Presentado por Capital One
La seguridad de los datos sigue siendo uno de los ámbitos menos maduros de la ciberseguridad empresarial. Según IBM, el 35% de las infracciones en 2025 involucraron fuentes de datos no administradas o «datos ocultos». Esto revela una falta sistémica de conocimiento de los datos básicos. No es por falta de herramientas o inversión. Esto se debe a que muchas organizaciones todavía luchan con las preguntas más fundamentales: ¿Qué datos tenemos? ¿Dónde vive? ¿Cómo se mueve? ¿Y quién es el responsable de ello?
En un ecosistema cada vez más complejo de fuentes de datos, plataformas en la nube, aplicaciones SaaS, API y modelos de IA, esas preguntas son cada vez más difíciles de responder. Cerrar la brecha de madurez en la seguridad de los datos exige un cambio cultural en el que la seguridad ya no se trate como una ocurrencia tardía. En cambio, la protección está integrada a lo largo de todo el ciclo de vida de los datos, basada en un inventario sólido, una clasificación clara y mecanismos escalables que traducen las políticas en barreras de seguridad automatizadas.
La visibilidad como base
La barrera más persistente para la madurez de la seguridad de los datos es la visibilidad básica. Las organizaciones a menudo se centran en la cantidad de datos que poseen, pero no en de qué están compuestos. ¿Contiene información de identificación personal (PII)? ¿Datos financieros? ¿Información de salud? ¿Propiedad intelectual? Sin este nivel de comprensión e inventario, es mucho más difícil implementar una protección significativa.
Sin embargo, esto se puede evitar priorizando las capacidades empresariales que puedan detectar datos confidenciales a escala en una huella grande y variada. La detección debe ir acompañada de acción, eliminando datos donde ya no son necesarios y protegiéndolos donde están alineando la aplicación de la ley con una política bien definida.
Las organizaciones maduras deberían empezar por tratar la seguridad de los datos como un problema de “comprender su entorno”. Mantenga un inventario, clasifique lo que hay en el ecosistema y alinee las protecciones con la clasificación en lugar de depender únicamente de controles perimetrales o soluciones puntuales a escala.
Proteger datos caóticos
Una de las razones por las que la seguridad de los datos se ha quedado atrás con respecto a otros dominios de seguridad es que los datos en sí son inherentemente caóticos. A diferencia de la seguridad perimetral, que se basa en puertos explícitos y límites definidos, los datos son en gran medida impredecibles. Es decir, la misma información subyacente puede aparecer en formatos muy diferentes: bases de datos estructuradas, documentos no estructurados, transcripciones de chat o canales de análisis. Cada uno puede tener codificaciones o transformaciones ligeramente diferentes que introducen cambios imprevistos y, a menudo, no detectados en los datos mismos.
El comportamiento humano agrava el desafío, con diferentes acciones que introducen riesgos en formas que los controles perimetrales simplemente no pueden anticipar. Esto podría ser cualquier cosa, desde un número de tarjeta de crédito copiado en un campo de comentarios de formato libre, una hoja de cálculo enviada por correo electrónico fuera de su público objetivo o un conjunto de datos reutilizado para un nuevo flujo de trabajo.
Cuando la protección se incorpora al final de un flujo de trabajo, las organizaciones crean puntos ciegos. Dependen de controles posteriores para detectar fallas de diseño anteriores. Con el tiempo, la complejidad se acumula y el riesgo de exposición se convierte en una cuestión de cuándo, no de si sucederá.
Un modelo más resistente supone que los datos confidenciales aparecerán en lugares y formatos inesperados, por lo que la protección está integrada desde el momento en que se capturan los datos. La defensa en profundidad se convierte en un principio de diseño: segmentación, cifrado en reposo y en tránsito, tokenización y controles de acceso por capas.
Fundamentalmente, estas salvaguardas acompañan el ciclo de vida de los datos, desde la ingesta hasta el procesamiento, el análisis y la publicación. En lugar de modernizar los controles, las organizaciones diseñan para el caos. Aceptan la variabilidad como un hecho y construyen sistemas que permanecen seguros incluso cuando los datos difieren de las expectativas.
Ampliar la gobernanza con la automatización
La seguridad de los datos se vuelve operativamente sostenible cuando la gobernanza se aplica a través de la automatización desde su génesis. Cuando se combina con expectativas claras para crear contextos acotados, los equipos entienden qué está permitido, bajo qué condiciones y con qué protecciones los datos se pueden utilizar de manera efectiva.
Esto importa más que nunca hoy. Los sistemas de IA a menudo requieren acceso a enormes volúmenes de datos en todos los dominios. Esto hace que la implementación de políticas sea particularmente desafiante. Para hacerlo de manera efectiva y segura se requiere una comprensión profunda, políticas de gobernanza sólidas y protección automatizada.
Las técnicas de seguridad, como los datos sintéticos y el reemplazo de tokens, permiten a las organizaciones preservar el contexto analítico y, al mismo tiempo, dificultan la lectura de los valores confidenciales. Los patrones de políticas como código, las API y la automatización pueden manejar la tokenización, la eliminación, las restricciones de retención y los controles de acceso dinámico. Con barreras de seguridad integradas en las plataformas que utilizan, los ingenieros pueden centrarse más en innovar con datos y mejorar los resultados comerciales de forma segura.
Los sistemas de IA también deben operar dentro de las mismas expectativas de gobernanza y monitoreo que los flujos de trabajo humanos. Los permisos, la telemetría y los controles sobre a qué pueden acceder los modelos, junto con la información que pueden publicar, son esenciales. La gobernanza siempre introducirá cierto grado de fricción. El objetivo es hacer que esa fricción sea bien entendida, navegable y cada vez más automatizada. Confirmar el propósito, registrar un caso de uso y proporcionar acceso dinámicamente según la función y la necesidad deben ser procesos claros y repetibles.
A escala empresarial, esto requiere capacidades centralizadas que implementen políticas de seguridad cibernética en el dominio de los datos. Esto incluye motores de detección y clasificación, servicios de tokenización y detokenización, cumplimiento de la retención y mecanismos de propiedad y taxonomía que incorporan en cascada las expectativas de gestión de riesgos en la ejecución diaria.
Cuando se hace bien, la gobernanza se convierte en una capa de habilitación en lugar de un cuello de botella. Los metadatos y la clasificación impulsan las decisiones de protección automáticamente y al mismo tiempo aceleran el descubrimiento y el uso del negocio. Los datos están protegidos durante todo su ciclo de vida mediante sólidas defensas como la tokenización y se eliminan cuando lo exige la normativa o la política interna. No debería ser necesario que los equipos «toquen los datos» manualmente para cada decisión de control, con políticas aplicadas por diseño.
Construyendo para el futuro
En pocas palabras, cerrar la brecha de madurez en la seguridad de los datos se trata menos de adoptar una única tecnología innovadora y más de disciplina operativa. Construye el mapa. Clasifica lo que tienes. Incorpore protección en los flujos de trabajo para que la seguridad sea repetible a escala.
Para los líderes empresariales que buscan un progreso mensurable durante los próximos 18 a 24 meses, destacan tres prioridades.
En primer lugar, establecer un inventario sólido y un mapa rico en metadatos del ecosistema de datos. La visibilidad no es negociable. En segundo lugar, implementar una clasificación vinculada a expectativas políticas claras y viables. Deje en claro qué protecciones exige cada categoría. Y, por último, invierta en esquemas de protección automatizados y escalables que se integren directamente en los flujos de trabajo de datos y desarrollo.
Cuando la protección pasa de controles reactivos incorporados a barreras de seguridad proactivas integradas, el cumplimiento se vuelve más simple, la gobernanza se fortalece y la preparación para la IA se vuelve alcanzable, sin comprometer el rigor.
Más información cómo Perno de datos de Capital Onela solución de seguridad de datos empresariales de Capital One Software, puede ayudar a que su empresa esté preparada para la IA al proteger los datos confidenciales a escala.
Andrew Seaton es vicepresidente de ingeniería de datos: detección y protección de datos empresariales de Capital One.
Los artículos patrocinados son contenido producido por una empresa que paga por la publicación o tiene una relación comercial con VentureBeat, y siempre están claramente marcados. Para más información, póngase en contacto ventas@venturebeat.com.
Suscríbete y recibe las historias más importantes del día.
Al suscribirte aceptas nuestros términos y condiciones y política de privacidad.
