Gestión de la Postura de Seguridad de Datos (DSPM)

Data Security Posture Management (DSPM) parte de una brecha simple: la mayoría de las organizaciones no puede afirmar con seguridad dónde están sus datos sensibles. Copias de registros de clientes terminan en bases de prueba, archivos personales llegan a carpetas compartidas y exportaciones antiguas quedan en laptops. DSPM responde primero a la pregunta que va antes que cualquier otro control: qué datos son sensibles, dónde están y quién puede llegar a ellos.

Un programa de DSPM trabaja sobre los datos en sí, no solo sobre el perímetro. Los hallazgos se agrupan por clasificación de datos, como datos personales, financieros, de salud y credenciales, lo que muestra en qué lugares que nadie planeó quedan datos sensibles.

La mayor parte del trabajo de DSPM repite las mismas cuatro etapas, y cada una alimenta a la siguiente.

1. 1

   Descubrir

   Escanear ubicaciones de almacenamiento y repositorios de archivos para construir un inventario de dónde están realmente los datos.

2. 2

   Clasificar

   Etiquetar lo encontrado por sensibilidad y tipo, con coincidencia de patrones y análisis de contenido.

3. 3

   Mapear la exposición

   Vincular cada repositorio con las personas, roles y sistemas que pueden leerlo o copiarlo.

4. 4

   Priorizar

   Ordenar los hallazgos por impacto real, para atender primero las copias más expuestas.

La adopción de la nube, las plataformas de datos de autoservicio y la copia rutinaria de datos de producción a entornos de prueba, análisis y respaldo hicieron que los datos sensibles se dispersaran mucho más allá de los sistemas diseñados para guardarlos. Los controles antiguos suponían que los equipos ya sabían dónde estaban esos datos. DSPM parte del supuesto contrario: localizar los datos es el primer paso y el más difícil.

La regulación empujó en la misma dirección. GDPR, HIPAA y PCI DSS esperan que una organización sepa dónde residen los datos regulados y quién puede acceder a ellos. Una copia olvidada en una carpeta no mapeada es una brecha aunque no haya habido filtración, y estas copias suelen aparecer en herramientas de shadow IT que nadie aprobó.

DSPM suele confundirse con dos categorías vecinas. Las tres atienden el riesgo de datos, pero cada una mira una capa distinta, por eso un programa completo normalmente necesita más de una.

DSPM reduce la pregunta a dónde están los datos sensibles y quién puede alcanzarlos. La prevención de pérdida de datos cubre el otro lado del mismo problema: vigila los datos en movimiento y en uso, y bloquea o registra las transferencias que rompen la política. Ambas funcionan bien juntas, porque DSPM muestra qué datos merecen una regla y DLP la aplica.

CSPM es la capa de infraestructura y revisa cómo están configuradas las cuentas en la nube. Un control de Cloud DLP solo protege los repositorios a los que apunta, así que el inventario de DSPM muestra hasta dónde debe llegar ese control.

En el lado de los endpoints, los agentes de Anexet comparan hashes de archivos en las estaciones administradas con bancos de hashes de documentos confidenciales. La pestaña File system de la consola del administrador muestra qué bancos aplican a cada perfil. Los tesauros suman análisis de contenido: un conjunto de palabras clave integrado puede marcar texto que coincida con términos como tarjeta de crédito o palabras de pago.

El monitoreo del sistema de archivos solo funciona en las computadoras incluidas en la lista de indexación, así que el alcance del inventario lo define el administrador. Los detalles del módulo están en la página del software DLP.

1 / 2

• 
• 

DSPM muestra el mapa, pero no cambia por sí mismo lo que hay en él. La mayoría de las plataformas informa hallazgos y recomendaciones, y alguien todavía tiene que cambiar un permiso, eliminar una copia obsoleta o avisar al equipo dueño del sistema. La precisión de la clasificación también varía: los campos estructurados, como números de tarjeta, se clasifican con confianza, mientras que el texto libre y los formatos inusuales producen más falsos positivos y negativos.

• Tomar el primer escaneo como inventario final. Los datos se mueven todos los días, y un escaneo limpio del trimestre pasado dice poco sobre hoy.
• Abrir hallazgos sin dueño. Los casos que nadie atiende quedan abiertos y erosionan la confianza en todo el programa.
• Copiar un panel en lugar de corregir la exposición. Un mapa en el que nadie actúa mantiene los mismos riesgos, solo que documentados.

Empiece por los repositorios que más daño harían si se filtraran y luego revise qué canales copian datos desde ellos. Un mapa construido alrededor de los datos importantes sigue siendo útil durante meses, mientras que un mapa de todo se ignora en pocas semanas.

Lectura recomendada: Seguridad de la información en bases de datos; El concepto de "Zero Trust".