¿Qué es DSPM? Gestión de la Postura de Seguridad de Datos explicada

Data Security Posture Management —DSPM— es una de esas siglas que llegó más rápido que su definición. Este artículo explica qué significa realmente, por qué surgió, en qué se diferencia de las siglas vecinas con las que se confunde, y cómo saber si su organización la necesita.

La definición en una frase

DSPM es la práctica de descubrir de forma continua dónde reside su información sensible, quién y qué puede acceder a ella, y si ese acceso es apropiado, para señalar las brechas y poder corregirlas.

El énfasis está en los datos y en la postura. No en la red, ni en el endpoint, ni en el perímetro: los datos en sí, y el estado permanente de cómo están expuestos.

Por qué surgió DSPM

Durante la mayor parte de la historia de la seguridad, el modelo fue el perímetro. Se trazaba un límite alrededor de la red corporativa, se defendía ese límite y se confiaba en lo que había dentro. Los datos residían en servidores propios, en un centro de datos que usted controlaba.

Ese modelo se disolvió. Ahora los datos residen en aplicaciones SaaS y plataformas en la nube —Google Workspace, Microsoft 365, Salesforce, almacenamiento de objetos, data warehouses—, a los que se accede desde cualquier lugar por empleados, contratistas, socios y, cada vez más, por agentes automatizados. No hay un único perímetro que defender porque los datos están en todas partes y el acceso se concede en miles de pequeñas decisiones tomadas por usuarios individuales.

En ese mundo, las preguntas relevantes cambiaron:

• ¿*Dónde* está nuestra información sensible, en todos estos sistemas?
• ¿*Quién* puede acceder a cada parte de ella, incluyendo terceros externos e identidades no humanas?
• ¿Es ese acceso *apropiado*, o hay algo sobrecompartido, público u obsoleto?
• ¿Cómo *sabríamos* cuándo eso cambia?

DSPM es la disciplina creada para responder a esas preguntas de forma continua, en lugar de una vez al año en una auditoría.

En qué se diferencia DSPM de CSPM, DLP y CIEM

La sopa de siglas es real. Así se relacionan los vecinos:

• CSPM (Cloud Security Posture Management) se centra en configuraciones incorrectas de la *infraestructura* en la nube: buckets de almacenamiento abiertos, grupos de seguridad permisivos, volúmenes sin cifrar. Pregunta "¿está la nube configurada de forma segura?". DSPM pregunta "¿están los datos expuestos, dondequiera que residan?". Se superponen en la capa de almacenamiento, pero apuntan a cosas distintas.
• DLP (Data Loss Prevention) intenta *impedir* que los datos sensibles salgan: bloquear un correo con un número de tarjeta de crédito, evitar la subida de un archivo. DLP trata sobre los datos en movimiento en el momento de la salida. DSPM trata sobre la postura permanente: le indica que el archivo ya estaba sobrecompartido antes de que nada se moviera.
• CIEM (Cloud Infrastructure Entitlement Management) se centra en las identidades y sus permisos en plataformas en la nube: quién puede hacer qué. DSPM utiliza información de permisos, pero centra la atención en los *datos*: relaciona el acceso con los recursos que importan y evalúa la exposición.

Un modelo mental útil: CSPM protege la nube, DLP vigila las salidas, CIEM ordena los permisos y DSPM evita que los propios datos queden expuestos en primer lugar.

Qué hace realmente un enfoque de DSPM

Despojado del discurso de los proveedores, un flujo de trabajo de DSPM tiene cuatro movimientos:

1. Descubrir. Conectarse a los sistemas donde residen los datos y enumerar los recursos, las identidades y los permisos que los vinculan. No se puede proteger lo que no se ha inventariado.
2. Clasificar. Comprender qué datos son sensibles —datos personales, registros financieros, secretos, contenido regulado— para poder priorizar la exposición según lo que realmente está en juego.
3. Evaluar la exposición. Combinar recurso, identidad y permiso para encontrar los riesgos: enlaces públicos, compartición externa, acceso con privilegios excesivos, concesiones obsoletas, configuraciones incorrectas.
4. Priorizar y remediar. Clasificar los hallazgos por riesgo real —sensibilidad multiplicada por amplitud de acceso multiplicada por nivel de acceso— y llevarlos a resolución, y luego volver a verificar con cada cambio.

La parte "continua" es lo que separa la *gestión* de la postura de un escaneo puntual. La postura cambia constantemente a medida que las personas comparten, otorgan y olvidan. Una fotografía queda obsoleta en el momento en que se toma.

¿Necesita DSPM?

Probablemente ya tenga el problema; la pregunta es si lo está gestionando. Algunas señales de que necesita un enfoque deliberado de DSPM:

• La mayor parte de sus datos reside en plataformas SaaS y en la nube en lugar de en infraestructura que usted controla.
• La compartición es de autoservicio: cualquier usuario puede conceder acceso, por lo que su inventario de accesos está incompleto.
• Tiene obligaciones de cumplimiento (SOC 2, ISO 27001, GDPR, HIPAA) que exigen demostrar el control sobre quién puede acceder a los datos.
• Actualmente no puede responder "¿quién puede ver esta carpeta de datos sensibles?" sin una investigación manual.
• Agentes automatizados y cuentas de servicio tienen acceso a sus datos y nadie los está gobernando.

Si varias de estas afirmaciones le resultan familiares, la exposición existe independientemente de que la esté vigilando o no. DSPM es simplemente la decisión de vigilarla de forma continua y actuar sobre lo que se encuentre.

DSPM en la práctica para Google Workspace

DSPM es, en teoría, independiente de la plataforma, pero en la práctica se implementa sistema por sistema. Para las organizaciones que operan con Google Workspace, eso significa descubrir de forma continua los recursos de Drive y su compartición, mapear las identidades —humanas, externas, de servicio y de IA— que pueden acceder a ellos, y sacar a la luz las exposiciones: enlaces públicos, compartición externa, acceso con permisos excesivos, aplicaciones OAuth riesgosas y configuraciones incorrectas de administración. Ese es precisamente el problema de la seguridad de Google Workspace, planteado como postura.

Cómo se ve una buena DSPM en la práctica

Es fácil describir DSPM en abstracto y más difícil reconocer una buena implementación. Algunas cualidades separan una gestión de postura genuinamente útil de un escáner ruidoso:

• Prioriza sin concesiones. Una herramienta que devuelve diez mil hallazgos simplemente ha trasladado el problema. Una buena DSPM clasifica por riesgo real —sensibilidad multiplicada por amplitud de acceso multiplicada por nivel de acceso—, de modo que el puñado de casos que importan sube a la cima y el resto espera su turno.
• Se explica a sí misma. "Enlace público en Q3-financials.xlsx, accesible por cualquiera que tenga la URL, porque la compartición se configuró como 'cualquiera con el enlace' el 4 de marzo" es útil para actuar. Un código de hallazgo no lo es. La capacidad de explicación es lo que permite que alguien sin conocimientos especializados actúe sin necesidad de escalar.
• Es de solo lectura por defecto. El descubrimiento no debería requerir acceso de escritura a sus datos. Las herramientas menos invasivas inventarían y evalúan sin capacidad de modificar, lo que evita que la propia herramienta de seguridad se convierta en un riesgo.
• Cierra el ciclo. Encontrar una exposición es la mitad del trabajo; darle seguimiento hasta su resolución y confirmar que se mantuvo corregida es la otra mitad. Una postura que se mide pero nunca se remedia no es más que una preocupación más detallada.

Conceptos erróneos comunes

Algunos mitos frenan a los equipos:

• "Tenemos DLP, así que estamos cubiertos". DLP vigila las salidas; no le indica que el archivo ya estaba sobrecompartido, tanto interna como externamente, desde el principio. Ambos son complementos, no sustitutos.
• "Nuestro proveedor de nube protege nuestros datos". Los proveedores protegen la infraestructura y ofrecen los controles; cómo *configura* usted la compartición y el acceso —y, por lo tanto, su exposición— es responsabilidad suya bajo el modelo de responsabilidad compartida.
• "Hicimos una auditoría el año pasado". La postura no es un estado que se alcanza; es uno que se mantiene. La auditoría del año pasado describe un mundo que ya no existe.

Superar estas ideas suele ser el momento en que un equipo se da cuenta de que la exposición estuvo ahí todo el tiempo; simplemente no la estaban observando de forma continua.

8200.dev es DSPM diseñado específicamente para Google Workspace: descubrimiento de solo lectura, explicaciones en lenguaje sencillo de *por qué* cada hallazgo es riesgoso, y reverificación continua para que su postura refleje la realidad. Conozca más sobre cómo funciona.

¿Tiene curiosidad por saber cómo se ve hoy la postura de sus datos? Inicie su auditoría de seguridad gratuita y obtenga un mapa priorizado de quién y qué puede acceder a sus datos más sensibles de Google Workspace.