Data Loss Prevention con Microsoft Purview

DLP aborda el objetivo de protección de la confidencialidad: detecta y evita que la información digna de protección abandone la empresa de forma incontrolada a través del correo electrónico, servicios en la nube o soportes de datos extraíbles. Antes de cualquier herramienta hay que hacer los deberes: un modelo de clasificación — han demostrado su eficacia cuatro clases de protección, de «pública» a «estrictamente confidencial» —, la identificación de las «joyas de la corona» y un concepto de derechos y roles que funcione, ya que DLP presupone un IAM/PAM aplicado en la práctica. La propiedad funcional de la clasificación de datos recae en el área de negocio, no en TI.

Las políticas DLP de Purview actúan allí donde los datos residen y fluyen: Exchange Online, SharePoint, OneDrive, chats y canales de Teams, dispositivos finales (Windows 10/11 y macOS), Microsoft Defender for Cloud Apps, repositorios on-premises a través del Information Protection Scanner, así como áreas de trabajo de Fabric/Power BI y Microsoft 365 Copilot (Preview). Endpoint DLP supervisa y controla acciones como la copia a soportes de datos USB o recursos compartidos de red, la impresión, el Clipboard, las cargas desde el navegador y las transferencias por RDP — según la regla, como auditoría, advertencia o bloqueo. En cuanto a licencias, DLP para Exchange, SharePoint y OneDrive ya está incluido a partir de Microsoft 365 E3; el DLP para Teams y Endpoint DLP requieren planes de la clase E5.

Ha demostrado su eficacia una lógica de escalado por clase de protección — etiquetar, advertir, cifrar/bloquear — en lugar de un bloqueo duro inmediato. Purview lo respalda con el Simulation Mode (las políticas se ejecutan hasta 15 días contra datos reales sin aplicación efectiva), Policy Tips y bloqueo con anulación, incluida una justificación documentada. En la detección rige lo siguiente: Sensitive Information Types (SITs) para coincidencias basadas en patrones, Exact Data Match (EDM) para el cotejo con conjuntos de datos propios (solo hashes con sal abandonan la organización, con muchos menos falsos positivos) y Trainable Classifiers para el reconocimiento de contenido basado en ML.

Los eventos DLP no deben quedarse en un silo, sino integrarse en el panorama ITSM y de gestión de incidentes existente: los incidentes detectados desembocan en el proceso regular de incidentes de seguridad de la información, y el SOC es responsable de la gestión de incidentes DLP. Los cambios de reglas se tramitan mediante un proceso de cambios definido, con evaluación de riesgos, principio de los cuatro ojos y revisión posterior a la implementación — cuanto más amplio sea el alcance de una excepción, más alta será la instancia de aprobación, hasta llegar al Change Advisory Board (CAB), incluido el CISO. Una gestión documentada de excepciones a través del sistema de tickets mantiene las listas blancas trazables y auditables.

Con Microsoft Purview DSPM for AI, las aplicaciones de IA se pueden proteger de forma centralizada: visibilidad sobre el uso de la IA, políticas de un clic contra la fuga de datos en prompts y Data Risk Assessments semanales. Microsoft 365 Copilot puede abordarse como ubicación DLP propia (Preview) — mediante Sensitivity Labels puede impedirse que Copilot procese contenidos etiquetados; para aplicaciones de IA no gestionadas como ChatGPT, DLP (Preview) actúa inline a través de Edge for Business o a nivel de red. De forma complementaria, VamiSec ofrece con VamiGuard una solución propia para DLP en el uso de GenAI — el DLP clásico y el DLP para GenAI se complementan.

En la práctica ha demostrado su eficacia una fase de concepción de unos tres meses (clasificación, estrategia, esqueleto de políticas), seguida de la fase de implementación. El modelo documental tiene dos niveles: una política DLP aprobada por el consejo de dirección más una estrategia de implementación «viva», que el responsable de seguridad de la información (ISB) adapta continuamente a la tecnología y la infraestructura; un OnePager se encarga de la comunicación a los empleados. En el despliegue rige lo organizativo antes que lo técnico: primero entra en vigor la directriz y los bloqueos técnicos siguen de forma escalonada en el tiempo — acompañados de formación y concienciación.