Qué cubre el DLP en la nube
El DLP en la nube aplica los principios centrales de la prevención de pérdida de datos, es decir, la detección de contenido, el monitoreo y la aplicación de políticas, a los datos que están en servicios de nube o que circulan por ellos. Incluye las plataformas de almacenamiento y sincronización de archivos, las suites de colaboración y los servicios de intercambio de archivos.
El riesgo va en dos direcciones. Pueden subirse datos sensibles a servicios en la nube, sobre todo desde cuentas personales o no autorizadas. Los datos ya almacenados en la nube también pueden compartirse en exceso o quedar expuestos, por ejemplo mediante un enlace público.
Tres puntos de integración
El tráfico hacia la nube se cubre en tres puntos de integración, y cada uno ve los datos en un estado distinto. Más cerca del usuario, el DLP de endpoint actúa en el propio dispositivo.
| Punto de integración | Qué inspecciona | Ejemplo |
|---|---|---|
| Basado en API | Archivos almacenados en plataformas de nube (datos en reposo) | Números de tarjeta en una hoja de cálculo |
| Inspección en línea | Tráfico hacia la nube a través de una puerta de enlace (datos en tránsito) | Subidas revisadas antes de salir de la organización |
| Agentes de endpoint | Transferencias en el dispositivo, en el origen | Transferencia desde una laptop en la red Wi-Fi de casa |
Cómo se gestiona una subida bloqueada
En los tres casos, la detección depende del análisis de contenido: diccionarios de palabras clave y tesauros, coincidencia de patrones para identificadores, coincidencia exacta de archivos por hash, huellas digitales de documentos y etiquetas de clasificación. Cada regla activada sigue la misma ruta:
- 1
Detección
El análisis de contenido asocia el archivo con una regla antes de que termine la transferencia.
- 2
Decisión
La política elige bloquear, poner en cuarentena, registrar o alertar.
- 3
Aviso
El usuario ve un mensaje que explica por qué no se completó la transferencia.
- 4
Registro
El evento se guarda con el usuario, el servicio, la clasificación del contenido y la acción aplicada.
Por qué el uso de la nube requiere controles específicos
El uso de la nube genera cuatro tipos de exposición, y cada uno necesita un control propio. El shadow IT suele subestimarse, porque las cuentas personales quedan fuera de todos los sistemas de la empresa.
| Riesgo | Qué significa |
|---|---|
| Shadow IT | El personal mueve datos de trabajo por cuentas personales que el monitoreo de red no ve |
| Responsabilidad compartida | El proveedor protege la infraestructura. El contenido de los archivos sigue siendo responsabilidad del cliente. |
| Dispersión | Las copias en unidades, espacios compartidos y respaldos amplían la exposición |
| Aplicaciones de terceros | Las apps conectadas mediante OAuth pueden leer datos corporativos de la nube sin transferir ningún archivo |
Escenarios típicos
Tres situaciones muestran cómo funcionan los controles en la práctica:
- Un ingeniero sube una base de datos de clientes a una cuenta personal de almacenamiento. La inspección de contenido bloquea la subida antes de que termine.
- Un contrato confidencial está en una unidad corporativa con la opción pública «cualquiera con el enlace». Un escaneo de datos en reposo lo encuentra.
- Un empleado que se va sincroniza en bloque carpetas de proyectos con una unidad externa en la nube. La transferencia se marca como exfiltración de datos.
Cómo se ve en Anexet
El acceso, la auditoría y la copia sombra se definen por separado para cada servicio de nube en el perfil del agente. La lista de versiones web interceptadas también se configura aparte.
1 / 2
Por dónde empezar
Empiece por los datos cuya fuga causaría más daño y después por los servicios de nube que su personal usa de verdad. Las reglas escritas para todos los servicios a la vez terminan bloqueando el trabajo cotidiano y se desactivan. Conviene empezar con el control de subidas a la nube en pocos canales, no en todos.
Si la política debe cubrir datos sensibles, un despliegue local mantiene las reglas, el contenido capturado y los registros dentro de la infraestructura de la empresa.
Lectura recomendada: Sistemas DLP — qué son y cómo funcionan; ¿Cómo comprar un sistema DLP?.
Los datos en la nube rara vez salen de una sola vez. Salen en una serie de subidas comunes, y cada una parece inofensiva.
Anexet TeamCómo lo resuelve Anexet
Anexet cubre los canales de nube mediante sus agentes de endpoint y la integración ICAP, y extiende las mismas políticas basadas en contenido que regulan el correo, la web y los medios extraíbles al almacenamiento en la nube y a los servicios de intercambio de archivos.
Como Anexet se despliega en las instalaciones del cliente, las reglas de detección, el contenido capturado y los registros de auditoría se procesan y se guardan dentro de la infraestructura de la organización. Los datos sensibles no se entregan a un proveedor externo de DLP para su análisis.
Cobertura del almacenamiento en la nube
monitoreo y control de las transferencias hacia y desde servicios como Box, Dropbox, Google Drive, OneDrive, SharePoint, MEGA, ownCloud, Nextcloud, WeTransfer y Amazon S3.
Agentes de endpoint como punto principal de control
los agentes en las estaciones monitoreadas revisan las subidas a la nube en el origen, incluidas las que evitan por completo la red corporativa.
Detección basada en contenido
el mismo motor de clasificación, tesauros de seguridad, bancos de hashes, huellas digitales y etiquetas de sensibilidad. La decisión depende de lo que contiene el archivo, no solo del servicio de destino.
Aplicación de políticas y registro de auditoría
las políticas pueden bloquear la transferencia, ponerla en cuarentena, registrarla o emitir una alerta. Cada evento guarda el usuario, el servicio, la clasificación del contenido y la acción aplicada.
Anexet DLP
Más información