DLP, leer una alerta

Una alerta de DLP trae varias columnas, y no todas pesan igual. La política dice qué buscaba. Las coincidencias cuentan cuántos elementos encontró. La etiqueta dice cómo estaba clasificado el archivo. Pero hay una columna que dice qué hizo el sistema con la operación: la acción. Bloqueado y permitido son resultados opuestos aunque la alerta, el usuario y el archivo se parezcan.

Por eso se lee primero lo que se hizo y no lo que se encontró. Una alerta con muchas coincidencias que se bloqueó puede ser menos urgente que una con pocas que se dejó pasar.

Abre la consola. Ejecuta SELECT * FROM politicas para leer qué busca cada política y qué hace por defecto, y SELECT * FROM alertas_dlp para ver las cinco alertas. Después SELECT * FROM detalle muestra qué coincidió realmente en tres de ellas. Un falso positivo no es un descuido de la persona: es la regla confundiendo un valor de ejemplo, de una plantilla o de una prueba, con un dato real.

Dos alertas del mismo usuario, a menos de diez minutos, afectan a archivos confidenciales. Una se bloqueó. La otra, por la política que la generó, solo pide justificación y deja pasar. Ese es el diseño de la política: el DLP advirtió, pidió la razón y la persona la escribió.

Leer la política y la acción juntas es lo que dice qué ocurrió realmente. La justificación de la persona se anota como lo que dijo, no como lo que se probó.

La otra alerta, la bloqueada, mostró un envío de un archivo con muchos identificadores de cliente a un correo personal. El sistema lo detuvo. Eso es un intento registrado de enviar algo por un canal no aprobado. Lo que el intento no dice es por qué se hizo: puede ser el mismo trabajo desde casa que la persona justificó en la otra alerta, un descuido o algo peor, y el registro no distingue entre esas explicaciones.