¿Qué es el DSPM y por qué lo necesitan las empresas modernas?

La gestión del estado de seguridad de los datos es el proceso continuo que consiste en identificar los datos confidenciales, clasificarlos, evaluar su exposición y supervisar los riesgos asociados a los datos en entornos de nube, SaaS e híbridos.

A medida que las organizaciones se expanden hacia la nube, el SaaS, la analítica y los flujos de trabajo basados en la inteligencia artificial, los datos confidenciales tienden a difundirse más rápido de lo que los procesos de gobernanza tradicionales pueden seguir el ritmo. Por eso, la gestión del estado de seguridad de los datos se ha convertido en un elemento fundamental de la estrategia de seguridad moderna: ayuda a los equipos a identificar los datos confidenciales, clasificarlos de manera coherente, evaluar su exposición y priorizar las medidas correctivas antes de que el riesgo se convierta en un incidente.

A diferencia de un análisis puntual, la gestión del estado de seguridad de los datos está diseñada para ofrecer una visibilidad continua. Ayuda a los equipos de seguridad, privacidad, cumplimiento normativo y nube a comprender qué datos confidenciales existen, dónde se encuentran, quién puede acceder a ellos y qué problemas suponen un mayor riesgo.

En este artículo se explica qué es la DSPM, cómo funciona, por qué es importante en la actualidad y en qué se diferencia de controles relacionados como DLP, CASB y SSPM. Para conocer conceptos relacionados con la seguridad en la nube, consulte nuestros recursos de la Academia sobre la gestión de la postura de seguridad en la nube, Data Loss Prevention (DLP), la gestión de la postura de seguridad de SaaS (SSPM) y Cloud Access Security Broker CASB).

En el marco de un Security Service Edge , DSPM desempeña un papel importante al aportar contexto de datos a las decisiones de seguridad en la nube y SaaS. Esto resulta especialmente relevante para las empresas que buscan alinear la protección de datos con un enfoque moderno y unificado de la seguridad. Skyhigh Security reconocida como «Niche Player» en el Magic Quadrant de Gartner de 2025 Magic Quadrant Security Service Edge obtuvo la puntuación más alta en el caso de uso de seguridad de datos en las Critical Capabilities de Gartner Critical Capabilities SSE de 2025, lo que refuerza la importancia de la visibilidad centrada en los datos como base práctica para la reducción del riesgo empresarial.

¿En qué consiste la gestión del estado de seguridad de los datos?

La gestión del estado de la seguridad de los datos consiste en la práctica continua de identificar datos confidenciales, clasificarlos, comprender su exposición y el contexto de acceso, y supervisar los riesgos en entornos modernos.

La gestión del estado de seguridad de los datos es una práctica de seguridad centrada en los datos que se centra en identificar los datos confidenciales, clasificarlos, comprender su exposición y priorizar las medidas correctivas. En la práctica, ofrece a los equipos una forma fiable de responder a cinco preguntas:

• ¿Qué datos sensibles tenemos?
• ¿Dónde se encuentra?
• ¿Qué grado de sensibilidad tiene?
• ¿Quién puede acceder a ella o divulgarla?
• ¿Qué problemas posturales entrañan mayor riesgo?

Esto convierte a DSPM en una capa de visibilidad y priorización, más allá de ser un simple escáner o una herramienta de generación de informes. Ayuda a los equipos a pasar del inventario al contexto, y del contexto a la acción.

Por qué es importante ahora la gestión del estado de la seguridad de los datos

La gestión de la seguridad de los datos (DSPM) es importante porque, en la actualidad, los datos confidenciales se encuentran distribuidos en entornos de nube, SaaS, colaboración, análisis, copias de seguridad e inteligencia artificial, lo que dificulta más que antes la visibilidad y la priorización.

La adopción de la nube ha ampliado el número de ubicaciones en las que pueden almacenarse los datos. La adopción del SaaS ha incrementado el número de personas y aplicaciones que pueden acceder a ellos. La adopción de la IA ha acentuado la necesidad de saber qué datos pueden estar entrando en nuevas herramientas, solicitudes, sistemas de recuperación y flujos de trabajo automatizados. En conjunto, estos cambios hacen que la gestión de la seguridad de los datos cobre mayor importancia para las empresas que necesitan reducir su exposición sin ralentizar los procesos de negocio.

Los informes sobre filtraciones y amenazas en el sector refuerzan la necesidad de una mayor visibilidad de los datos. El Informe sobre investigaciones de filtraciones de datos de 2026 de Verizon reveló que el factor humano estaba presente en el 62 % de las filtraciones, mientras que el Informe sobre el coste de una filtración de datos de 2025 de IBM indicaba que el coste medio global de una filtración ascendía a 4,44 millones de dólares estadounidenses. Al mismo tiempo, los informes sobre amenazas siguen poniendo de manifiesto que los flujos de trabajo relacionados con la inteligencia artificial y el tratamiento de datos se están convirtiendo en una preocupación cada vez mayor para los equipos de seguridad.

Para las organizaciones que operan en entornos de nube y SaaS, la gestión del estado de seguridad de los datos ayuda a salvar la brecha entre el lugar donde se encuentran los datos confidenciales y el lugar donde deben aplicarse las medidas de protección.

Cómo funciona el DSPM en la práctica

Un programa DSPM consolidado suele detectar datos, clasificarlos, identificar los puntos vulnerables, dar prioridad a los problemas de mayor riesgo y ayudar a los equipos a corregir errores de configuración o problemas de acceso.

Un flujo de trabajo práctico para la gestión de la postura de seguridad de los datos suele incluir los siguientes pasos:

1) Detectar datos confidenciales

El primer paso consiste en identificar dónde se encuentran los datos confidenciales en el almacenamiento en la nube, las bases de datos, los repositorios de archivos, las aplicaciones SaaS, las copias de seguridad y otros sistemas distribuidos. Sin un proceso de detección, los equipos no pueden comprender el verdadero alcance de la exposición.

2) Clasificar los datos

Una vez localizados los datos, deben clasificarse según su tipo, nivel de confidencialidad, titularidad y contexto empresarial. La clasificación es fundamental, ya que los controles posteriores dependen de que el sistema sepa qué es lo que está protegiendo.

3) Evaluar la exposición y el acceso

El DSPM evalúa quién tiene acceso a los datos, si los permisos son excesivos, si el alcance del uso compartido es demasiado amplio y si las configuraciones generan una exposición que se podría evitar. Es aquí donde la gestión del estado de seguridad cobra relevancia.

4) Priorice los riesgos más importantes

No todos los hallazgos merecen la misma respuesta. Las buenas herramientas de DSPM ayudan a los equipos a centrarse en las combinaciones de mayor riesgo en cuanto a sensibilidad, exposición y acceso.

5) Apoyo a las medidas correctoras

Los mejores programas vinculan los resultados con los procesos de corrección, de modo que los equipos puedan reducir el riesgo en lugar de limitarse a catalogarlo.

Cómo se integra DSPM con DLP, CASB y SSPM

El DSPM complementa las soluciones de prevención de pérdida de datos (DLP), Cloud Access Security Broker CASB) y la gestión de la postura de seguridad de SaaS (SSPM), al identificar y contextualizar los datos confidenciales, mientras que dichos controles se centran en la aplicación de políticas, el acceso a aplicaciones en la nube o los riesgos de configuración de SaaS.

La gestión del estado de seguridad de los datos no sustituye a otros controles de seguridad. Cubre una necesidad distinta. El DLP se encarga principalmente de hacer cumplir las políticas relativas al uso, el traslado o el intercambio de datos. La DSPM se centra en localizar primero los datos, comprender su grado de confidencialidad y su exposición, y determinar dónde es más importante aplicar las medidas de control.

Las soluciones CASB y SSPM abordan problemas relacionados con el control de las aplicaciones en la nube y la seguridad de la configuración del SaaS. La solución DSPM las complementa aportando una perspectiva centrada en los datos sobre qué información confidencial se encuentra realmente en riesgo.

En las arquitecturas empresariales, estos controles alcanzan su máxima eficacia cuando funcionan de forma conjunta. El DSPM proporciona el contexto de los datos, mientras que la aplicación de políticas y los controles de acceso ayudan a las organizaciones a actuar sobre ese contexto con precisión.

Qué debe ofrecer un buen DSPM

Una solución sólida de DSPM debería mejorar la visibilidad, la calidad de la clasificación, la priorización de riesgos y la capacidad de actuar en función de los resultados en su contexto.

Al evaluar la gestión del estado de la seguridad de los datos, céntrese en si la solución ayuda a los equipos a tomar mejores decisiones, en lugar de limitarse a generar más resultados. Una plataforma sólida debe permitir:

• Cobertura en entornos de nube y SaaS
• Calidad y coherencia de la clasificación
• Información sobre la exposición, los permisos y el uso compartido
• Establecimiento de prioridades que destaque los asuntos más urgentes
• Asistencia en la corrección de errores e integración de flujos de trabajo
• Integrarse en programas más amplios de seguridad y gobernanza de datos

Ese enfoque de evaluación también ayuda a los responsables de seguridad a decidir si el DSPM se utiliza como un escáner independiente o como parte de un proceso operativo más amplio.

DSPM, cumplimiento normativo y riesgos de la IA

DSPM facilita el cumplimiento normativo y la gobernanza de la IA al garantizar la visibilidad continua del inventario, la clasificación y la exposición de los datos sensibles.

Los programas de cumplimiento normativo dependen del conocimiento de dónde se almacenan los datos confidenciales y cómo se accede a ellos. La gestión del estado de seguridad de los datos resulta de gran ayuda, ya que permite visualizar el inventario, la clasificación y la exposición de los datos en entornos distribuidos. Esa visibilidad contribuye a la protección de la privacidad, al buen gobierno y a la preparación para las auditorías, especialmente cuando los datos se duplican o se comparten entre varios sistemas.

El Marco de Gestión de Riesgos de la IA del NIST y el Perfil de IA Generativa NIST AI 600-1 refuerzan este tema a través de las funciones de gobernanza, mapeo, medición y gestión, que ayudan a las organizaciones a abordar los riesgos relacionados con los datos utilizados en los sistemas y flujos de trabajo de IA. La nota conceptual del NIST de 2026 sobre un perfil de IA fiable para infraestructuras críticas subraya además que las expectativas en materia de gobernanza de la IA siguen evolucionando. Paralelamente, las directrices sobre clasificación de datos empresariales siguen haciendo hincapié en que la calidad de la clasificación es importante, ya que determina la selección de políticas y controles.

Para las organizaciones que adoptan la inteligencia artificial, el DSPM puede ayudar a responder una pregunta fundamental: ¿qué datos sensibles están a disposición de los nuevos flujos de trabajo, herramientas y sistemas de recuperación antes de que su divulgación resulte difícil de revertir?

Es precisamente aquí donde un modelo de seguridad centrado en los datos cobra especial relevancia. En lugar de tratar todos los flujos de trabajo de la misma manera, las organizaciones pueden aplicar controles en función de la sensibilidad, la ubicación y la exposición de los propios datos.

Cómo evaluar un programa o un proveedor de DSPM

Evalúe el DSPM comprobando la cobertura de los datos, la calidad de la clasificación, el análisis de la exposición, el establecimiento de prioridades, el soporte para la corrección de vulnerabilidades y su grado de integración con su infraestructura de seguridad.

Antes de implantar la gestión de la postura de seguridad de los datos, evalúe lo siguiente:

• Cobertura: ¿Analiza los entornos en la nube y SaaS que utiliza realmente?
• Clasificación: ¿Es capaz de identificar datos confidenciales de forma precisa y coherente?
• Contexto: ¿Explica los problemas relacionados con la exposición, el intercambio, los permisos y la postura?
• Establecimiento de prioridades: ¿Es capaz de distinguir los riesgos urgentes del ruido?
• Medidas correctivas: ¿Relaciona los resultados con la acción práctica?
• Integración: ¿Es compatible con los procesos existentes de DLP, CASB, SSPM, SIEM y gobernanza?

Para los compradores corporativos, también conviene evaluar si una solución DSPM encaja en una arquitectura de seguridad más amplia y unificada. Las soluciones que combinan la visibilidad de los datos con los controles de cumplimiento y de acceso pueden ayudar a reducir la complejidad operativa, al tiempo que mejoran la coherencia en los entornos de nube y SaaS.