Políticas DLP: las 5 primeras que debes activar (y las 45 que no)

El fracaso típico de un proyecto DLP no es técnico, es de apetito: se compra la plataforma, se encienden cincuenta políticas de plantilla el primer día, la consola se ahoga en alertas que nadie puede atender, y a los tres meses el sistema está en modo "solo registrar" para siempre — o apagado. El despliegue que sí funciona empieza al revés: cinco políticas, elegidas por riesgo real, maduradas por fases. Aquí está el procedimiento completo.

Por qué 5 y no 50

Cada política en producción genera incidentes que alguien tiene que revisar. Con cincuenta políticas de plantilla, una empresa mediana produce cientos de alertas diarias — y una cola que nadie revisa es idéntica a no tener DLP. La aritmética operativa es simple: arranca con las políticas que tu equipo puede atender de verdad, que en la práctica son entre tres y cinco. Se amplía cuando la primera camada opera con menos de 20% de falsos positivos — no antes.

Antes de la primera política: el inventario de una semana

No puedes proteger lo que no has nombrado. Antes de tocar la consola, una semana de trabajo con negocio — no con TI — para responder una sola pregunta: ¿cuáles son las tres joyas de la corona? La base de clientes, la nómina, la fórmula, el plano, el expediente. Sin clasificación previa, ningún DLP funciona — el motor necesita saber qué buscar antes de decidir qué detener.

Las 5 primeras políticas

1. La base de clientes. Fingerprint del export real de tu CRM (el archivo completo, no palabras clave) + patrones de RFC, CURP y correos en volumen. Canales: correo saliente, uploads web y USB. Es el activo que más se fuga y el que más duele perder — casi siempre por un empleado bienintencionado que "se lleva su cartera".
2. Nómina y expedientes de RH. CURP, NSS y CLABE en combinación — un documento con las tres cosas juntas es un expediente, no una coincidencia. La LFPDPPP los trata como datos personales con obligaciones directas; la ley te exige medidas demostrables, y esta política es la evidencia.
3. Datos financieros y de pago. Números de tarjeta (con validación de dígito verificador, no regex ingenuo) y CLABEs en volumen. Si procesas pagos, esta política te acerca al lenguaje que un auditor PCI entiende.
4. La propiedad intelectual que te diferencia. Fingerprinting del repositorio donde viven los planos, las fórmulas, el código o los costeos. Aquí no sirven los patrones — sirve registrar los documentos exactos y sus derivados.
5. La política del adiós. Monitoreo reforzado sobre cuentas en proceso de salida: renuncia presentada o baja programada dispara 30 días de vigilancia estrecha — copiado masivo a USB, uploads a nube personal, reenvíos a correo propio. La mayor exfiltración de datos de una empresa ocurre las dos semanas antes de que alguien se va, y casi ninguna organización la mira.

El despliegue por fases (el calendario honesto)

• Semana 0: inventario de joyas de la corona con negocio.
• Días 1–30: modo monitor. Las cinco políticas registran, nada bloquea. Revisión semanal de falsos positivos y ajuste de umbrales contra tráfico real.
• Días 30–60: modo advertencia. El usuario ve el aviso ("estás por enviar información sensible, ¿confirmas?") y puede continuar. Esta fase educa más que cualquier curso: la mayoría de los incidentes son descuido, y el aviso los corta sin abrir un ticket.
• Día 60+: bloqueo selectivo. Solo en las dos políticas de mayor riesgo (típicamente la base de clientes y la del adiós), y solo cuando el falso positivo sostenido está debajo del 20%. El resto se queda en advertencia hasta ganárselo.

¿Parece lento? Es más rápido que el camino de los cincuenta bloqueos del día uno, que termina en rollback, usuarios furiosos y un DLP apagado al trimestre.

Las 45 que NO (todavía)

• Los packs regulatorios que no te aplican: HIPAA, GDPR, PCI completo — plantillas pensadas para otros países y otras industrias que solo fabrican ruido.
• Keywords genéricas: una política que busca la palabra "confidencial" marca la mitad de los documentos de la empresa.
• Captura de pantalla e impresión el día uno: controles de alta fricción que conviene ganarse después de que el programa tiene credibilidad.
• Canales que aún no operas: si nadie va a revisar los incidentes de mensajería instantánea, esa política solo engorda la cola.

Qué medir cada mes

• Incidentes por política — una política sin incidentes en 60 días está mal calibrada o sobra.
• Ratio de falsos positivos — objetivo sostenido debajo del 20% antes de subir de fase.
• Tiempo de atención por incidente — si la cola crece, el programa se está muriendo aunque la consola se vea viva.
• Incidentes de la política del adiós — repórtalos a dirección: es la métrica que convence al comité de que el DLP paga su renta.

El contexto que completa el cuadro

Estas cinco políticas son la capa de control. La capa de descubrimiento — saber cuántas copias de esos mismos datos viven sueltas en shares y buckets — es el terreno del DSPM, y el orden en que se compran importa. Y si evalúas plataforma, el mapa honesto de Forcepoint — el fabricante con más historia en la categoría — es un buen punto de partida.

Operamos programas DLP administrados sobre estas cinco políticas como base, así que este procedimiento no es teoría: es la plantilla con la que arrancamos. ¿Tu DLP actual tiene más de diez políticas activas y una cola que nadie revisa? Esa es la señal de reinicio — y reiniciar bien cuesta menos que sostener el teatro.