Cómo colaboran el DSPM y el SSE para reducir los riesgos relacionados con los datos en la empresa moderna
- DSPM y SSE unifican la detección de datos, la visibilidad y la aplicación de políticas en entornos híbridos.
- Las arquitecturas integradas permiten una seguridad basada en los datos y adaptada a los riesgos reales a los que se enfrenta la empresa.
- Las plataformas unificadas ofrecen mejores resultados en materia de seguridad que las soluciones de seguridad puntuales y aisladas.
- La combinación de visibilidad y control mejora la preparación para el cumplimiento normativo y la obtención de pruebas para las auditorías.
- Para que las implementaciones tengan éxito, se requiere una integración profunda, políticas coherentes y simplicidad operativa.
La gestión del estado de seguridad de los datos (DSPM) identifica dónde se encuentran los datos críticos y cómo están expuestos, mientras que Security Service Edge (SSE) proporciona la estructura de control necesaria para gestionar la forma en que los usuarios, las aplicaciones y los dispositivos interactúan con dichos datos en entornos de nube, SaaS e híbridos.
DSPM ofrece funciones continuas de detección, clasificación y análisis de exposición en aplicaciones SaaS, almacenamiento en la nube y entornos de datos híbridos, mientras que SSE garantiza el cumplimiento mediante controles CASB, SWG, ZTNA y DLP.
El valor arquitectónico se pone de manifiesto cuando los resultados del DSPM sirven de base para las decisiones políticas en materia de SSE, lo que da lugar a una aplicación de las normas que tiene en cuenta el contexto y se adapta a la sensibilidad real de los datos y al riesgo empresarial.
Los patrones de ataque actuales se aprovechan de servicios en la nube legítimos y de credenciales válidas, lo que hace que los enfoques tradicionales centrados en el perímetro resulten insuficientes para proteger los datos sensibles distribuidos.
La telemetría unificada, procedente tanto de la supervisión del cumplimiento de las políticas de datos como de su aplicación, puede mejorar la visibilidad para la investigación de incidentes y facilitar un ajuste más preciso de las políticas.
Las aplicaciones de IA general (GenAI) y los copilotos de IA representan una nueva categoría de riesgo de exposición de datos que requiere tanto la identificación de los repositorios de datos accesibles para la IA como la aplicación de medidas de control en el punto de interacción con la IA.
Las organizaciones deberían evaluar conjuntamente las soluciones DSPM y SSE, centrándose en el grado de integración, la coherencia de las políticas y la simplificación operativa, en lugar de considerarlas como soluciones puntuales independientes.
Una arquitectura de seguridad de datos consolidada combina la información que proporciona DSPM sobre «qué datos están en riesgo y por qué» con las medidas de control que aplica SSE sobre «cómo gestionar las interacciones de los datos» en todas las vías de acceso de usuarios y aplicaciones.
¿Qué es el DSPM en el contexto de la arquitectura SSE?
El DSPM actúa como la capa de inteligencia de datos que hace que las decisiones de aplicación de la SSE sean más inteligentes y precisas.
Las soluciones DSPM identifican los datos sensibles en aplicaciones SaaS, almacenamiento en la nube, plataformas de colaboración y repositorios híbridos, y a continuación proporcionan el contexto que necesitan los controles de SSE para tomar decisiones sobre políticas adecuadas al nivel de riesgo.
La plataforma SSE Skyhigh Security protege el acceso a recursos web, servicios en la nube, aplicaciones SaaS, aplicaciones privadas, correo electrónico y flujos de trabajo de IA, independientemente de la ubicación del usuario. En el contexto de la gestión de riesgos de datos (DSPM), esto es importante porque los hallazgos sobre riesgos de datos cobran mayor valor cuando pueden servir de base para la aplicación de medidas en tiempo real a través de SWG, CASB, ZTNA, RBI y DLP desde un marco de políticas unificado. Skyhigh fue reconocida como «Niche Player» en el Magic Quadrant de Gartner de 2025 Magic Quadrant Security Service Edge obtuvo la puntuación más alta en el caso de uso de «Seguridad de datos» en las Critical Capabilities de Gartner de 2025 Critical Capabilities SSE.
Sin el contexto de los datos, los controles de SSE suelen tomar decisiones de aplicación basándose únicamente en la identidad del usuario, el estado del dispositivo, la reputación de la aplicación o la inspección del contenido, pasando por alto la cuestión fundamental de qué datos están realmente en riesgo en cada transacción.
El DSPM cubre esta carencia mediante un seguimiento continuo de dónde se encuentran los datos sensibles, quién puede acceder a ellos, cómo se comparten y qué riesgos de exposición suponen un mayor peligro para la empresa.
En conjunto, crean un ciclo cerrado en el que los hallazgos sobre riesgos de datos sirven de base directa para las medidas de cumplimiento en las vías de acceso a la web, la nube, el SaaS y las aplicaciones privadas.
Por qué los enfoques tradicionales de seguridad de los datos no tienen en cuenta los riesgos actuales
Muchas estrategias tradicionales de protección de datos se diseñaron pensando en entornos más centralizados, con límites de red más definidos que los actuales entornos, en los que predominan la nube y el SaaS.
El factor humano estuvo presente en el 62 % de las filtraciones analizadas en el Informe sobre investigaciones de filtraciones de datos de 2026 de Verizon, lo que refuerza la necesidad de que los controles de identidad, acceso y contexto de los datos funcionen de forma conjunta.
Estos ataques se basan cada vez más en credenciales válidas y servicios en la nube legítimos, en lugar de en malware que traspasa los límites de la red.
Cuando los atacantes utilizan credenciales robadas para acceder a aplicaciones SaaS autorizadas o para subir datos a servicios legítimos de almacenamiento en la nube, los controles perimetrales tradicionales detectan una actividad normal y autorizada.
Entre los patrones modernos de exposición de datos que los enfoques tradicionales pasan por alto se incluyen la proliferación de aplicaciones SaaS, en la que los datos confidenciales se encuentran dispersos en docenas de servicios en la nube; el intercambio excesivo de información a través de enlaces públicos y el intercambio con terceros; los flujos de trabajo de «datos en la sombra» que eluden la supervisión del departamento de TI; el acceso de dispositivos no gestionados a aplicaciones empresariales; el procesamiento de datos asistido por IA que conecta múltiples repositorios; y las configuraciones erróneas en la nube que hacen que los datos privados sean accesibles al público.
MITRE ATT&CK documenta cómo los adversarios hacen un uso indebido de cuentas válidas en la nube y extraen datos a través de servicios web legítimos, destacando técnicas como la integración de aplicaciones en la nube, en la que los atacantes aprovechan las conexiones entre aplicaciones para acceder a datos confidenciales.
Estos patrones de ataque pueden pasar desapercibidos entre la actividad empresarial habitual, lo que dificulta su identificación por parte de las herramientas de seguridad centradas en la red si no se dispone de un contexto más completo en cuanto a identidad, datos y aplicaciones.
Sin saber qué datos son sensibles, dónde se almacenan y cómo quedan expuestos, los controles de seguridad no pueden tomar decisiones adecuadas en materia de riesgos para los entornos de trabajo híbridos actuales.
Cómo identifica DSPM los datos sensibles y pone de manifiesto los riesgos ocultos
Las plataformas DSPM detectan y clasifican los datos confidenciales conectándose a aplicaciones SaaS a través de API, escaneando repositorios de almacenamiento en la nube, analizando plataformas de colaboración e identificando los flujos de datos en entornos híbridos.
Este descubrimiento va más allá de la simple comparación de patrones para ofrecer un contexto empresarial sobre la titularidad de los datos, los requisitos normativos y el riesgo de exposición.
El proceso de clasificación identifica la información de carácter personal, los registros financieros, los datos sanitarios, la propiedad intelectual y otra información crítica para la empresa, independientemente de dónde se encuentre.
Las soluciones modernas de DSPM tienen como objetivo mejorar la precisión de la clasificación combinando la inspección de contenidos con el contexto empresarial, como la titularidad, el tipo de repositorio y el estado de exposición.
El análisis de exposición revela cómo los datos pueden quedar al alcance de personas ajenas al público al que estaban destinados debido a un intercambio con permisos excesivos, enlaces públicos sin fecha de caducidad, acceso de colaboradores externos, cuentas inactivas con derechos de acceso persistentes, depósitos de almacenamiento en la nube mal configurados e integraciones de aplicaciones de terceros que entrañan riesgos.
Las plataformas DSPM analizan estas exposiciones para mostrar a los equipos de seguridad qué datos corren mayor riesgo de sufrir un acceso no autorizado o una filtración.
La priorización de riesgos ayuda a las organizaciones a centrar sus esfuerzos de corrección en aquellos ámbitos en los que tendrán mayor repercusión.
En lugar de generar listas interminables de archivos confidenciales, las soluciones DSPM priorizan los resultados en función de la confidencialidad de los datos, el alcance de la exposición, la importancia para el negocio, los requisitos normativos y la probabilidad de que personas no autorizadas accedan a ellos.
En la práctica, las organizaciones suelen necesitar establecer prioridades, ya que los programas de detección pueden revelar más casos de exposición de datos sensibles de los que los equipos pueden subsanar de una sola vez.
Los informes con información contextual pueden ayudar a los equipos de seguridad a comprender no solo dónde se encuentran los datos confidenciales, sino también el contexto empresarial y de acceso que influye en la exposición y la priorización.
Cómo la SSE complementa a la DSPM con medidas de aplicación y control
SSE proporciona la infraestructura de aplicación que convierte la información obtenida mediante DSPM en medidas concretas de protección de datos en todas las vías de acceso.
El modelo de arquitectura «Zero Trust» del NIST hace hincapié en la evaluación continua de las decisiones de acceso y en la aplicación de las políticas en múltiples puntos de control, lo que se ajusta perfectamente a la forma en que los componentes de SSE complementan los resultados de DSPM.
Los controles de CASB pueden restringir el intercambio de datos con terceros, exigir una autenticación adicional para las descargas o bloquear las subidas a servicios en la nube no autorizados.
La supervisión de CASB basada en API también ofrece una visibilidad continua de los patrones de movimiento y uso compartido de datos dentro de las aplicaciones autorizadas.
Al integrarse con los resultados del DSPM, el SWG puede tomar decisiones más fundamentadas en los datos en lo que respecta a las cargas, las descargas y el acceso a sitios web de riesgo o no autorizados.
Las políticas de ZTNA establecen qué usuarios deben tener acceso y en qué condiciones, lo que permite un acceso con el mínimo de privilegios que se adapta al riesgo real que presentan los datos.
DLP aplica políticas basadas en el contenido en los canales de correo electrónico, web, nube y terminales.
Las etiquetas de clasificación y las puntuaciones de riesgo del DSPM ayudan a las políticas de DLP a tomar decisiones más precisas sobre cuándo bloquear, poner en cuarentena, cifrar o exigir una justificación empresarial para las actividades de intercambio de datos.
En lugar de funcionar como herramientas de seguridad independientes, actúan como una estructura de aplicación unificada que se basa en la evaluación continua que realiza DSPM del estado de los datos y los riesgos.
Protección de datos confidenciales de SaaS e IA
Protección de datos confidenciales en aplicaciones SaaS y de IA: La exposición de datos confidenciales en aplicaciones SaaS y de IA constituye un caso de uso fundamental para la integración de DSPM y SSE.
El informe «Top 10 de OWASP para 2025 sobre aplicaciones de modelos de lenguaje a gran escala» identifica la divulgación de información sensible como uno de los principales riesgos de seguridad relacionados con la IA, incluida la exposición a través de los datos de entrenamiento, los flujos de trabajo de inferencia y las respuestas generadas. DSPM detecta de forma continua los datos sensibles expuestos e identifica los repositorios a los que pueden acceder las aplicaciones de IA, mientras que SSE aplica controles sensibles al contexto que regulan las interacciones de los usuarios, las subidas de datos y el acceso a las consultas de IA en entornos SaaS y de IA.
Fortalecimiento del cumplimiento normativo y la gobernanza: Las iniciativas de cumplimiento normativo se refuerzan cuando las organizaciones pueden demostrar tanto una identificación exhaustiva de los datos como una aplicación coherente de las políticas. Esta combinación contribuye a alcanzar dos objetivos comunes en materia de cumplimiento normativo: conocer dónde se encuentran los datos sensibles y demostrar que se han implantado controles de protección.
La visibilidad y la aplicación de medidas combinadas, junto con SSE, ayudan a las organizaciones a demostrar la detección de datos, los controles de protección y la preparación para el cumplimiento normativo en entornos distribuidos.
Reducción de la fragmentación de las herramientas de seguridad: Las arquitecturas unificadas DSPM y SSE reducen la fragmentación de las políticas al centralizar la detección de datos, la clasificación, la gestión del acceso y la aplicación de las políticas en un único marco de seguridad. En lugar de depender de herramientas puntuales inconexas, con políticas incoherentes y lagunas de visibilidad, las organizaciones pueden aplicar controles estandarizados en aplicaciones SaaS, servicios en la nube, plataformas de colaboración, flujos de trabajo de IA y repositorios de datos distribuidos.
Este enfoque integrado mejora la coherencia operativa, simplifica la gestión de políticas, refuerza el cumplimiento normativo y permite a los equipos de seguridad responder con mayor eficacia a los cambiantes escenarios de exposición de datos y de riesgos internos en entornos híbridos complejos.
Qué hay que tener en cuenta en una estrategia de DSPM compatible con SSE
Las organizaciones deben buscar soluciones de gestión de protección de datos (DSPM) que permitan detectar datos confidenciales en aplicaciones SaaS, almacenamiento en la nube pública, plataformas de colaboración y almacenes de datos híbridos, con una visibilidad centralizada.
Esta visibilidad debe abarcar la comprensión de cómo fluyen los datos entre los distintos entornos y qué integraciones generan riesgos de exposición.
La plataforma SSE debe ofrecer control integrado del tráfico web, control basado en API para aplicaciones SaaS, controles de acceso para aplicaciones privadas e inspección de contenidos para el movimiento de datos a través de todos los canales.
La integración en una arquitectura de seguridad más amplia puede reducir la complejidad operativa que conlleva la gestión de múltiples herramientas de seguridad independientes.
Las organizaciones deben encontrar un equilibrio entre una cobertura exhaustiva y una complejidad operativa asumible.
Arquitectura de referencia
Una arquitectura de seguridad de datos madura funciona como un ciclo continuo en el que el análisis de datos da lugar a las políticas, la aplicación de las mismas genera datos de telemetría y el análisis de estos datos sirve de base para el perfeccionamiento del sistema.
DSPM sienta las bases mediante un análisis continuo de los entornos para identificar nuevos datos sensibles, clasificar la información según su tipo e importancia para la empresa, determinar el grado de exposición a través de los permisos y el intercambio de datos, y priorizar los riesgos en función de su probabilidad e impacto.
La coordinación de políticas traduce los resultados del DSPM en reglas de aplicación de la SSE que se distribuyen entre los componentes CASB, SWG, ZTNA y DLP.
Estas políticas deben actualizarse a medida que el DSPM descubra nuevos repositorios de datos sensibles o identifique cambios en el riesgo de exposición, recurriendo a la automatización siempre que sea posible.
Los datos de telemetría y análisis, tanto de la detección como de la aplicación de medidas, se transmiten a los centros de operaciones de seguridad y a los sistemas de elaboración de informes de cumplimiento.
Esta visibilidad unificada permite a los equipos de seguridad conocer tanto qué datos sensibles existen como cómo se accede a ellos, identificar tendencias en la exposición de los datos y los patrones de uso, medir la eficacia de los controles de protección y aportar pruebas de la protección de los datos para las auditorías de cumplimiento normativo.
Los flujos de trabajo de corrección pueden utilizar los datos de aplicación de SSE para identificar comportamientos de tratamiento de datos de alto riesgo, respaldar los cambios en el control de acceso para los repositorios excesivamente expuestos y proporcionar a los equipos de cumplimiento normativo pruebas más sólidas sobre el tratamiento de datos.
Evaluación de proveedores
La compatibilidad arquitectónica debe ser un criterio de evaluación clave, ya que la calidad de la integración determina si las soluciones funcionan conjuntamente sin problemas o si requieren una personalización adicional.
El alcance de las capacidades de detección de datos determina el grado de exhaustividad de su visibilidad de los datos en distintos entornos.
Las organizaciones deben evaluar si una plataforma de SSE puede integrar los requisitos de detección de datos y cumplimiento normativo en una arquitectura unificada. Skyhigh Security este enfoque de plataforma al combinar la protección de datos, la seguridad del acceso a la nube, la seguridad web, private access, el aislamiento del navegador y la visibilidad alineada con el DSPM en una única estrategia de SSE.
Según el informe «Cost of a Data Breach Report 2026» de IBM, el coste medio mundial de una filtración de datos ascendió a 4,44 millones de dólares estadounidenses, lo que convierte en una necesidad empresarial imprescindible la evaluación exhaustiva de las capacidades integradas de seguridad de los datos.