La fuga de información no siempre llega desde afuera. Casi siempre empieza adentro.
Cada semana, alguien en tu organización adjunta un contrato al correo equivocado. Otro sube una planilla con RUTs al OneDrive personal. Un tercero pega datos de nómina en ChatGPT para “hacer el análisis más rápido”. Ninguno actúa con mala intención, pero todos están exponiendo información sensible sin que ningún sistema los detenga.
Eso es exactamente el problema que aborda el Data Loss Prevention (DLP): no los ataques externos que tu firewall detecta, sino la fuga silenciosa que ocurre desde adentro, a través de los canales que tus propios colaboradores usan todos los días.
Qué es Data Loss Prevention y por qué es diferente de las otras capas de seguridad
Un sistema DLP inspecciona el contenido en tiempo real y actúa cuando detecta que algo infringe una política definida. Puede bloquear la acción, alertar al equipo de seguridad o notificar al usuario que está a punto de cometer un error. La distinción clave frente a otras herramientas es que DLP sigue el dato, no el perímetro. No importa si el archivo está en SharePoint, en un dispositivo con Windows 11 o en tránsito por Teams: las políticas DLP lo acompañan.
Esta capacidad opera sobre información en tres condiciones distintas.
Los datos en reposo son los que están almacenados en repositorios, servidores o cloud. DLP los descubre, los clasifica y los somete a controles de acceso.
Los datos en movimiento viajan por correo electrónico, Teams, navegadores o conexiones de red, y DLP inspecciona ese tráfico para intervenir si hay una política comprometida.
Los datos en uso son los que un colaborador está manipulando activamente, ya sea copiando, pegando, imprimiendo o subiendo archivos. Aquí DLP actúa directamente en el endpoint para bloquear transferencias no autorizadas hacia USB, aplicaciones no aprobadas o herramientas de IA externas.
Esa tercera categoría es la que más organizaciones ignoran, y la que hoy representa el mayor riesgo real.
El riesgo que no figura en ningún log: el shadow AI
Hasta hace dos años, el principal vector de fuga era el correo mal dirigido o el USB extraviado. En el 2026, el escenario cambió por completo. Los colaboradores usan ChatGPT, Gemini u otras herramientas de IA públicas desde el mismo dispositivo donde trabajan con información corporativa.
Pegan contratos para resumirlos, nóminas para analizarlas, correos de clientes para redactar respuestas. Esa información puede quedar almacenada en servidores externos, utilizarse para entrenar modelos de terceros o quedar expuesta ante actores que tu organización nunca autorizó.
Lo que hace este problema especialmente difícil de detectar es que no genera alertas en los sistemas tradicionales. No hay un ataque. No hay un intruso. Solo hay un colaborador haciendo su trabajo de la forma más cómoda disponible.
Microsoft respondió a esto directamente. Desde Edge for Business, ya es posible auditar o bloquear en tiempo real los prompts y archivos que los usuarios envían a herramientas de IA, usando las protecciones DLP nativas de Microsoft Purview.
Cuando el sistema detecta datos sensibles en un prompt, bloquea la acción y puede redirigir al usuario a Microsoft 365 Copilot, donde sí aplican los límites de cumplimiento corporativo y los datos no salen del tenant.
Si tu empresa tiene licencias M365 E5 y aún no ha configurado estas políticas, está expuesta a un riesgo que no figura en ningún dashboard de seguridad.
Cómo funciona Microsoft Purview DLP en tu entorno Microsoft 365
Microsoft Purview Data Loss Prevention es la solución DLP nativa del ecosistema Microsoft 365. Se administra desde el portal de cumplimiento de Purview y cubre datos en reposo, en uso y en movimiento a través de todos los servicios Microsoft 365: Exchange, SharePoint, OneDrive, Teams, dispositivos Windows 10, Windows 11, macOS y repositorios on-premises.
Su funcionamiento descansa en tres elementos.
El primero son los tipos de información sensible: plantillas predefinidas que reconocen patrones como RUT, datos de tarjetas de crédito, información médica o credenciales bancarias, a los que se pueden sumar tipos personalizados para información propia de tu negocio.
El segundo son las políticas DLP, que definen qué hacer cuando se detecta información sensible. Las acciones van desde registrar el evento sin interrumpir al usuario hasta bloquearlo completamente, pasando por opciones intermedias donde el colaborador puede justificar una excepción documentada.
El tercero es la clasificación con etiquetas de sensibilidad, que integra Purview con Microsoft Information Protection para que los documentos etiquetados como “Confidencial” o “Solo uso interno” queden sujetos a las políticas correspondientes, independientemente del destino al que viajen.
Todo esto se centraliza en un único portal de administración, sin consolas separadas por canal o por dispositivo.
Por qué la Ley 21.719 convierte a DLP en una obligación legal para tu empresa antes de Diciembre 2026
El 13 de diciembre de 2024 se publicó en el Diario Oficial la Ley 21.719, que moderniza completamente la regulación de protección de datos personales en Chile y la alinea con estándares como el GDPR europeo. Su entrada en vigencia está fijada para el 1 de diciembre de 2026, lo que significa que el período de adecuación ya está a la mitad.
Las consecuencias de no cumplir son concretas. Las multas alcanzan hasta 20.000 UTM (aproximadamente USD 1.550.000) para infracciones graves. Además, la ley obliga a notificar públicamente cualquier brecha a la nueva Agencia de Protección de Datos Personales y a los afectados.
A eso se suma la responsabilidad reputacional ante clientes e instituciones que exijan cumplimiento normativo en su cadena de proveedores. La ley aplica a todas las organizaciones que operen en Chile, sin excepción por tamaño o sector.
Un sistema DLP activo es la evidencia técnica más directa de que tu organización tiene controles operando sobre sus datos personales. Sin esa evidencia, el cumplimiento formal de la ley queda incompleto frente a un proceso de fiscalización.
Configurar políticas DLP no es solo una medida de seguridad: es documentación auditable de que tu empresa trata los datos con los controles que la ley exige.
En términos prácticos, una implementación bien configurada de Microsoft Purview DLP puede detectar y controlar RUT de personas naturales y jurídicas, números de cuentas bancarias y datos de pago, así como información de salud y diagnósticos médicos.
También cubre datos contractuales con cláusulas de confidencialidad, credenciales de acceso y tokens de autenticación, e información salarial y de nómina. Adicionalmente, protege datos de menores de edad, categoría que la Ley 21.719 somete a protección reforzada.
El argumento que los equipos de TI suelen perder frente al área financiera
“Necesitamos implementar DLP” es una conversación que muchos equipos de TI han tenido sin éxito, porque se presenta como un gasto nuevo de seguridad. El argumento correcto es distinto: si tu organización tiene licencias Microsoft 365 E3 o E5, Microsoft Purview DLP ya está incluido en la suscripción. No hay que comprar nada nuevo. Hay que activar y configurar una capacidad que ya existe en tu tenant y por la que ya estás pagando.
El costo real no es el licenciamiento. Es el tiempo de implementación y la configuración de políticas que funcionen sin generar fricción operativa. DLP tiene mala fama precisamente cuando se activa en modo “bloquear todo” desde el primer día, generando falsos positivos que irritan a los colaboradores y terminan con las políticas desactivadas.
El enfoque correcto es gradual y parte por entender el comportamiento real de los datos en tu organización antes de aplicar restricciones.
DLP y Zero Trust: capas que se complementan, no se reemplazan
DLP no opera en aislamiento. De hecho, en una arquitectura Zero Trust, es la capa que protege el dato una vez que la identidad ya fue verificada y el dispositivo ya fue evaluado. La lógica es que incluso si el usuario es legítimo y su dispositivo está en cumplimiento, las políticas DLP aseguran que no comparta información sensible con destinos no autorizados. Esto cubre el riesgo interno: el colaborador que tiene acceso correcto pero actúa de forma incorrecta, sea por descuido o con intención deliberada.
En XMS integramos Data Loss Prevention como parte del enfoque de seguridad Zero Trust con Microsoft 365, conectando Purview con Microsoft Defender y Microsoft Sentinel para entregar visibilidad unificada desde un solo panel de control.
El objetivo no es añadir complejidad, sino que los controles que tu organización ya tiene pagados trabajen juntos de forma coherente.
En síntesis: por qué implementar Data Loss Prevention (DLP) es crítico para tu organización
La mayoría de las empresas que operan con Microsoft 365 ya tienen acceso a DLP. Sin embargo, requieren activarlo. La capacidad está en el tenant, las licencias la incluyen, y sin embargo los datos sensibles de tu organización siguen moviéndose sin controles configurados.
Diciembre de 2026 pone un plazo concreto a algo que muchos equipos de TI llevan años intentando priorizar sin éxito. La Ley 21.719 convierte en obligación legal lo que hasta ahora era una recomendación de buenas prácticas, y añade fiscalización, multas y exposición pública como consecuencias del incumplimiento. Eso cambia la conversación con el área financiera y con la dirección. Ya no se trata de gestionar un riesgo tecnológico, sino de cumplir una norma jurídica vigente.
Para las organizaciones que trabajan con XMS, esto forma parte de una estrategia de seguridad más amplia que conecta identidad, dispositivos, datos y cumplimiento normativo bajo un mismo marco. El punto de partida es entender qué políticas DLP tiene tu organización hoy, qué datos están clasificados y qué brechas existen frente a los requisitos de la Ley 21.719.
Si quieres hacer ese diagnóstico con el respaldo de un equipo especializado en el ecosistema Microsoft, conversa con nosotros.
Nota de Daniela Lalanne (Directora de Marketing XMS)
Da el siguiente paso con XMS
¿Sabes qué datos sensibles están saliendo de tu organización en este momento?
En XMS podemos ayudarte a identificar tus brechas de protección y diseñar una estrategia DLP con Microsoft Purview adaptada a tu realidad.
Preguntas frecuentes
No. Son capas distintas. El antivirus protege frente a malware, el firewall controla el tráfico de red, y DLP protege la información sensible específicamente. Su función es detectar qué datos se mueven, hacia dónde, y si eso está permitido por las políticas de tu organización.
Sí, con la configuración correcta. Microsoft Purview DLP, combinado con Edge for Business y políticas de red, puede bloquear la subida de contenido sensible a herramientas de IA no aprobadas, tanto en dispositivos administrados como no administrados.
Las capacidades básicas están disponibles desde M365 E3. Las capacidades avanzadas, incluyendo protección de endpoints y DLP para Copilot, requieren M365 E5 o el complemento Microsoft Purview Information Protection and Governance.
La ley exige implementar “medidas de seguridad adecuadas” para proteger datos personales, sin especificar tecnologías concretas. DLP es la herramienta más directa para demostrar ante un fiscalizador que esas medidas están activas, configuradas y auditables.
