El gran debate sobre los bloqueos: cuándo los controles de seguridad favorecen (y perjudican) la productividad

La paradoja entre productividad y seguridad

Todos los responsables de seguridad han vivido alguna vez esta situación: un vicepresidente llama, furioso, porque se ha bloqueado una transferencia de archivos de importancia crítica a un socio apenas unos minutos antes de que finalizara el plazo. La política de DLP funcionó exactamente según lo previsto, pero aun así el resultado fue el equivocado.

Esta es la tensión fundamental que subyace a la prevención de la pérdida de datos (DLP). Los equipos de seguridad tienen la responsabilidad de proteger los datos confidenciales, pero los controles que aplican pueden paralizar la actividad empresarial. El DLP tradicional se ha ganado una pésima reputación, no porque el objetivo sea erróneo, sino porque, históricamente, su aplicación ha sido burda, inflexible y exasperantemente ajena al contexto. Se bloquea el acceso a los empleados. Se sienten frustrados. Encuentran soluciones alternativas. Y los equipos de seguridad acaban desbordados por las solicitudes de excepción, en lugar de investigar las amenazas reales.

Por lo tanto, la cuestión no es si se debe bloquear o no. La cuestión es si estamos aplicando los bloqueos de forma inteligente, teniendo en cuenta el contexto, la confianza y contando con los mecanismos de seguridad adecuados.

Argumentos en contra del bloqueo

Seamos sinceros sobre por qué tantas organizaciones funcionan únicamente en modo de supervisión. Las razones son de carácter práctico, no filosófico.

Cuando las políticas de bloqueo son demasiado estrictas, los usuarios las eluden. Suben archivos a cuentas personales en la nube, se envían documentos por correo electrónico a sí mismos o utilizan herramientas no autorizadas que los equipos de seguridad no pueden detectar en absoluto. La «TI en la sombra» no surge porque los empleados tengan malas intenciones, sino porque intentan hacer su trabajo. Cada acción bloqueada que carezca de una justificación clara socava la confianza en el programa de seguridad y empuja la actividad hacia los puntos ciegos.

Además, están los gastos generales de funcionamiento. El bloqueo agresivo genera una avalancha de solicitudes de excepción, incidencias en el servicio de asistencia técnica y escalaciones. Los analistas de seguridad se pasan el día resolviendo disputas empresariales en lugar de investigar riesgos reales. Los directivos se oponen. Las unidades de negocio se desvinculan. En poco tiempo, el equipo de seguridad pasa a ser considerado un obstáculo en lugar de un colaborador, y esa percepción resulta increíblemente difícil de revertir.

La filosofía de «la visibilidad ante todo» existe por una buena razón: es necesario comprender los flujos de datos y el panorama de riesgos antes de empezar a aplicar controles. Bloquear sin esa base es como instalar badenes en carreteras que aún no se han cartografiado.

Argumentos a favor del bloqueo inteligente

Y, sin embargo, hay situaciones en las que el modo de solo visualización simplemente no es suficiente.

Cuando un empleado intenta subir una hoja de cálculo que contiene datos financieros de clientes a un servicio en la nube no autorizado, el hecho de supervisar ese incidente y revisarlo posteriormente no evita la filtración de datos, sino que simplemente la documenta. En el caso de contenidos regulados, documentación sobre fusiones y adquisiciones, código fuente y otros datos de gran importancia, el bloqueo es imprescindible. El riesgo de exposición supera con creces las dificultades que supone impedir una transferencia.

En la práctica, la disposición a bloquear es un indicio de la madurez del programa. Los programas de gestión de riesgos internos en sus primeras fases se centran en la visibilidad y la detección. A medida que maduran, pasan a utilizar controles adaptativos que intervienen en los momentos oportunos. Las organizaciones que nunca van más allá de la supervisión suelen encontrarse con registros muy extensos y sin una reducción significativa de la exposición de los datos.

El auge de la IA en la sombra ha acelerado este cambio de forma espectacular. Dado que los empleados introducen datos confidenciales en herramientas de IA generativa, el bloqueo de destinos se ha convertido en una de las principales peticiones de los equipos de seguridad. La superficie de ataque se ha ampliado a un ritmo más rápido del que las políticas pueden seguir, y el bloqueo —aplicado de forma reflexiva— forma parte de la solución.

Controles adaptativos: más allá de las decisiones binarias

El verdadero avance en la tecnología DLP moderna no consiste en elegir entre bloquear o permitir. Consiste en desarrollar una gama de respuestas que se adapten al riesgo de cada situación.

Los controles de seguridad adaptativos proporcionan a los equipos un conjunto de herramientas que va mucho más allá de la simple dicotomía. Si un empleado copia un archivo confidencial, es posible que reciba un mensaje informativo en el que se le explique la política. Un segundo intento podría dar lugar a una autorización temporal, siempre que se justifique debidamente por motivos empresariales. Una transferencia de datos regulados a un destino de alto riesgo podría bloquearse directamente. Cada respuesta se adapta al contexto: la función del usuario, el nivel de confidencialidad de los datos, el destino y el historial de comportamiento.

Este enfoque de «pausa para la reflexión» resulta muy eficaz. En ocasiones, el simple hecho de mostrar un mensaje —en el que se pide al usuario que confirme su intención o que explique el motivo— basta para evitar la divulgación involuntaria de datos. La mayoría de las pérdidas de datos no se deben a actos malintencionados. Es una imprudencia. Además, un pequeño recordatorio en el momento oportuno puede evitar un error sin interrumpir el trabajo.

Autorización temporal: fomentar la confianza sin perder el control

Una de las medidas de control adaptativas más eficaces es la autorización temporal, un mecanismo que permite a los usuarios seguir adelante con una justificación documentada, al tiempo que se mantiene un registro de auditoría completo.

Este enfoque tiene en cuenta el hecho de que los equipos de seguridad no pueden prever todas las necesidades empresariales legítimas. Un consultor que comparte los resultados de su trabajo con un cliente, un equipo financiero que colabora con auditores externos, un desarrollador que envía código a un repositorio de un socio autorizado: todas ellas son actividades legítimas que unas políticas rígidas bloquearían de forma indiscriminada.

El carácter temporal permite mantener la productividad al tiempo que se fomenta la responsabilidad. El mero hecho de dejar constancia de un motivo constituye en sí mismo un factor disuasorio: los empleados que saben que sus justificaciones quedan registradas y pueden ser revisadas se comportan de manera diferente a aquellos que creen que nadie les está vigilando. Permite crear un registro de auditoría sin generar resentimiento y proporciona a los equipos de seguridad las pruebas que necesitan para distinguir entre un uso legítimo y un riesgo real.

Bloqueo por origen: protegiendo lo que más importa

En lugar de intentar bloquear todos los destinos de riesgo —una tarea cada vez más amplia y, en última instancia, inútil—, los programas más avanzados protegen cada vez más los datos en su origen.

Las políticas de bloqueo por origen se centran en los propios datos: carpetas de la dirección ejecutiva, sistemas de planificación financiera, plataformas de recursos humanos y repositorios de código propio. Si los datos son confidenciales, los controles los acompañan independientemente del destino al que se intente enviarlos. Este enfoque resulta más eficaz que el bloqueo por destino, ya que aborda el problema de fondo. No es necesario que prevea todos los puntos finales de riesgo si ya se ha asegurado de que sus datos más críticos no puedan salir sin la autorización correspondiente.

Este modelo también admite excepciones granulares. Una organización puede establecer valores predeterminados estrictos para las fuentes sensibles, al tiempo que concede acceso basado en roles a equipos específicos. El equipo financiero puede compartir la documentación destinada al consejo de administración con los asesores externos autorizados. Los responsables de ingeniería pueden realizar envíos a los repositorios designados. Los controles se adaptan a la estructura organizativa en lugar de oponerse a ella.

Consejos para la puesta en práctica

Incluso los mejores controles adaptativos fracasarán si no se implementan de forma bien planificada. Las organizaciones que tienen éxito siguen un patrón constante.

Comienzan por la visibilidad, ejecutando políticas en modo de supervisión durante el tiempo suficiente para comprender su entorno de datos y el comportamiento de referencia de los usuarios. Comunican claramente las expectativas antes de aplicar las consecuencias, asegurándose de que los empleados comprendan no solo las normas, sino también el razonamiento que hay detrás de ellas. Invierten en políticas de uso aceptable que sean específicas y estén actualizadas. Además, fomentan la implicación de la organización: informan a los responsables de las unidades de negocio, tienen en cuenta sus comentarios y consideran la seguridad como una responsabilidad compartida, en lugar de una imposición impuesta desde arriba.

El objetivo es que la primera acción bloqueada resulte justa, no inesperada. Cuando los usuarios comprenden el "por qué", el cumplimiento se produce de forma natural.

El camino medio

El bloqueo no es el enemigo. El bloqueo inflexible y independiente del contexto es...

El futuro de la prevención de la pérdida de datos pasa por los controles adaptativos: sistemas que evalúan el riesgo de forma dinámica, responden de manera proporcionada y consideran la confianza de los usuarios como un activo que merece la pena preservar. La automatización de la seguridad y la inteligencia artificial lo están haciendo posible a una escala que la gestión manual de políticas nunca podría alcanzar, lo que permite desarrollar programas de gestión de riesgos internos que ofrecen mayor protección y causan menos trastornos que sus predecesores.

La cuestión para cualquier responsable de seguridad no es si su programa bloquea. Lo importante es si su programa aplica restricciones con inteligencia, teniendo en cuenta el contexto y respetando a las personas a las que está destinado a proteger. Evalúe el grado de madurez de su programa, invierta en controles de seguridad adaptativos y desarrolle una estrategia en la que las mejores prácticas de prevención de pérdida de datos y la productividad no sean objetivos contrapuestos, sino que constituyan un mismo objetivo.