Qué hace y qué no hace una herramienta de prevención de fuga

El control 8.12 de ISO/IEC 27002:2022 pide medidas para detectar y prevenir la divulgación y la extracción no autorizadas de información. Una herramienta DLP es una de esas medidas, junto con el control de accesos, el cifrado y la formación. Hace tres cosas: identifica contenido sensible (por patrones, por etiquetas o por coincidencia con archivos conocidos), vigila los canales en los que tiene un sensor y actúa según la regla (registrar, avisar o bloquear).

Lo que no hace es decidir. Un evento dice qué archivo, quién, a dónde y cuándo; no dice si la persona tenía permiso de negocio para enviarlo, si fue un descuido o si hubo mala intención. Eso es trabajo de un analista con el contexto.

Mira la última fila de la tabla de capacidades antes de contestar.

El agente instalado en el equipo es la fuente de visibilidad más rica: lee el contenido antes de que salga y conoce la etiqueta. Pero tiene un modo de trabajo. «Bloquear» frena la acción; «solo registro» deja una anotación y permite que la acción ocurra. Los despliegues nuevos empiezan en solo registro mientras se afinan las reglas; el riesgo es que se queden así por años y el informe diga «implementado».

En la tabla de despliegue, dos grupos están en solo registro. Uno de ellos, además, tiene equipos donde el agente ni siquiera está instalado.

«Tenemos DLP» es una frase sin denominador. La cifra que sirve al comité es qué parte de los equipos tiene el agente instalado, y cuántos quedan fuera. Un equipo sin agente no genera ni una alerta: parece limpio en el panel y es, en realidad, un punto ciego.

Calcula con la tabla de despliegue cuántos equipos, en total, no tienen agente.

El informe de la semana para la flota de campo dice «cero alertas». Hay dos lecturas. La ingenua: no hubo fugas. La que le toca hacer a GRC: de 96 portátiles solo 62 tienen agente y todos están en solo registro, así que el panel no puede ver 34 equipos y no frena ninguna acción en los 62 restantes. Cero alertas, en esas condiciones, es un resultado compatible con las dos cosas.

Un hallazgo de auditoría no afirma lo que no puede probar: dice lo que la evidencia sostiene y lo que queda fuera de ella.

Si una persona comprime un archivo con una contraseña que ella misma elige, el motor ve que hay un evento y cuánto pesa, pero no lo que contiene: no hay forma de inspeccionar lo que está cifrado con una clave que no tiene. Eso no se arregla con una regla de contenido. Se gestiona con una regla de política: qué hacer ante archivos cifrados que salen a destinos externos (por ejemplo, avisar y pedir justificación), y con el criterio del analista que revisa el aviso.