Cuatro siglas de seguridad de datos responden a cuatro preguntas distintas. Explicamos qué hacen DLP, DSPM, SSPM y CASB, dónde se solapan y en qué orden implantarlos, en una sola tabla.
Conclusiones clave
DSPM responde “¿dónde están nuestros datos sensibles?”. DLP responde “¿están saliendo estos datos?”. SSPM responde “¿es segura la configuración de nuestras aplicaciones SaaS?”. CASB responde “¿a qué aplicaciones en la nube envían datos los empleados?”. Ninguna sustituye a otra.
- DSPM encuentra y clasifica datos. DLP bloquea la salida según esa clasificación.
- SSPM revisa la configuración de la aplicación. CASB revisa el tráfico hacia la aplicación.
- El DLP en el endpoint cubre parte del trabajo de CASB (subidas a la nube).
- Para la mayoría de las empresas el orden es: descubrir con DSPM, proteger con DLP, corregir la nube con SSPM.
¿Por qué hay tantas siglas?
Los datos ya no están en un solo lugar. Una lista de clientes empieza en un servidor de archivos, llega a un portátil, sale por correo, se sube a OneDrive y a veces se pega en una herramienta de IA. Cada parada tiene su propio riesgo, y el mercado creó una categoría para cada una.
Estas categorías se confunden a menudo al comprar. Un proveedor dice “DLP” pero solo mira el correo. Otro dice “SSPM” pero vende un CASB. Este artículo muestra qué pregunta responde cada categoría.
Comparación en una tabla
| Categoría | Pregunta que responde | Dónde funciona | Resultado típico |
|---|---|---|---|
| DLP | ¿Salen datos sensibles sin permiso? | Endpoint, correo, web, nube | Bloqueo, aviso, registro de incidentes |
| DSPM | ¿Dónde están los datos sensibles y quién accede? | Servidor de archivos, endpoint, base de datos, almacenamiento en la nube | Inventario de datos, puntuación de riesgo |
| SSPM | ¿Es segura nuestra configuración SaaS? | SaaS como Microsoft 365, Google Workspace, Salesforce | Lista de errores de configuración y permisos OAuth |
| CASB | ¿Qué envía el usuario a qué aplicación en la nube? | Tráfico o API entre usuario y nube | Descubrimiento de apps, control de acceso y subidas |
DLP: Detener la salida de datos
DLP (Data Loss Prevention) controla la salida de datos sensibles con políticas. Los canales incluyen USB, adjuntos de correo, subidas a la nube, portapapeles e impresoras. Las políticas miran el contenido (DNI, IBAN, código fuente) o las etiquetas.
El punto débil de DLP: necesita saber qué proteger. Si los datos no están clasificados, las políticas son demasiado amplias y frenan el trabajo, o demasiado estrechas y no detectan fugas.
DSPM: Encontrar primero los datos
DSPM (Data Security Posture Management) descubre dónde están los datos sensibles. Analiza recursos compartidos, endpoints y almacenes de datos, clasifica cada archivo y muestra permisos excesivos.
DSPM no bloquea la salida. Su trabajo es dibujar el mapa. Ese mapa sirve para escribir políticas DLP correctas y validar el inventario de datos del RGPD.
SSPM: Revisar la configuración de las aplicaciones en la nube
SSPM (SaaS Security Posture Management) revisa la configuración SaaS. Hallazgos típicos: enlaces públicos, autenticación débil, cuentas de administrador sobrantes y permisos OAuth de riesgo.
SSPM no mira el tráfico. Se conecta a la API de administración y lee la configuración. El proyecto SCuBA de CISA publica líneas base de configuración segura de este tipo para Microsoft 365 y Google Workspace.
CASB: Controlar el tráfico hacia la nube
Un CASB (Cloud Access Security Broker) se sitúa entre los usuarios y los servicios en la nube. Gartner lo define como un punto de aplicación de políticas entre consumidores y proveedores de nube. Muestra qué aplicaciones se usan y restringe el acceso o las subidas a las no aprobadas.
Hoy CASB se vende a menudo dentro de un paquete SSE (Security Service Edge). Revise su contrato de seguridad de red antes de comprarlo por separado.
¿Dónde se solapan?
- DLP y CASB: Ambos pueden bloquear subidas a la nube. El DLP en el endpoint lo hace en el equipo; CASB, en el tráfico.
- SSPM y CASB: Ambos ven el uso de SaaS. SSPM revisa la configuración; CASB, la actividad del usuario.
- DSPM y DLP: La clasificación de DSPM alimenta las políticas DLP. Si un solo agente hace ambas cosas, desaparece el trabajo de integración.
¿En qué orden implantarlos?
Cada empresa tiene prioridades distintas. Para una empresa mediana, este orden suele dar el resultado más rápido.
- 1. Descubrir con DSPM: Localice los datos personales y confidenciales. Valide su inventario de datos.
- 2. Proteger con DLP: Active primero los canales de mayor riesgo (USB, nube personal, herramientas de IA) en modo supervisión y luego en modo bloqueo.
- 3. Corregir la nube con SSPM: Cierre enlaces públicos y permisos OAuth de riesgo en Microsoft 365 y Google Workspace.
- 4. Evaluar la necesidad de CASB: Si DLP en el endpoint y SSPM cierran la mayoría de huecos, puede que no necesite un CASB aparte.
¿Cómo cubre Moftgate estas categorías?
Moftgate ejecuta DLP y DSPM en el endpoint con el mismo agente. El módulo SSPM revisa configuraciones de riesgo y permisos OAuth en aplicaciones SaaS. Los datos y registros se quedan en sus propios servidores. Los primeros 200 endpoints son gratuitos el primer año, así que puede empezar el descubrimiento sin coste.
Conclusión estratégica
Compre la pregunta, no la sigla. Primero responda “¿qué datos están dónde y hacia dónde van?”. Después empiece con el menor número de herramientas que respondan a esa pregunta.
Investigadores e ingenieros de seguridad de Moftgate Threat Labs especializados en prevención de fugas de datos (DLP), protección de endpoints y soberanía de datos on-premises.
Respuestas de expertos a las preguntas clave de profesionales
¿Qué diferencia hay entre DLP y DSPM?
DSPM encuentra y clasifica dónde están los datos sensibles. DLP impide que esos datos salgan sin permiso. DSPM dibuja el mapa; DLP vigila la puerta.
¿SSPM y CASB son lo mismo?
No. SSPM revisa la configuración de la aplicación SaaS mediante su API. CASB controla el acceso de los usuarios y las subidas de datos a la nube.
¿Necesito un CASB si tengo DLP en el endpoint?
No siempre. El DLP en el endpoint puede bloquear subidas desde equipos gestionados. Si muchos usuarios acceden desde equipos no gestionados, un CASB aporta valor.
¿Con cuál empiezo para cumplir el RGPD?
Empiece con DSPM. El RGPD exige saber dónde se tratan los datos personales. Sin inventario, las políticas DLP quedan incompletas.
¿Cada herramienta necesita su propio agente?
Depende del proveedor. En Moftgate, DLP, DSPM y la gestión de endpoints funcionan con un solo agente. SSPM no necesita agente y se conecta a la API del SaaS.
Fuentes autorizadas y estándares regulatorios
- •Gartner Glossary: Cloud Access Security Brokers (CASBs) ↗(Definición de CASB de Gartner.)
- •CISA: Secure Cloud Business Applications (SCuBA) Project ↗(Líneas base de configuración segura de CISA para SaaS. Coinciden con los controles SSPM.)
- •NIST SP 800-53 Rev. 5: Security and Privacy Controls ↗(Catálogo de referencia de controles de flujo de datos y configuración.)
- •6698 sayılı Kişisel Verilerin Korunması Kanunu ↗(Ley turca de protección de datos, deber de seguridad (art. 12).)