Señales de salida de datos

Quien más envía no siempre es quien más preocupa: una persona que habla con un socio comercial autorizado cada mañana genera muchos eventos y casi ningún riesgo. La pregunta es hacia dónde: un destino que la empresa no autorizó (almacenamiento personal, un medio extraíble) es lo que cambia el peso de un envío. En salidas y destinos suma los MB enviados por usuario a destinos que la tabla marca como no autorizados.

La cifra que se informa es una cuenta con las filas, no una impresión. Para un destino concreto y una persona, se suman los MB de todos sus envíos de la semana, por cualquier canal que lo use. Con salidas, calcula cuántos MB envió esa persona, la misma de la tarea anterior, al almacenamiento personal.

Un envío grande, a un destino no autorizado, en horas en que casi nadie trabaja, es una combinación distinta de cada hecho por separado. Aun así, sigue siendo una combinación de señales y no un veredicto: describe qué salió, hacia dónde y cuándo, y deja la explicación para quien pueda preguntarla.

Una herramienta de prevención de fuga busca patrones en lo que sale y aplica una acción: bloquear, permitir con aviso o permitir. La acción es lo que más cuenta al leer una alerta, porque una regla puede haber encontrado el patrón y aun así dejar pasar el envío. En alertas_dlp y destinos, busca la regla que dejó pasar un envío a un destino que la empresa no autorizó.

Una alerta bloqueada significa que la herramienta detuvo ese envío: los datos no salieron por ahí. Una alerta permitida con aviso significa lo contrario: avisó, pero dejó salir. Si el equipo trata por igual las dos, desperdicia tiempo en lo que ya se detuvo y subestima lo que ya salió. Además, bloqueado no es perdonado: la persona intentó, y eso es una señal que se registra.