Saltar al contenido
05 · Arquitectura05 · Architecture

Implementación de DLPDLP Implementation

Clasificación, políticas, endpoint, red, cloud.Classification, policies, endpoint, network and cloud coverage.

Prevención fugasLeak prevention Diseño y despliegue de tecnología de seguridadDesign and deployment of security technology

¿Qué es este servicio?What is this service?

Es el despliegue del control de fuga de información: clasificar qué dato es sensible, desplegar la inspección en el equipo, en la red y en la nube, escribir las políticas y decidir qué se registra, qué se avisa y qué se bloquea. La clasificación va primero; la herramienta, después.

Deploying data loss controls: classifying which data is sensitive, rolling out inspection on the endpoint, the network and the cloud, writing the policies and deciding what gets logged, warned about or blocked. Classification comes first; the tool comes after.

¿Para qué se usa?What is it used for?

Sirve para saber por dónde sale la información y poder detenerla. Y sirve para desmontar un mito: el DLP tiene fama de proyecto fracasado, pero no falla por la tecnología sino porque se despliega en modo bloqueo antes de haber clasificado nada. El resultado es que bloquea trabajo legítimo, el negocio se queja, alguien pide excepciones para todos y la herramienta queda encendida sin hacer nada. Se arranca en modo observación.

It shows where information leaves and makes it possible to stop it. It also dismantles a myth: DLP has a reputation for failing, yet it does not fail on technology but because it is deployed in blocking mode before anything has been classified. The result is that it blocks legitimate work, the business complains, someone grants blanket exceptions and the tool sits there doing nothing. Deployment starts in observation mode.

Qué beneficios traeBenefits it delivers

  • La fase de observación por sí sola ya revela flujos de datos que nadie sabía que existían, y eso suele ser el hallazgo más valioso del proyecto.
  • Corta la salida más común de información, que no es el hackeo sino el empleado que se va y se lleva la cartera de clientes.
  • Permite demostrar ante la autoridad de protección de datos que había medidas técnicas efectivas y no solo una política escrita.
  • La clasificación que exige el proyecto sirve después para el cifrado, la retención y el control de accesos.
  • The observation phase alone reveals data flows nobody knew existed, and that is usually the most valuable finding of the project.
  • It cuts the most common information exit, which is not hacking but the employee who leaves taking the client book with them.
  • It allows demonstrating to the data protection authority that effective technical measures existed, not merely a written policy.
  • The classification the project demands later serves encryption, retention and access control.

¿En qué momentos es obligatorio?When is it mandatory?

Costa RicaCosta Rica

  • Ninguna norma costarricense exige una herramienta de DLP.
  • La Ley 8968 sí obliga a adoptar medidas de seguridad sobre los datos personales bajo custodia de la organización, y ante un incidente lo que se evalúa es si esas medidas eran adecuadas. Existe un proyecto de reforma en trámite legislativo que endurecería el régimen, pero todavía no está aprobado.
  • La autoridad competente es la PRODHAB, ante la que responde quien trata los datos.
  • No Costa Rican rule requires a DLP tool.
  • Law 8968 does oblige the data controller to adopt security measures over the personal data in its custody, and after an incident what gets assessed is whether those measures were adequate. A reform bill is in parliamentary process that would tighten the regime, but it is not approved yet.
  • The competent authority is PRODHAB, to which the data controller answers.

InternacionalInternational

  • PCI-DSS obliga a no almacenar datos de autenticación sensibles y a enmascarar el número de tarjeta cuando se muestra: el DLP es una de las formas de comprobar que eso se cumple.
  • El RGPD europeo exige medidas técnicas apropiadas al riesgo, y las autoridades valoran la existencia de controles de prevención de fuga al calcular sanciones.
  • ISO 27001 exige un control específico de prevención de fuga de datos.
  • PCI-DSS forbids storing sensitive authentication data and requires masking the card number on display: DLP is one way of proving that holds.
  • The European GDPR requires technical measures appropriate to the risk, and authorities weigh the existence of leak prevention controls when calculating fines.
  • ISO 27001 includes a specific data leakage prevention control.

Requisitos mínimosMinimum requirements

  • Un criterio de clasificación de la información aprobado por el negocio, no inventado por el área técnica.
  • Identificar dónde vive el dato sensible antes de instalar nada: bases de datos, comparticiones de archivos, correo, nube y los portátiles de la gente.
  • Respaldo de recursos humanos y de asesoría legal, porque inspeccionar comunicaciones de empleados tiene implicaciones laborales.
  • Aceptar una fase de observación de al menos un mes antes de bloquear nada.
  • An information classification scheme approved by the business, not invented by the technical team.
  • Identifying where sensitive data lives before installing anything: databases, file shares, email, cloud and the laptops staff carry.
  • Backing from HR and legal counsel, because inspecting employee communications has employment law implications.
  • Accepting an observation phase of at least a month before blocking anything.

Plazo típico de entregaTypical delivery time

12 a 24 semanas 12 to 24 weeks rango habitual del mercado usual market range

El rango habitual va de doce a veinticuatro semanas y conviene desconfiar de quien prometa menos. Instalar es cuestión de días; clasificar la información y afinar las políticas hasta que dejen de dar falsos positivos es cuestión de meses. Si el proyecto arranca sin clasificación previa, conviene sumar al menos seis semanas para construirla.

The usual range runs from twelve to twenty-four weeks, and anyone promising less deserves suspicion. Installing takes days; classifying information and tuning policies until they stop firing false positives takes months. If the project starts with no prior classification, add at least six weeks to build it.

NomenclaturaTerminology

Las siglas y estándares que aparecen en esta ficha, explicados. The acronyms and standards used on this page, explained.

DLPDLP
Prevención de pérdida de datos: controles que detectan y frenan la salida de información sensible. Data loss prevention: controls that detect and stop sensitive information leaving.
ClasificaciónClassification
Etiquetar la información según lo sensible que sea, para poder aplicarle reglas distintas. Labelling information by sensitivity so different rules can apply to it.
Dato en reposo · en tránsito · en usoData at rest · in transit · in use
Los tres estados donde se protege: guardado, viajando por la red o abierto en un equipo. The three states where protection applies: stored, travelling across the network or open on a device.
Modo observaciónObservation mode
Configuración donde el DLP registra lo que pasaría sin impedir nada, para medir antes de bloquear. A setting where DLP logs what would happen without stopping anything, to measure before blocking.
ExfiltraciónExfiltration
La salida no autorizada de información fuera de la organización. The unauthorised removal of information out of the organisation.