Microsoft 365 / Cuándo usar políticas de retención y prevención de pérdida de datos (DLP)

Las políticas de retención de Microsoft 365 regulan cuánto tiempo se conserva el contenido y cuándo se elimina; las políticas de prevención de pérdida de datos (Data Loss Prevention, DLP) detectan y restringen el uso compartido o la transmisión inapropiada de información sensible. Ambas protegen los datos, pero responden a preguntas diferentes. Determine por separado cuánto tiempo debe conservarse el contenido y dónde puede compartirse o enviarse.

Diferencias entre la retención y DLP

Consulte la guía de Microsoft sobre directivas y etiquetas de retención para los requisitos del ciclo de vida del contenido y la introducción a la prevención de pérdida de datos para los controles de información sensible. Las ubicaciones y condiciones compatibles dependen de la licencia y del tipo de directiva.

Por ejemplo, si desea conservar materiales de contratos durante un período definido por su organización mientras se evita que se compartan externamente, puede ser necesario usar tanto la retención como DLP. Aplicar solo la retención no impide la transmisión externa, y aplicar solo DLP no garantiza que los documentos eliminados por los usuarios se conserven durante el período requerido.

¿Cuándo es necesaria una política de retención?

Se considera cuando los documentos del contrato o los registros de trabajo deben mantenerse durante un período específico, o cuando los datos innecesarios deben eliminarse después de cierto tiempo. Primero, determine el propósito de la retención, dónde se aplicará (Exchange, SharePoint, OneDrive, etc.), el momento de inicio, las excepciones y los requisitos legales de retención. Cuando se habilita una política de retención, la forma en que se manejan las copias de retención internas puede diferir incluso si los usuarios eliminan archivos de su vista. No debe entenderse simplemente como una “función de usar la papelera de reciclaje por más tiempo.”

Para aplicar un período común en todo un sitio, utilice una política de retención; si el período o la clasificación difieren para cada documento, revise las etiquetas de retención a nivel de elemento. Las etiquetas no son solo nombres de visualización simples, sino configuraciones que se vinculan a acciones de retención. Solo tener una etiqueta de confidencialidad en un documento no significa que también se aplique una etiqueta de retención.

La retención es diferente de una copia de seguridad operativa. Una copia retenida no proporciona una restauración inmediata de la estructura de carpetas de un usuario en un momento específico. Revise cómo funciona la retención en SharePoint y OneDrive. La biblioteca del sistema Preservation Hold es una ubicación de sistema oculta para contenido retenido, no una carpeta ordinaria para editar o limpiar manualmente. Cuenta para la cuota de almacenamiento del sitio, por lo que debe planificar tanto la duración de la retención como la capacidad de almacenamiento.

¿Cuándo se necesita DLP?

Se considera cuando desea reducir el riesgo de que información sensible como números de identificación nacional, información de pago y datos confidenciales internos salga de la organización a través del correo electrónico o el intercambio de archivos. Debe probar si las condiciones de detección distinguen con precisión los datos reales. Las condiciones que son demasiado amplias pueden bloquear el negocio normal, mientras que las condiciones que son demasiado estrechas pueden pasar por alto fugas importantes. Necesita diseñar sugerencias de políticas, alertas y procedimientos de aprobación de excepciones para la operación.

Decida lo que necesita antes del despliegue

1. Verifique los datos que deben protegerse y las leyes y contratos aplicables. Los períodos de retención legal no se definen arbitrariamente en este documento.
2. Distinga si la pregunta a resolver está relacionada con la retención o con DLP. Si se requieren ambos, revise sus interacciones.
3. Verifique las licencias disponibles y las ubicaciones actualmente soportadas de Microsoft Purview.
4. Revise los resultados de las políticas y los falsos positivos en un pequeño número de usuarios o en un alcance de prueba, y obtener retroalimentación del personal de negocios, seguridad y legal.
5. Prepare registros de cambios, notificaciones, excepciones y procedimientos de reversión antes del despliegue completo.

Configurar un piloto de retención

En Microsoft Purview, abra Soluciones → Administración del ciclo de vida de los datos → Directivas → Directivas de retención y seleccione Nueva directiva de retención. Confirme que los usuarios afectados tengan las licencias necesarias y que el administrador tenga permisos adecuados, como el rol Retention Management (administración de la retención) descrito en la guía de configuración de la gestión del ciclo de vida de los datos de Microsoft. Verifique el alcance administrativo para las ubicaciones elegidas. Use una ubicación de prueba dedicada que no contenga datos importantes de producción; no pruebe la eliminación con registros comerciales en vivo.

1. Documente el propósito de la retención, el tipo de datos, el período de retención, la justificación y las personas responsables. El período debe utilizar los estándares organizacionales confirmados por el personal de negocio y legal.
2. Elija un ámbito Estática para una lista fija de ubicaciones o un ámbito Adaptable para la selección basada en atributos. Los ámbitos adaptativos ya deben existir y cumplir con los requisitos aplicables de funciones y licencias. Elija según el ámbito preparado y las necesidades del piloto; no seleccione Adaptable automáticamente solo porque esté disponible.
3. Determine las ubicaciones de almacenamiento reales, como Exchange, SharePoint, OneDrive y grupos de Microsoft 365, e incluya únicamente los objetivos de prueba necesarios. Siempre verifique si el valor predeterminado está establecido en todos los objetivos.
4. Elija el comportamiento de solo conservar, solo eliminar o conservar y luego eliminar, y la regla de inicio de período aplicable. Para archivos de SharePoint y OneDrive, verifique si la antigüedad se mide desde la creación o la última modificación; no necesariamente se mide desde el día en que crea la política. Los archivos existentes pueden ya ser más antiguos que el período configurado. Confirme cuidadosamente la acción final si su propósito es la preservación continua en lugar de la eliminación permanente.
5. Revise las ubicaciones, los destinatarios o sitios incluidos, la duración, la regla de inicio y la acción final, luego confirme solo la configuración aprobada. Verifique la configuración guardada y el estado de implementación antes de evaluar los datos de prueba. Registre el resultado esperado y los tiempos reales de implementación y observación.

Los mensajes de Teams y los archivos de canal se almacenan en ubicaciones diferentes. Una directiva de retención de mensajes no conserva automáticamente todos los archivos conectados de SharePoint o OneDrive. Cuando se aplican varias directivas o etiquetas, no suponga que solo la más reciente determina el resultado. Revise los requisitos de ubicación y los principios de retención enlazados en la guía de Microsoft para crear directivas de retención. La simulación de DLP no simula la retención ni la eliminación: pruebe la retención por separado con contenido aislado y las condiciones de implementación correspondientes.

Cómo probar DLP a pequeña escala

Considere este requisito hipotético: detectar el uso compartido externo de documentos de prueba sensibles y bloquear el acceso externo después de la validación. Utilice datos sintéticos aprobados en lugar de información personal real. Confirme los permisos de administración necesarios en la referencia de permisos y configuración de directivas DLP de Microsoft; los permisos de administración de la retención no conceden por sí solos acceso a DLP. Si utiliza una etiqueta de confidencialidad como condición, debe estar creada, publicada y aplicada al archivo de prueba.

1. Abra Prevención de pérdida de datos → Directivas → Crear directiva → Aplicaciones empresariales & dispositivos. Para este escenario personalizado de SharePoint y OneDrive, elija Personalizado en las categorías de plantillas y regulaciones, luego nombre y describa la política. Mantenga desactivada la aplicación efectiva de las reglas de este piloto mientras lo configura.
2. Incluya solo los sitios de SharePoint piloto y las cuentas de OneDrive y excluya ubicaciones y destinatarios no relacionados. En Definir configuración de la política, elija Crear o personalizar reglas DLP avanzadas, luego seleccione Crear regla. Establezca el tipo de información confidencial prevista o la etiqueta de confidencialidad preparada y también requiera el uso compartido externo. En el ejemplo basado en etiquetas, combine El contenido contiene la etiqueta seleccionada con El contenido se comparte desde Microsoft 365 → con personas fuera de mi organización; verifique que ambas condiciones deban cumplirse.
3. Para este ejemplo, configure Restringir el acceso o cifrar el contenido en ubicaciones de Microsoft 365 → Bloquear solo a personas fuera de su organización. Decida las sugerencias de política y las alertas de administrador por separado. Deje Invalidaciones de usuario deshabilitadas para que los usuarios no puedan omitir el bloqueo de acceso externo de este piloto. Una notificación por sí sola no es un bloqueo.
4. En Modo de directiva, seleccione Ejecutar la directiva en modo de simulación. Elija si desea habilitar Mostrar sugerencias de directiva mientras está en modo de simulación, luego seleccione Siguiente → Enviar. La simulación no aplica los bloqueos configurados.
5. Verifique los archivos de prueba que cumplan con las condiciones y los archivos que no, dividiéndolos en casos de uso compartido interno y externo. Después de revisar coincidencias, notificaciones, falsos positivos y los impactos reales en el negocio, cambie al modo de aplicación dentro del alcance aprobado.

El resultado esperado es detectar el uso compartido externo del documento de prueba sensible sin restringir innecesariamente documentos que no cumplan las condiciones. La simulación no demuestra que el acceso esté bloqueado. Después de activar la aplicación de las reglas del piloto aprobado, compruebe que la cuenta externa de prueba no pueda acceder y que la cuenta interna conserve el acceso previsto. La cuenta externa debe tener un permiso de uso compartido válido para distinguir un bloqueo DLP de la ausencia de permisos. Compare los resultados con el ejemplo de configuración DLP para SharePoint y OneDrive de Microsoft; el número de alertas por sí solo no demuestra el éxito de la prueba.

Cambie o revierta la configuración con cuidado

Si los resultados de la prueba DLP difieren, comience por verificar el objetivo, la clasificación real del archivo, las condiciones y el modo. Si la retención difiere de las expectativas, investigue otras políticas de retención, etiquetas, suspensiones de eliminación por eDiscovery o motivos legales, y el estado de implementación. En lugar de simplemente eliminar la política para ocultar el problema, registre la configuración que lo causó y modifíquela dentro del alcance necesario.

Eliminar una directiva no restaura el contenido eliminado permanentemente ni garantiza recuperar de inmediato el acceso bloqueado. Otras directivas, suspensiones de eliminación, permisos de uso compartido y tiempos de implementación pueden seguir condicionando el resultado. Conserve la configuración anterior, el alcance del piloto y las observaciones antes de modificarlo. No reduzca los períodos de retención obligatorios ni levante suspensiones de eliminación legales o de eDiscovery sin una decisión aprobada por la organización y un plan de recuperación.