at-rest, data-in-transit, data-in-use and monitoring of personnel activity and technology usage.
Information Commissioner's Office: A guide to data security - ICO security principle framing, appropriate security measures, access controls, encryption, testing effectiveness and personal data protection.
Information Commissioner's Office: Encryption guidance - Encryption as protection for data at rest and in transit, especially emails and mobile devices.