Tema 3 de 6
Etiquetas de confidencialidad y DLP
Una vez reconocidos los datos sensibles, hay que protegerlos. Las etiquetas de confidencialidad marcan y protegen el contenido allá donde vaya; DLP impide que salga por donde no debe. Son herramientas complementarias y el examen pide distinguir qué hace cada una.
Contenido
Etiquetas de confidencialidad
Una etiqueta es como un sello que se pega al contenido y viaja con él, aunque salga de la organización. Clasifica y, si se configura, protege.
Personalizables
Cada organización crea sus propias etiquetas y niveles: Personal, Público, General, Confidencial, Altamente confidencial…
Texto claro
La etiqueta se guarda en los metadatos sin cifrar, así que otras apps y servicios pueden leerla y actuar.
Persistentes
La etiqueta y su protección acompañan al archivo en cualquier ubicación: correo, USB, otra nube.
Una por elemento
Cada documento o correo admite una sola etiqueta de confidencialidad (aunque puede tener además una de retención).
Ámbitos de una etiqueta: archivos y otros activos de datos (por defecto), correos, reuniones, y grupos y sitios.
Qué puede hacer una etiqueta
Cifrar
Correos, convocatorias y documentos, definiendo qué usuarios o grupos pueden hacer qué (ver, editar, imprimir) y durante cuánto tiempo.
Marcar el contenido
Encabezados y pies en correos, convocatorias y documentos. Marcas de agua en documentos y Loop, pero no en correos ni convocatorias.
Etiquetado automático o recomendado
Según los tipos de información confidencial o clasificadores detectados.
Proteger contenedores
Teams, Grupos de Microsoft 365, sitios de SharePoint, comunidades de Viva Engage y áreas de Loop: privacidad, acceso de invitados y de dispositivos no administrados. No etiqueta los documentos que contienen.
Extender a apps de terceros
Con el SDK de Microsoft Information Protection.
Vínculo de uso compartido predeterminado
Fija el tipo de vínculo en sitios de SharePoint y documentos para evitar compartir de más.
Solo clasificar
Etiqueta sin protección, útil para saber qué hay y para informes.
Etiquetas y Copilot
Microsoft 365 Copilot respeta las etiquetas: comprueba los permisos del usuario antes de usar contenido cifrado, y lo que genera a partir de varios archivos hereda la etiqueta más restrictiva de las fuentes.
Cómo se aplican las etiquetas
| Forma | Quién decide | Ejemplo |
|---|---|---|
| Manual | El usuario elige la etiqueta | Marca un informe como Confidencial |
| Predeterminada | La política, como punto de partida | Todo documento nuevo empieza como General |
| Recomendada | El sistema sugiere; el usuario acepta o no | «Este documento contiene datos de tarjeta, ¿aplicar Confidencial?» |
| Automática | El sistema aplica la etiqueta solo | Al detectar números de pasaporte, aplica Altamente confidencial |
El etiquetado automático puede funcionar mientras el usuario trabaja en las apps de Office o como política de servicio sobre contenido ya guardado en SharePoint, OneDrive y Exchange.
Políticas de etiquetas
Crear una etiqueta no basta: hay que publicarla a usuarios o grupos con una política. La política decide:
- Quién ve las etiquetas en sus apps
- Una etiqueta predeterminada para correos y documentos nuevos (el usuario puede cambiarla)
- Exigir justificación para quitar una etiqueta o bajarla a una menos restrictiva
- Etiquetado obligatorio antes de guardar, enviar o crear sitios o grupos
- Un enlace a una página de ayuda propia que explique las etiquetas
Prevención de pérdida de datos (DLP)
La pérdida de datos no siempre es un ataque: a menudo es un empleado que envía un archivo al destinatario equivocado o sube datos de clientes a un servicio personal. Las políticas DLP identifican, supervisan y protegen elementos confidenciales en reposo, en tránsito y en uso, con análisis profundo de contenido, no una simple búsqueda de texto.
Ubicaciones
Teams, Exchange, SharePoint, OneDrive · apps de Office · endpoints con Windows 10/11 y macOS · apps en la nube de terceros · recursos compartidos y SharePoint locales · Fabric y Power BI · Microsoft Edge for Business
Anatomía de una política DLP
Qué supervisar: Una plantilla (por ejemplo, datos financieros de EE. UU. o GDPR) o una política personalizada.
Ámbito administrativo: Toda la organización o unidades administrativas concretas.
Ubicaciones: Dónde se aplica: correo, sitios, endpoints, apps de terceros…
Condiciones: Qué debe cumplir el contenido: contiene un SIT, una etiqueta, se comparte fuera de la organización…
Acciones: Qué ocurre cuando coincide.
Acciones de protección, de la más suave a la más dura
- Sugerencia de directiva (policy tip): un aviso al usuario en Outlook u otra app
- Bloquear con opción de anular dando una justificación
- Bloquear sin anulación
- Para datos en reposo: bloquear el acceso o mover el archivo a cuarentena
- En Teams: no mostrar el mensaje con información sensible a los destinatarios
Antes de activarla, una política se puede ejecutar en modo de simulación para ver cuántos elementos habría afectado sin molestar a nadie.
DLP para endpoints y alertas
DLP para endpoints extiende la protección a dispositivos con Windows 10/11 y macOS. Supervisa y puede bloquear acciones sobre archivos sensibles:
Copiar a USB
Copiar a recurso de red
Imprimir
Subir a la nube o pegar en el navegador
- Las actividades se registran en el registro de auditoría y en Activity explorer.
- Las alertas aparecen en el panel de alertas DLP de Purview y en el portal de Defender como incidentes.
- Security Copilot resume alertas y el Alert Triage Agent de DLP las prioriza según el riesgo del contenido, de exfiltración y de la política.
Protección en interacciones con IA
Los usuarios pegan datos en asistentes de IA. Purview aplica los mismos controles: los SIT detectan datos sensibles en prompts y respuestas de Microsoft 365 Copilot, y DLP para endpoints puede advertir o bloquear cuando alguien intenta pegar, por ejemplo, números de tarjeta en sitios de IA generativa de terceros. La actividad aparece en Activity explorer y en DSPM (gestión de la postura de seguridad de datos).
Etiquetas frente a DLP
| Etiqueta de confidencialidad | Política DLP | |
|---|---|---|
| Qué hace | Clasifica y protege el contenido (cifrado, marcas) | Controla lo que los usuarios hacen con el contenido |
| Dónde vive | En el propio archivo, viaja con él | En las ubicaciones donde se aplica la política |
| Ejemplo | Solo RR. HH. puede abrir este archivo | No se puede enviar este archivo fuera de la empresa |
Se combinan: una política DLP puede usar una etiqueta como condición («bloquear el envío externo de todo lo etiquetado como Confidencial»).
Escenarios de examen
| Situación | Respuesta | Por qué |
|---|---|---|
| Que un documento siga cifrado aunque se envíe fuera de la empresa | Etiqueta de confidencialidad con cifrado | La protección viaja con el archivo. |
| Que todos los documentos nuevos empiecen como «General» | Etiqueta predeterminada en la política | El usuario puede cambiarla. |
| Obligar a los usuarios a etiquetar antes de guardar | Etiquetado obligatorio | Configuración de la política de etiquetas. |
| Controlar quién puede acceder a un equipo de Teams privado | Etiqueta con ámbito de grupos y sitios | Protege el contenedor, no los archivos. |
| Avisar al usuario antes de enviar números de tarjeta por correo | Política DLP con sugerencia de directiva | Educa sin bloquear. |
| Impedir copiar archivos confidenciales a un USB | DLP para endpoints | Controla acciones en Windows y macOS. |
| Probar una política DLP sin afectar a los usuarios | Modo de simulación | Muestra qué habría pasado. |
| Impedir pegar datos sensibles en un chatbot de IA de terceros | DLP para endpoints (Edge, navegadores) | Advierte o bloquea la acción. |
Trampas frecuentes del examen
❓ ¿Se puede aplicar una marca de agua a un correo con una etiqueta?
No. Las marcas de agua van en documentos y Loop. En correos se usan encabezados y pies.
❓ ¿Una etiqueta aplicada a un sitio de SharePoint etiqueta todos sus documentos?
No. Protege el contenedor (acceso, privacidad, invitados); los documentos no se etiquetan por ello.
❓ ¿Un documento puede tener dos etiquetas de confidencialidad?
No. Una sola. Sí puede tener además una etiqueta de retención.
❓ ¿La etiqueta se pierde si el archivo sale de Microsoft 365?
No. Es persistente: va en los metadatos y su cifrado viaja con el archivo.
❓ Se crea una etiqueta pero los usuarios no la ven. ¿Qué falta?
Publicarla con una política de etiquetas.
❓ ¿DLP solo protege el correo?
No. También Teams, SharePoint, OneDrive, endpoints, apps de terceros, recursos locales, Power BI y Edge.
❓ ¿Una sugerencia de directiva bloquea el envío?
No. Solo avisa al usuario. El bloqueo es otra acción.
¿Entendiste este tema?
Pon a prueba lo que acabas de aprender
Una empresa quiere avisar a los usuarios cuando intenten enviar números de tarjeta por correo, pero dejarles continuar si dan una justificación. ¿Qué configura?
¿Listo para poner a prueba "Etiquetas de confidencialidad y DLP"?
Preguntas originales, cada una con su explicación.
Empezar un simulacro