Cómo contribuye DSPM a la preparación para el cumplimiento del RGPD, la CCPA y la HIPAA

El cumplimiento del RGPD, la CCPA y la HIPAA ya no es un simple ejercicio de auditoría puntual, sino una disciplina operativa continua. La gestión de la postura de seguridad de los datos (DSPM) ayuda a las organizaciones a mantener una visibilidad continua sobre dónde se almacenan los datos regulados, quién puede acceder a ellos y en qué medida podrían estar expuestos.

Para los equipos encargados de la privacidad, la seguridad y la preparación para las auditorías, el reto no consiste únicamente en localizar datos sensibles una sola vez, sino en mantenerse al día con la expansión de la nube, el crecimiento del SaaS, el almacenamiento híbrido y los patrones de acceso en constante evolución. DSPM les ayuda a detectar de forma continua datos personales, información de los consumidores e información sanitaria protegida en repositorios en la nube, aplicaciones SaaS y entornos híbridos.

Esto es importante porque la preparación para el cumplimiento normativo depende no solo de saber dónde se encuentran los datos regulados, sino también de quién puede acceder a ellos, cómo están expuestos y qué medidas correctivas deben adoptarse en primer lugar. En la práctica, esto significa pasar de inventarios estáticos a pruebas actualizadas y fundamentadas.

Cuando la ICO del Reino Unido puso en marcha un nuevo marco de auditoría de protección de datos en octubre de 2024, reforzó la importancia de contar con una gobernanza, una documentación y unos controles evaluables en todas las prácticas clave de protección de datos. Tanto el RGPD como la CCPA y la HIPAA exigen algo más que la mera intención de las políticas. Exigen a las organizaciones que comprendan su entorno de datos lo suficientemente bien como para actuar en consecuencia.

Por qué el DSPM es importante para la preparación en materia de cumplimiento normativo

Los programas normativos fracasan cuando los equipos no pueden responder rápidamente a preguntas básicas: ¿De qué datos regulados disponemos? ¿Dónde están almacenados? ¿Quién tiene acceso a ellos? ¿Están excesivamente expuestos? ¿Qué es lo que hay que solucionar en primer lugar?

DSPM se ha diseñado para subsanar esa falta de visibilidad. Detecta y clasifica los datos sensibles de forma continua, en lugar de basarse en muestras periódicas o en hojas de cálculo manuales. Además, ayuda a los equipos a dar prioridad a los hallazgos más relevantes, de modo que el trabajo de cumplimiento normativo se base en la exposición real y no en conjeturas.

Según el Informe de Investigaciones sobre Fugas de Datos de 2026 de Verizon, que analizó más de 31 000 incidentes de seguridad y 22 000 fugas confirmadas en 145 países, el 62 % de las fugas seguía estando relacionado con un factor humano: ingeniería social, errores de configuración, uso indebido de credenciales y errores. Sin embargo, los datos de 2026 revelan un problema cada vez más grave: el aprovechamiento de vulnerabilidades ha superado al robo de credenciales como principal punto de entrada de las filtraciones por primera vez en los 19 años de historia del informe, representando el 31 % de todas las filtraciones, mientras que las filtraciones en la cadena de suministro de terceros se dispararon un 60 % y ahora representan el 48 % del total. Mientras tanto, la «IA en la sombra» —el uso no autorizado de servicios de IA generativa por parte de los empleados— se triplicó, pasando del 15 % al 45 % de la plantilla en un solo año, y el 67 % accedió a herramientas de IA desde dispositivos corporativos utilizando cuentas ajenas a la empresa. Estas tendencias no operan de forma aislada. Un único archivo sobreexpuesto o un repositorio SaaS compartido puede crear simultáneamente una vía de explotación de vulnerabilidades, un riesgo de acceso por parte de terceros y un flujo de datos no supervisado hacia una herramienta de IA no autorizada, lo que desencadena problemas de privacidad, seguridad y gobernanza en múltiples marcos de cumplimiento normativo a la vez.

Cómo se corresponde el DSPM con el grado de preparación para el RGPD

El cumplimiento del RGPD depende de la exactitud de los registros, la minimización de datos, el control de acceso y la capacidad de responder con seguridad a las solicitudes de ejercicio de derechos. DSPM contribuye a estos objetivos ayudando a las organizaciones a detectar datos personales en sistemas en la nube y SaaS, a identificar repositorios con exposición excesiva y a mantener los inventarios más actualizados.

El artículo 30 del RGPD exige a las organizaciones que mantengan registros de las actividades de tratamiento, y la detección automatizada contribuye a que dichos registros sean más precisos y fáciles de mantener que las hojas de cálculo manuales por sí solas. El artículo 5 establece la minimización de datos como principio fundamental, mientras que el artículo 25 exige la protección de datos desde el diseño y de forma predeterminada. El DSPM respalda ambos principios al hacer visibles los datos sensibles desde el principio y al señalar dónde existe una exposición innecesaria.

En el caso de los programas relacionados con el RGPD, entre los hallazgos de alta prioridad suelen figurar los datos personales a los que se puede acceder públicamente, aquellos que se difunden en exceso a nivel interno o aquellos que se conservan de formas que pueden entrar en conflicto con las políticas de gobernanza documentadas.

La preparación para el RGPD también incluye el cumplimiento del derecho de supresión previsto en el artículo 17. DSPM puede ayudar a localizar todas las copias de datos personales en entornos en la nube e híbridos, incluidas las copias de seguridad y las unidades compartidas, de modo que los equipos puedan responder de forma más completa y coherente.

Las organizaciones que dependen de procesos manuales anuales de mapeo de datos suelen tener dificultades para mantener sus inventarios actualizados a medida que los datos se desplazan entre entornos en la nube y de SaaS. DSPM contribuye a reducir esa desviación mediante un análisis continuo y la detección de los cambios a medida que se producen.

Cómo contribuye DSPM al cumplimiento de la CCPA

La CCPA otorga a los consumidores el derecho a conocer, suprimir y rectificar sus datos personales, lo que, en la práctica, exige a las organizaciones identificar dónde se encuentra dicha información en todos sus sistemas empresariales. Las directrices del Departamento de Justicia de California también hacen hincapié en que las empresas deben ser capaces de identificar los datos personales por consumidor y por categoría.

El DSPM facilita la localización de la información personal de los consumidores en distintos repositorios, servicios conectados y herramientas de colaboración. Permite responder con mayor precisión a las solicitudes de acceso a la información y ayuda a los equipos a identificar dónde se han compartido o sincronizado los datos de los consumidores, de modo que sea menos probable que las eliminaciones queden incompletas.

A la hora de prepararse para la CCPA, los equipos suelen dar prioridad a la información personal de los consumidores que está sobreexpuesta, que se comparte ampliamente entre sistemas conectados o que resulta difícil de rastrear durante los procesos de acceso y eliminación. El tratamiento que la CCPA da a la información personal sensible también genera necesidades adicionales de visibilidad, ya que las organizaciones deben saber no solo que esos datos existen, sino también dónde están almacenados y cuál es el alcance de su acceso.

El DSPM puede ayudar a identificar dónde se encuentran los datos de los consumidores y dónde se han compartido entre los distintos repositorios y servicios conectados. Esa visibilidad resulta especialmente importante cuando la información de los consumidores aparece en plataformas SaaS, almacenamiento en la nube, sistemas de copia de seguridad y entornos híbridos que no formaban parte del inventario original.

Cómo contribuye DSPM al cumplimiento de la HIPAA

Las entidades sujetas a la HIPAA y sus socios comerciales deben llevar a cabo un análisis preciso y exhaustivo de los riesgos y vulnerabilidades que afectan a la ePHI. La Norma de Seguridad del HHS deja clara esta exigencia, que resulta más difícil de cumplir cuando los datos se encuentran dispersos entre el almacenamiento en la nube, el correo electrónico, las plataformas de colaboración, los entornos de desarrollo y los sistemas de copia de seguridad.

DSPM ayuda a los equipos a localizar la ePHI en lugares que suelen pasar desapercibidos en los procesos de inventario tradicionales. Permite detectar la ePHI en plataformas de colaboración, archivos adjuntos de correo electrónico, sistemas de copias de seguridad o entornos de desarrollo, lo que proporciona a los equipos de seguridad y cumplimiento normativo una mejor comprensión de dónde existen riesgos de exposición.

A la hora de prepararse para el cumplimiento de la HIPAA, los equipos suelen dar prioridad a la información médica protegida electrónica (ePHI) a la que se puede acceder de forma generalizada, que se almacena en repositorios inesperados o que queda expuesta debido a controles de acceso deficientes. El DSPM también puede ayudar a identificar accesos con permisos excesivos y configuraciones de intercambio de datos de riesgo que puedan aumentar la exposición en relación con la HIPAA.

El Departamento de Salud y Servicios Humanos (HHS) propuso importantes actualizaciones de la Norma de Seguridad de la HIPAA en enero de 2025, lo que pone de manifiesto unas expectativas cada vez mayores en cuanto a la adopción de prácticas de ciberseguridad más rigurosas y a la documentación relativa a la protección de la información médica protegida electrónica (ePHI). Esto hace que la visibilidad continua sea aún más importante, ya que las organizaciones necesitan pruebas de que conocen dónde se almacenan los datos sanitarios regulados y cómo se protegen.

DSPM y otros controles de seguridad

El DSPM no sustituye a los controles existentes; constituye la capa de visibilidad que los hace más precisos y eficaces.

El DLP tradicional es eficaz a la hora de impedir movimientos no autorizados, pero requiere un contexto de datos preciso. El CASB ofrece visibilidad sobre el uso de SaaS, pero el DSPM profundiza en los datos y la configuración de dichas aplicaciones. Como parte de una arquitectura integral Security Service Edge SSE), el DSPM orienta las decisiones sobre políticas en las pasarelas web, el acceso de confianza cero y la protección frente a amenazas, proporcionando información centrada en los datos que permite a los equipos de seguridad de las empresas tomar decisiones fundamentadas.

Esto convierte a DSPM en un complemento útil para DLP, CASB y SSE. DSPM proporciona la capa de concienciación, mientras que esas herramientas se encargan de la aplicación de las medidas.

En qué debería ayudar a los equipos el DSPM

Un programa de DSPM eficaz debería ayudar a los equipos a responder a las siguientes preguntas:

• ¿Dónde se almacenan los datos sujetos a normativa en entornos de nube, SaaS, colaboración, copias de seguridad e híbridos?

• ¿Quién puede acceder a ella?

• ¿Qué repositorios están sobreexpuestos?

• ¿Qué conclusiones tienen mayor repercusión en materia de cumplimiento normativo?

• ¿Qué medidas correctoras deberían aplicarse en primer lugar?

El enfoque técnico varía en función del entorno, pero, por lo general, el DSPM combina la búsqueda, la clasificación y el análisis del contexto de acceso en repositorios tanto estructurados como no estructurados.

Las soluciones de DSPM eficaces deben ofrecer una clasificación precisa y la flexibilidad suficiente para adaptarse a los tipos de datos y los flujos de trabajo específicos de cada organización.

Cómo establecer prioridades en las medidas correctoras

No todos los hallazgos merecen el mismo grado de urgencia. Los equipos deben establecer prioridades en función del impacto normativo, el nivel de exposición y la sensibilidad de los datos en cuestión.

En el caso de los programas relacionados con el RGPD, entre los hallazgos de alta prioridad suelen figurar los datos personales a los que se puede acceder públicamente, aquellos que se difunden en exceso a nivel interno o aquellos que se conservan de formas que pueden entrar en conflicto con las políticas de gobernanza documentadas.

A la hora de prepararse para la CCPA, los equipos suelen dar prioridad a la información personal de los consumidores que está excesivamente expuesta, que se comparte ampliamente entre los sistemas conectados o que resulta difícil de rastrear durante los procesos de acceso y eliminación.

A la hora de prepararse para cumplir con la HIPAA, los equipos suelen dar prioridad a la información médica protegida electrónica (ePHI) a la que se puede acceder fácilmente, que se almacena en repositorios inesperados o que queda expuesta debido a controles de acceso deficientes.

Los flujos de trabajo de corrección pueden incluir acciones automatizadas, siempre que sea posible, así como la remisión de los casos a los responsables de los datos y a los equipos de cumplimiento normativo para su revisión.

Por qué es importante la visibilidad continua

Los entornos en la nube cambian con tanta rapidez que los ejercicios de mapeo anuales ya no resultan fiables. Aparecen nuevas herramientas SaaS, cambian las condiciones de acceso, proliferan las copias y los datos sujetos a normativa pueden trasladarse sin previo aviso.

Las tareas de cumplimiento normativo se complican cuando los datos sujetos a regulación se encuentran en ubicaciones que no se incluyeron en el inventario original. DSPM contribuye a reducir ese riesgo mediante la detección continua de datos, la identificación de los riesgos de exposición y el mantenimiento de los equipos informados a medida que cambia el entorno.

Esto reviste especial importancia, dado que las expectativas normativas siguen evolucionando, con las actualizaciones propuestas de la HIPAA, el proceso normativo en curso de la CCPA y la aparición de nuevas leyes de protección de datos a nivel mundial.