Cómo evaluar un DLP antes de comprarlo: las 10 preguntas que la demo no quiere contestar

Comprar un DLP es fácil; comprar el DLP correcto exige hacerle al proveedor las preguntas que su demo no quiere contestar. Después de operar estos proyectos —y de heredar varios que nacieron mal— destilamos la evaluación en diez preguntas. Un proveedor serio las contesta con evidencia; uno de folleto cambia de tema. Úsalas tal cual en tu proceso de selección.

Las 10 preguntas

1. ¿Cubre mis canales reales — no los del folleto? Haz primero tu inventario: endpoints (¿hay Macs?), correo (¿Exchange, otro?), web, USB, impresión, las SaaS que de verdad usa tu gente. Pide la matriz de cobertura contra ESA lista. Todo DLP tiene puntos ciegos — el proveedor honesto te dice cuáles son los suyos.
2. ¿Sus clasificadores entienden documentos mexicanos? CURP, RFC, INE, CLABE, y sus combinaciones (un archivo con CURP+NSS+CLABE es un expediente de nómina). Pide verlo detectar sobre TUS formatos, no sobre ejemplos en inglés.
3. ¿Detecta más allá de patrones? Fingerprinting de documentos completos (tu lista de precios exacta, no "documentos con números") y OCR sobre imágenes — el plano fotografiado y el estado de cuenta escaneado son fugas reales que el regex nunca ve.
4. ¿La prueba es sobre mi tráfico? 30 días en modo monitor con tus datos, y el criterio de éxito pactado antes: tasa de falsos positivos sostenida. Los falsos positivos de demo no existen; los de producción deciden si el proyecto vive. Si el proveedor propone decidir con una demo de dos horas, ahí tienes tu primera bandera roja.
5. ¿Quién va a operarlo el mes tres? La herramienta sin operación es shelfware. O existe el rol interno que afina políticas cada semana, o el proveedor ofrece el servicio administrado con entregables concretos (revisión de incidentes, ajuste de umbrales, reporte mensual). "Los capacitamos y listo" no es un modelo de operación.
6. ¿Cómo arranca el despliegue? La respuesta correcta se parece a cinco políticas por fases, no a cincuenta plantillas el día uno. Pregunta cuántas políticas propone encender el primer mes: el número te dice si han operado esto o solo lo venden.
7. ¿Cómo se lleva con lo que ya tengo? Si usas M365, ¿aprovecha las etiquetas de Purview o las ignora? La coexistencia bien hecha existe — y también el traslape pagado doble. Y hacia adelante: ¿la clasificación del DSPM alimenta al DLP con una sola política, o son dos consolas?
8. ¿Qué evidencia produce para una auditoría? Reportes de incidentes por política, trazabilidad de quién movió qué, y el mapa de cumplimiento — la LFPDPPP exige medidas demostrables, y "demostrable" significa que el reporte existe sin armarlo a mano.
9. ¿Cuál es el costo real a 3 años? Licencia (¿por usuario? ¿módulos aparte?), implementación, y la línea que casi nadie suma: horas de operación mensual o servicio administrado. Pide el número completo; el DLP "barato" con operación invisible es el más caro del mercado. Y audita los usuarios antes de cada renovación — pagar por bajas del año pasado es el desperdicio más común.
10. ¿Quién responde cuando algo falla — y desde dónde? Canal local con ingenieros que hablen tu idioma y tu huso, escalamiento claro al fabricante, y un nombre con apellido como responsable. "Soporte global 24/7" sin rostro local es un ticket dando vueltas al planeta.

Las banderas rojas del proveedor

• Vende la licencia y desaparece: sin plan de operación, sin fases, sin métricas de éxito. Está vendiendo software, no protección.
• La demo nunca toca tus datos: todo funciona perfecto sobre su dataset en inglés. Perfecto y ajeno.
• Propone encender todo el día uno: quien ha operado un DLP sabe que la cola de alertas sin dueño mata el programa en un trimestre.
• No pregunta por tus joyas de la corona: si la conversación arranca en features y no en qué activo te desvela, la solución va a proteger promedios, no tu negocio.

El orden correcto del proceso

Primero el inventario (qué proteges y por qué canales puede salir), luego los criterios (estas diez preguntas, ponderadas a tu terreno), después la prueba sobre tu tráfico con criterio de éxito pactado, y al final el precio — negociado con el alcance ya definido, no al revés. El proceso inverso —precio primero, alcance después— es la fábrica de los DLP apagados que heredamos cada año.

¿Ya tienes tu lista de canales reales y tus tres joyas de la corona? Con eso, esta evaluación toma dos semanas y la decisión sale sola. Sin eso, ningún proveedor —nosotros incluidos— puede recomendarte con honestidad.