Cómo evitar fugas de datos con Microsoft Purview: DLP y clasificación automática

Imagina que un empleado envía por error un Excel con datos de nóminas a un proveedor externo. O que un comercial comparte un documento con información estratégica de precios a través de su cuenta personal de correo. O que alguien sube un contrato confidencial a un servicio de almacenamiento no autorizado. Ninguno de estos escenarios implica un atacante externo, pero todos pueden tener consecuencias graves: sanciones por RGPD, pérdida de ventaja competitiva o daño reputacional.

Microsoft Purview existe para prevenir exactamente estas situaciones.

¿Qué es Microsoft Purview?

Purview es la familia de soluciones de Microsoft para gobernanza de datos, protección de información y cumplimiento normativo. Dentro de Microsoft 365, las dos capacidades más relevantes para la seguridad son la clasificación automática de información (Information Protection) y la prevención de pérdida de datos (DLP, Data Loss Prevention).

Microsoft ha ampliado significativamente Purview en los últimos meses. En su informe SFI de noviembre de 2025, la compañía anunció DSPM (Data Security Posture Management) para IA, una capacidad que ayuda a securizar los datos utilizados por aplicaciones de IA, incluyendo Copilots y agentes autónomos.

Referencia: Microsoft Trust Center, "SFI Progress Report November 2025".

Clasificación automática: saber qué datos tienes

No puedes proteger lo que no conoces. Purview utiliza más de 300 tipos de información sensible predefinidos (números de DNI, tarjetas de crédito, IBAN, datos médicos, etc.) y permite crear clasificadores personalizados. La clasificación puede ser automática (Purview analiza el contenido y aplica la etiqueta) o recomendada (sugiere la etiqueta al usuario y este la confirma).

Las etiquetas de sensibilidad (sensitivity labels) no solo clasifican: también aplican protección. Un documento etiquetado como "Confidencial" puede llevar cifrado obligatorio, marca de agua visible e restricciones de compartición, todo de forma automática y transparente para el usuario.

Ejemplo práctico

Un empleado crea un documento en Word que contiene números de DNI de clientes. Purview lo detecta automáticamente, aplica la etiqueta "Datos Personales - Confidencial" y cifra el documento. Si el empleado intenta compartirlo fuera de la organización, recibe un aviso y la acción se bloquea o se registra para auditoría.

DLP: prevenir la fuga antes de que ocurra

Las políticas DLP de Purview monitorizan el flujo de información sensible en todos los canales: correo electrónico (Exchange), archivos en la nube (SharePoint, OneDrive), mensajería (Teams), dispositivos (endpoints via Intune) y aplicaciones de terceros (cloud apps via Defender for Cloud Apps).

Una política DLP típica define qué tipo de información vigilar (por ejemplo, números de tarjeta de crédito), en qué canales (correo + Teams + SharePoint), qué acción tomar cuando se detecta un intento de envío externo (bloquear, advertir o registrar) y a quién notificar (usuario, su manager, equipo de cumplimiento).

El enfoque correcto: empezar en modo auditoría

Un error frecuente es activar políticas DLP en modo bloqueo desde el primer día. Esto genera frustración en los usuarios y falsos positivos. El enfoque recomendado es empezar en modo auditoría durante 2-4 semanas para entender los patrones reales de flujo de datos, afinar las reglas para reducir falsos positivos, comunicar a los empleados qué se va a proteger y por qué, y luego activar gradualmente las acciones de bloqueo empezando por los datos más críticos.

Purview y el cumplimiento normativo

Para empresas europeas, Purview es una herramienta fundamental para cumplir el RGPD. Permite demostrar que los datos personales están identificados y clasificados, que existen controles técnicos para evitar su divulgación no autorizada, que hay un registro de auditoría de quién accedió a qué datos y cuándo, y que se pueden responder solicitudes de derechos ARCO (acceso, rectificación, cancelación, oposición) de forma eficiente.

El Compliance Manager de Purview proporciona una puntuación de cumplimiento continua y recomendaciones priorizadas para mejorarla, cubriendo no solo RGPD sino también ENS, ISO 27001 y otras normativas.

Purview + Intune + Defender: protección de extremo a extremo

Purview no actúa solo. Cuando se combina con Intune (que controla qué dispositivos pueden acceder a los datos) y Defender (que detecta comportamientos anómalos en tiempo real), se crea un ecosistema donde la protección de datos es continua e integrada.

Joey D'Antoni describió esta integración en el Microsoft Intune Deep Dive Summit de enero de 2026 como un enfoque Zero Trust por capas en el que las decisiones de identidad, la confianza en dispositivos y la protección de datos trabajan juntas a través de Microsoft Entra, Intune y Purview.

Referencia: Virtualization Review, "Cloud Expert Maps Intune, Entra and Purview to a Layered Zero Trust Model" (enero 2026).

Conclusión

La protección de datos no es solo una cuestión de cumplimiento: es una cuestión de supervivencia empresarial. Microsoft Purview transforma la protección de información de un proyecto puntual en un proceso continuo y automatizado. Combinado con Intune y Defender dentro de una arquitectura Zero Trust, consigue que los datos sensibles viajen cifrados o simplemente no salgan de la organización, incluso cuando el usuario comete un error.

Referencias

• Microsoft Trust Center, "SFI Progress Report November 2025"
• Virtualization Review, "Cloud Expert Maps Intune, Entra and Purview to a Layered Zero Trust Model" (enero 2026)
• Microsoft, "Microsoft Purview Data Loss Prevention" — learn.microsoft.com
• Microsoft Security Blog, "Microsoft Data Security Index 2026" (febrero 2026)