Por qué tu DLP acaba apagado en el tercer mes

El patrón es tan constante que se le puede poner un recordatorio en el calendario. Mes uno: la política pasa a modo bloqueo porque el proyecto necesitaba una victoria visible. Mes dos: el equipo de finanzas no puede enviar el archivo que envía todos los meses. Mes tres: alguien con autoridad dice «apagadlo de momento», y nunca se vuelve a encender.

El exceso de bloqueo es el modo de fallo, no el defecto

Un DLP que se pierde una vía de exfiltración es un hueco. Un DLP que impide a un director comercial enviar un contrato legítimo es una caída, y las caídas se escalan. El segundo fallo hace que retiren el producto; el primero suele pasar desapercibido durante años. Cualquier plan de despliegue que no se tome en serio esa asimetría va a perder.

Nadie escala una detección perdida. Todo el mundo escala una factura bloqueada.

Observa primero, y en serio

Ejecuta el modo solo observación sobre un grupo representativo —no el departamento de informática, que no envía nada normal— el tiempo suficiente para ver un ciclo de negocio completo. El fin de mes no se parece a mitad de mes. El fin de trimestre es distinto otra vez. Si nunca has visto qué hace tu organización los tres últimos días de un trimestre, no estás listo para bloquear nada.

Después ajusta hasta que los falsos positivos sean raros, no hasta que estén explicados. «Es comportamiento esperado, el analista ya sabe que hay que ignorarlo» es como una cola se convierte en papel pintado.

Tres niveles, no un interruptor

• Bloquear lo genuinamente inequívoco: una hoja con números de tarjeta hacia un correo personal.
• Avisar y permitir lo ambiguo, con una justificación de una línea que escribe el usuario. Ahí vive la mayor parte de tu tráfico real, y esas justificaciones se convierten en tus datos de ajuste.
• Registrar en silencio todo lo demás, para conservar visibilidad sin fricción.

Construye el proceso de excepción antes de necesitarlo

La razón por la que finanzas escaló en el mes dos no es que les bloquearan. Es que el bloqueo les dejó sin ninguna salida salvo una llamada a alguien de arriba. Una excepción acotada en el tiempo, aprobada y auditada —solicitada en el momento, concedida en minutos, caducando sola— convierte una caída en una pequeña fricción, y te da el registro exacto de qué controles estorban al trabajo real.

Cada despliegue que hacemos entrega el flujo de excepciones antes de que ninguna política pase a bloqueo. No es un extra agradable. Es lo que determina si la plataforma seguirá funcionando el año que viene.