Cómo DSPM detecta y reduce la exposición de datos a amenazas internas en entornos en la nube

La exposición de datos debida a amenazas internas en entornos en la nube supone un cambio fundamental con respecto a las preocupaciones de seguridad tradicionales basadas en el perímetro. A diferencia de las filtraciones provocadas por malware, la exposición interna suele comenzar con patrones de acceso legítimos que se intensifican gradualmente hasta provocar la pérdida de datos a través del intercambio, la descarga y la deriva de permisos en aplicaciones SaaS, el almacenamiento en la nube y las plataformas de colaboración.

Cómo se manifiesta la exposición de datos por amenazas internas en la nube

Las amenazas internas actuales abarcan tres categorías de agentes de riesgo: empleados malintencionados que pretenden robar datos, usuarios negligentes que exponen información de forma accidental y cuentas comprometidas utilizadas por atacantes externos.

Según la Guía para la mitigación de amenazas internas de la CISA, el daño causado por las amenazas internas suele derivarse del uso indebido de un acceso legítimo, más que de una intrusión no autorizada en el sistema.

Los empleados suelen sincronizar archivos confidenciales con sus dispositivos personales, compartir documentos con colaboradores externos a través de enlaces generados por el navegador, descargar informes para analizarlos sin conexión y replicar conjuntos de datos en distintas plataformas de análisis. Cada una de estas acciones forma parte de la productividad habitual de la empresa; sin embargo, en conjunto crean una superficie de ataque cada vez mayor que los controles de seguridad tradicionales tienen dificultades para supervisar.

El análisis de la Cloud Security Alliance sobre cómo quedan expuestos los datos confidenciales en la nube identifica varios vectores de exposición clave: la replicación de datos entre servicios en la nube, configuraciones de uso compartido inadecuadas, el traslado entre aplicaciones no autorizadas y errores de configuración de IAM que otorgan un acceso excesivo.

A diferencia de los entornos locales, en los que los datos solían residir en segmentos de red controlados, los datos en la nube se distribuyen ahora entre aplicaciones SaaS, plataformas de colaboración y mecanismos de intercambio externos que eluden las barreras de seguridad tradicionales.

Imaginemos a un empleado del departamento financiero que descarga datos de cuentas de clientes desde una plataforma de análisis en la nube para elaborar un informe trimestral. El empleado sube el archivo a su almacenamiento personal en la nube para trabajar durante el fin de semana, comparte los datos con un socio consultor externo a través de un enlace del navegador y deja el repositorio original accesible a un amplio grupo de proyecto una vez finalizado el proyecto. No hay ningún malware implicado. No se activa ninguna regla del cortafuegos. Sin embargo, los datos confidenciales han traspasado los controles previstos.

Según el Informe de Investigaciones sobre Fugas de Datos (DBIR) de Verizon de 2026, la mayoría de las fugas de datos tuvieron un componente humano. A partir del análisis de más de 22 000 incidentes de seguridad y 12 195 fugas confirmadas, el informe identificó el comportamiento humano, las deficiencias en la gestión de identidades y accesos, y la exposición del ecosistema de terceros como los principales factores que provocan las fugas. Esto refuerza la realidad de que el acceso legítimo y autorizado se convierte con frecuencia en la vía principal para la pérdida de datos confidenciales.

Por qué los controles tradicionales no detectan las filtraciones internas en la era de la nube

Las herramientas de análisis del comportamiento de los usuarios y de supervisión de terminales se diseñaron para entornos centrados en la red, en los que el movimiento de datos se producía a través de canales predecibles. Estos sistemas destacan en la detección de anomalías de comportamiento, pero carecen del contexto de datos necesario paraevaluarla gravedad de la exposición en entornos en la nube.

Los sistemas UEBA pueden detectar cuándo un usuario descarga volúmenes de archivos inusualmente grandes o accede a aplicaciones fuera de los patrones habituales, pero no pueden determinar si esos archivos contienen código fuente, registros financieros, información de identificación personal de los clientes o datos operativos rutinarios. Sin comprender la sensibilidad de los datos, los equipos de seguridad se enfrentan a una disyuntiva insuperable: investigar cada anomalía y verse desbordados por los falsos positivos, o elevar los umbrales de alerta y correr el riesgo de pasar por alto exposiciones reales.

Las aplicaciones SaaS basadas en navegador, la sincronización directa en la nube y el intercambio a través de enlaces web eluden los controles tradicionales de los dispositivos finales. Un empleado puede compartir datos confidenciales con colaboradores externos exclusivamente a través de sesiones de navegador sin activar los sistemas de detección basados en dispositivos finales. Estos modernos patrones de colaboración en la nube se producen a través de canales que los agentes de los dispositivos finales no pueden supervisar por completo.

Los sistemas DLP tradicionales destacan en la inspección de archivos adjuntos de correo electrónico, transferencias USB y tráfico de red, pero tienen dificultades para evaluar el estado de exposición de los repositorios de almacenamiento en la nube, los permisos de las plataformas de colaboración o las configuraciones de uso compartido externo. Estos sistemas suelen detectar el movimiento de datos cuando ya se dan las condiciones de exposición, en lugar de identificar los repositorios sobreexpuestos antes de que se produzcan los intentos de filtración.

Los sistemas IAM registran quién ha accedido a qué aplicaciones en la nube y cuándo, pero esta información de telemetría solo resulta útil para la detección de amenazas internas cuando se combina con la clasificación de datos y el contexto de exposición.

Los datos que revelan el riesgo interno antes de que se produzca la filtración de información

Para detectar eficazmente las amenazas internas en entornos en la nube, es necesario identificar las condiciones de exposición antes de que los datos salgan del control de la organización. DSPM pone de manifiesto varias categorías de señales de riesgo previas a la pérdida que las herramientas de supervisión tradicionales suelen pasar por alto.

El DSPM analiza continuamente estos repositorios para identificar datos confidenciales que puedan haberse cargado, sincronizado o replicado sin que el equipo de seguridad tenga conocimiento de ello. Las plataformas en la nube y los flujos de trabajo de colaboración pueden generar permisos de uso compartido amplios o heredados que amplían el acceso más allá de lo previsto por los equipos.

DSPM identifica los repositorios que contienen datos confidenciales a los que pueden acceder amplios grupos de usuarios, colaboradores externos o enlaces públicos que persisten más allá de los plazos del proyecto. Cuando se integra con DLP, CASB, SSE o análisis de comportamiento, DSPM ayuda a identificar situaciones de alto riesgo, como la descarga de archivos confidenciales, el reenvío a correos electrónicos personales o la sincronización con dispositivos no gestionados, al añadir información sobre la confidencialidad de los datos y el contexto de exposición.

DSPM identifica estos repositorios ocultos y las desviaciones en la configuración antes de que se conviertan en vectores activos de pérdida de datos.

El marco MITRE ATT&CK documenta cómo los atacantes y los empleados comprometidos extraen datos a través de servicios legítimos de almacenamiento en la nube y aplicaciones web. Comprender estos patrones de ataque ayuda a los equipos de seguridad a reconocer cuándo los patrones normales de uso de la nube pueden indicar que se está preparando una filtración de datos.

Por qué el DSPM es fundamental para la detección de amenazas internas en entornos en la nube

El DSPM aborda la detección de amenazas internas proporcionando el contexto de datos que otros controles de seguridad necesitan para funcionar con eficacia en entornos en la nube. En lugar de sustituir al análisis de comportamiento o a la supervisión de accesos, el DSPM actúa como capa fundamental.

La Guía de mercado de Gartner sobre la gestión de la postura de seguridad de los datos(DSPM), 2025, destaca que el valor fundamental de la DSPM reside en la detección y clasificación de datos estructurados y no estructurados, lo que proporciona visibilidad sobre los activos de datos y ayuda a mitigar los riesgos relacionados con la privacidad, la seguridad y la inteligencia artificial.

DSPM ayuda a detectar combinaciones peligrosas, como datos altamente confidenciales con permisos de acceso amplios y uso compartido externo, especialmente cuando se integra con la telemetría de dispositivos y accesos procedente de SSE, CASB o controles de identidad.

Los sistemas tradicionales de gestión de identidades y accesos (IAM) realizan un seguimiento de los derechos de acceso, pero el DSPM correlaciona estos permisos con el nivel real de sensibilidad de los datos para identificar riesgos de escalada de privilegios, cuentas inactivas con acceso a datos sensibles y colaboradores externos que conservan el acceso más allá de los plazos del proyecto. El DSPM supervisa continuamente estos cambios para detectar cuándo las actividades operativas rutinarias crean inadvertidamente nuevos vectores de exposición.

DSPM puede proporcionar información sobre repositorios de alto riesgo a data loss prevention , proporcionar contexto de datos a las plataformas UEBA y suministrar métricas de exposición a los sistemas SIEM. Esa correlación es lo que convierte la actividad sin procesar en inteligencia sobre amenazas internas útil para la toma de decisiones.

Cómo priorizar las investigaciones sobre amenazas internas en función del riesgo empresarial

No todas las vulnerabilidades en la nube merecen la misma respuesta. Los equipos de seguridad pueden reducir el ruido y mejorar la calidad de la respuesta clasificando los incidentes en función de su impacto en el negocio, en lugar de tratar cada suceso como una posible brecha de seguridad.

Empiece por la sensibilidad de los datos en cuestión. Los registros de clientes, los datos de nóminas, el código fuente, la propiedad intelectual y los contenidos regulados deben ser prioritarios. La clasificación de los datos es importante porque un patrón de acceso que parece inofensivo se convierte en algo mucho más grave cuando se trata de información altamente sensible.

A continuación, evalúe la accesibilidad. Los repositorios abiertos a amplios grupos internos, socios externos o enlaces públicos representan un riesgo mucho mayor que las carpetas de alcance restringido con derechos limitados. La gravedad de la exposición aumenta cuando el acceso persiste una vez finalizado el proyecto, cuando los archivos se copian en ubicaciones no gestionadas o cuando los permisos se desvían del objetivo empresarial original.

A continuación, tenga en cuenta el contexto del usuario y del dispositivo. El acceso desde dispositivos no gestionados, ubicaciones inusuales o sesiones de navegador no estándar puede que no indique una intención maliciosa, pero puede aumentar la probabilidad de que los datos confidenciales se copien, compartan o almacenen fuera de los controles autorizados.

Los plazos y los patrones de comportamiento habituales también son importantes. Una descarga de gran tamaño desde un espacio de trabajo financiero durante el procesamiento de fin de trimestre puede ser normal. Sin embargo, la misma acción por parte de un empleado que abandona la organización, que accede a un repositorio por primera vez o que utiliza un dispositivo desconocido merece un análisis más detallado.

El resultado es un modelo de triaje que centra la atención en la combinación de la sensibilidad de los datos, el estado de exposición y el comportamiento, en lugar de en una sola señal considerada de forma aislada.

Una arquitectura moderna para la detección de la exposición de datos ante amenazas internas en la nube

Para detectar eficazmente las amenazas internas en entornos en la nube es necesario contar con una visibilidad unificada de los repositorios de datos, los sistemas de control de acceso y los canales de actividad de los usuarios, en lugar de depender de herramientas de seguridad aisladas. El plano de datos constituye la base.

DSPM detecta y clasifica los datos confidenciales en entornos de nube y SaaS. Identifica dónde se almacenan los datos, cómo están etiquetados y qué repositorios están excesivamente expuestos. Esa visibilidad se convierte en la capa contextual para todo lo demás.

El plano de acceso proporciona un contexto fundamental. Los sistemas de gestión de identidades y accesos (IAM), los permisos de colaboración y la configuración de uso compartido externo revelan quién puede acceder a datos confidenciales y en qué condiciones. Al combinarse con la clasificación de datos, esta información pone de manifiesto qué derechos de acceso suponen un riesgo real y cuáles son meramente teóricos.

Los controles relacionados con SSE pueden ayudar a aplicar políticas de acceso y uso compartido más coherentes en los canales web y en la nube cuando se combinan con la información contextual de los datos proporcionada por DSPM. Cloud Access Security Broker ofrecen una visibilidad detallada del uso de las aplicaciones en la nube, al tiempo que permiten la aplicación granular de políticas basadas en la sensibilidad de los datos y el contexto de acceso. Secure Web Gateway pueden impedir la carga de datos confidenciales a servicios en la nube no autorizados, mientras que las capacidades DLP integradas pueden inspeccionar el contenido en el correo electrónico, las plataformas de colaboración y las transferencias de almacenamiento en la nube.

La supervisión continua garantiza que se detecten las condiciones de exposición a medida que cambian las configuraciones de la nube, se crean nuevos enlaces de colaboración o varían las funciones de los usuarios con el paso del tiempo.

Errores habituales que cometen las empresas al hacer frente a la filtración de datos internos

Uno de los errores más comunes es considerar cada evento de acceso inusual como una amenaza confirmada. Este enfoque provoca fatiga por alertas y hace que pasen desapercibidos los pocos incidentes que realmente importan. La mejor estrategia consiste en combinar el comportamiento con la sensibilidad de los datos y el estado de exposición.

Otro error es basarse únicamente en los registros de identidad. Saber quién ha accedido a un sistema resulta útil, pero no aclara si los datos en cuestión eran confidenciales, se compartieron con terceros o se almacenaron en un repositorio excesivamente expuesto.

Las empresas también subestiman el acceso a través del navegador y los dispositivos no gestionados. La colaboración en la nube suele tener lugar fuera del alcance de los controles tradicionales de los terminales, por lo que los programas de seguridad que se centran únicamente en los ordenadores portátiles gestionados pasan por alto una gran parte de las vías de exposición.

Un problema relacionado es la proliferación de herramientas. Las organizaciones suelen implementar herramientas independientes para DLP, UEBA, IAM, CASB y SSE sin integrarlas en torno a un modelo de datos común. El resultado es una visibilidad fragmentada y una duplicación del trabajo.

El estudio del Ponemon Institute sobre los riesgos internos destaca que los empleados descuidados y negligentes representan riesgos de seguridad importantes y costosos, al igual que los actores con intenciones maliciosas. Los programas integrales contra las amenazas internas deben abordar todas las categorías de riesgo interno, en lugar de centrarse únicamente en el robo deliberado de datos.

La aplicación de políticas excesivamente restrictivas que obstaculizan la colaboración legítima puede fomentar la adopción de la TI en la sombra y generar nuevos vectores de vulnerabilidad.

Qué hay que tener en cuenta a la hora de elegir una solución para la detección de fugas de datos provocadas por amenazas internas

Una estrategia sólida comienza con la detección. La plataforma debe identificar los datos confidenciales en los repositorios en la nube, las aplicaciones SaaS y los entornos de colaboración sin necesidad de etiquetarlos manualmente en cada caso.

Asimismo, debería permitir la clasificación, la elaboración de mapas de exposición y la aplicación de políticas en un único flujo de trabajo. Esto permite a los equipos ver no solo dónde se encuentran los datos confidenciales, sino también quién puede acceder a ellos y si dicho acceso se ajusta a las necesidades de la empresa.

La integración es fundamental. Los sistemas más útiles se conectan con controles de IAM, SIEM, DLP, CASB y SSE, de modo que el nivel de confidencialidad de los datos pueda servir de base para tomar decisiones de seguridad más amplias. Los flujos de trabajo de investigación deben integrar el estado de exposición, el comportamiento de los usuarios y el contexto de acceso, en lugar de obligar a los analistas a consultar varias consolas a la vez.

El apoyo en materia de cumplimiento normativo también es importante. Los equipos de seguridad necesitan pruebas que indiquen dónde se encuentran los datos sujetos a regulación, quién tiene acceso a ellos, cómo se han compartido y qué medidas correctivas se han adoptado tras detectarse la exposición.

Las funciones de investigación asistidas por IA pueden ayudar a correlacionar la sensibilidad de los datos, los patrones de acceso y el comportamiento de los usuarios para dar prioridad a los incidentes de mayor riesgo.

Para las organizaciones que buscan una protección integral contra las amenazas internas, el reconocimiento de Gartner a los líderes en seguridad del ámbito de la SSE confirma la importancia de las plataformas integradas que combinan la visibilidad de los datos, el control de acceso y la supervisión del comportamiento en arquitecturas unificadas.