Filtrado y DLP en la pasarela

La prevención de pérdida de datos (DLP, por sus siglas en inglés) busca en el contenido patrones que no deben salir: números de tarjeta, documentos de identidad, claves. En la pasarela tiene una ventaja clara: una sola política para todas las aplicaciones, aplicada en los dos sentidos, lo que sale hacia el proveedor y lo que vuelve. Ante una coincidencia puede bloquear la petición, enmascarar el dato (sustituirlo por una marca) o solo registrar el evento.

También tiene límites. Ve texto, no intención: no sabe si ese número de diez dígitos es un teléfono o un contrato, ni si el usuario tenía derecho a ver lo que el modelo le devuelve. Y los patrones fallan en los dos sentidos: dejan pasar lo que no se parece al patrón y marcan lo que sí se parece sin serlo. Por eso el filtro de la pasarela es una capa común, no un sustituto de los controles de cada aplicación.

Una regla tiene dos ajustes que se confunden: la acción que tomaría (bloquear, enmascarar) y el modo en que está (aplicar o solo registrar). Una regla con acción «bloquear» en modo «solo registrar» no bloquea nada: anota y deja pasar. Es útil unos días para medir los falsos positivos antes de aplicar; olvidada así, es un control que solo existe en el papel. Compara cada regla con la política que debe cumplir.

Las respuestas en flujo llegan al usuario por fragmentos, a medida que el modelo genera. Filtrarlas exige retener un poco de texto antes de soltarlo, y eso suma latencia; la tentación es eximirlas. Pero una excepción en la configuración es un hueco en la política: lo que la política pide para todas las respuestas deja de cumplirse justo en la ruta más usada por los clientes.

Con una regla en modo registrar, el registro del filtro es la única constancia de lo que salió. Para el informe hay que contar las peticiones que llegaron al proveedor con un número de tarjeta, sin contar lo que el propio filtro descartó por no ser una tarjeta (la verificación de Luhn es una suma de control que cumplen los números de tarjeta válidos).

El ticket de ventas muestra la otra cara: una regla que enmascara demasiado. Si la respuesta es apagarla, el filtro pierde lo que sí debía detectar; si se deja como está, el negocio buscará cómo saltarse la pasarela. Lo que se ajusta es la regla.