DLP vs DSPM: qué resuelve cada uno y en qué orden conviene comprarlos

DLP y DSPM se venden como si compitieran, y no compiten: resuelven dos problemas distintos que casi siempre coexisten. DLP (Data Loss Prevention) controla cómo se mueve el dato — qué sale por correo, por el navegador, por USB. DSPM (Data Security Posture Management) descubre dónde vive el dato, qué tan sensible es y quién puede tocarlo. Uno es el guardia de la puerta; el otro, el inventario y el mapa de riesgo. Comprar el equivocado primero es la forma más cara de aprender la diferencia.

La fuga y el desorden son problemas distintos

DLP existe como categoría desde mediados de los 2000; DSPM lo acuñó Gartner apenas en 2022. Eso no hace a uno viejo y a otro moderno: hace que ataquen dolencias diferentes. La fuga es un problema de canales: un correo con el archivo equivocado, un upload a un sitio personal, una USB — casi siempre un empleado bienintencionado, no un hacker. El desorden es un problema de inventario: nadie en la organización puede decir cuántas copias de la base de clientes existen, en qué buckets, shares o exports viven, ni quién tiene acceso.

La pregunta correcta no es "¿cuál es mejor?" — es ¿cuál de los dos problemas te está doliendo hoy?

Qué hace un DLP, en concreto

Un DLP aplica políticas sobre los canales de salida del dato:

1. Endpoint: portapapeles, USB, impresión, capturas de pantalla, uploads desde aplicaciones locales.
2. Correo: inspección del saliente, con acciones por política.
3. Web: uploads a sitios, webmail personal, almacenamiento en nube no corporativo.
4. SaaS: lo que se comparte desde M365, Google Workspace y aplicaciones de negocio.

Detecta lo sensible por patrones (RFC, CURP, números de tarjeta, expedientes), por fingerprinting de documentos completos y, en las plataformas serias, por clasificación con machine learning. Y ante una violación de política puede bloquear, cifrar, poner en cuarentena, advertir al usuario o solo registrar.

El procedimiento de despliegue sano tiene dos reglas que casi nadie respeta: arrancar 30 días en modo monitor (solo registrar, cero bloqueo) para calibrar contra el tráfico real, y empezar con 3 a 5 políticas, no con cincuenta. El error clásico es el inverso: comprarlo para pasar una auditoría, encender todo en modo alerta y dejarlo así para siempre — un DLP que nunca bloquea es evidencia de compra, no de control.

Qué hace un DSPM, en concreto

Un DSPM trabaja del otro lado: no vigila la puerta, censa la casa.

1. Descubre dónde vive el dato: buckets (S3, Azure Blob), bases de datos, file shares, M365/Google, SaaS.
2. Clasifica con IA — ya no con reglas a mano — qué es sensible: datos personales, financieros, propiedad intelectual.
3. Encuentra el shadow data: las copias que nadie sabe que existen — respaldos viejos, exports de "una vez", ambientes de desarrollo cargados con datos reales de producción.
4. Evalúa la postura: qué está expuesto público, qué acceso sobra, qué viola tu propia política (el principio de mínimo privilegio aplicado al dato).
5. DDR (Data Detection and Response): la capa que reacciona cuando un dato sensible empieza a moverse raro.

Y el driver que disparó la categoría: la IA generativa. Antes de soltar un copiloto o un LLM sobre tus repositorios necesitas saber exactamente qué puede comer. Un DSPM es el prerrequisito honesto de cualquier proyecto de IA corporativa — ya escribimos sobre lo que se está fugando por el chat que nadie controla — sin él, el copiloto indexa el export de nómina que alguien dejó en un share en 2023.

La prueba del algodón: cinco preguntas

1. ¿Puedes decir cuántas copias de tu base de clientes existen y dónde viven? No → DSPM.
2. ¿Tu preocupación concreta es lo que sale por correo, USB o uploads? DLP.
3. ¿Una auditoría o un corporativo te pide evidencia de control de salida de información? DLP.
4. ¿Migraste a nube o M365 y perdiste el mapa de dónde quedó qué? DSPM.
5. ¿Vas a implementar IA generativa sobre tus repositorios? DSPM primero, sí o sí.

En qué orden comprarlos

Empresa regulada con canales tradicionales (correo, oficina, expedientes): DLP primero. La LFPDPPP te obliga a medidas de seguridad demostrables sobre datos personales y a gestionar vulneraciones; un control de salida operando es la evidencia más directa de que el dato no se va sin querer.

Empresa cloud-first con sprawl de datos: DSPM primero. No puedes proteger lo que no sabes que existe — y un DLP sin clasificación previa se ahoga en falsos positivos: termina apagado o ignorado.

El final del camino es el mismo: las dos capas convergen. El DSPM le dice al DLP qué es sensible y dónde está; el DLP ejecuta el control en el canal. Por eso el mercado se está consolidando en plataformas que hacen ambas con una sola política — comprar dos consolas que no se hablan es pagar dos veces la mitad de la solución.

Dónde queda Forcepoint en este mapa

Forcepoint es el caso raro de fabricante fuerte en las dos capas. En DLP es su casa: 8 veces Leader del Magic Quadrant de Gartner para Enterprise DLP — el historial más largo de la categoría. Y en abril de 2025 compró Getvisibility, un DSPM/DDR con clasificación por IA, y lo integró a su plataforma Data Security Everywhere.

La traducción práctica: es de los pocos proveedores donde DSPM y DLP operan como una sola política con un solo motor de clasificación — lo que el DSPM descubre y clasifica, el DLP lo controla en el canal, sin traducir políticas entre dos consolas. Si tu plan es cubrir las dos capas con una casa, la evaluación corta empieza ahí.

¿Cuándo evaluar alternativas? Si tu universo es 100% Microsoft 365 y tu única exigencia es básica, Purview resuelve el primer tramo con lo que ya pagas. El salto a una plataforma dedicada se justifica cuando hay endpoint fuera de M365, canales múltiples, requisitos de precisión en español (CURP, RFC, expedientes mexicanos) o un regulador serio del otro lado de la mesa.

Lo que conviene verificar antes de firmar

1. Cobertura real de canales: tu mezcla concreta de endpoint (Windows/Mac), correo, web y las SaaS que de verdad usas — no la lista de folleto.
2. Clasificadores en español: que detecten CURP, RFC, INE y formatos de documento mexicanos sin tuning heroico.
3. Operación: quién va a afinar políticas cada mes. La herramienta sin operación es shelfware; presupuesta horas de administración o un servicio administrado.
4. Integración DSPM→DLP: que la clasificación alimente el control con una política, no con dos.
5. Prueba en tu tráfico: 30 días de modo monitor con TUS datos antes de decidir — los falsos positivos de demo no existen; los de producción, sí.