Por qué las directivas DLP de Power Platform no son controles de seguridad tradicionales

By Mirko Peters · 2026-08-12

Descubre en qué se diferencian las directivas DLP de Power Platform de la seguridad tradicional, cómo combinarlas con los entornos y las mejores prácticas para la gobernanza de bajo código.

Automatically translated with AI from the original post. Read the English original

Las directivas de prevención de pérdida de datos (DLP) de Power Platform funcionan de forma fundamentalmente distinta a las funciones de seguridad estándar de Microsoft 365. En lugar de restringir el acceso general de los usuarios o cifrar archivos, las directivas DLP de Power Platform controlan específicamente cómo pueden combinarse los conectores de bajo código individuales dentro de los entornos para evitar la fuga de datos.

Puntos clave

• Las directivas DLP de Power Platform regulan principalmente la interacción entre conectores, y no los permisos de usuario tradicionales ni el cifrado a nivel de archivo.
• Los conectores se dividen en grupos de datos de negocio y de no negocio, y restringen qué servicios pueden compartir datos dentro de la misma aplicación o flujo.
• La arquitectura de entornos debe diseñarse en paralelo con las directivas DLP para lograr una gobernanza eficaz en toda la empresa.
• Activar una única directiva DLP para todo el inquilino no basta para una seguridad completa; se necesitan estrategias granulares específicas por entorno.
• Conviene revisar siempre la configuración predeterminada en el Centro de administración de Power Platform para evitar la exposición accidental de datos empresariales.

Comprender los fundamentos de DLP en Power Platform

Cuando los administradores de TI se encuentran por primera vez con los marcos de seguridad de Microsoft 365, suelen suponer que las herramientas de prevención de pérdida de datos (DLP) se comportan de la misma forma en todas las cargas de trabajo. Ya se trate de Exchange, SharePoint u OneDrive, la DLP tradicional está diseñada para detectar información sensible, como números de tarjetas de crédito o información de identificación personal (PII), y bloquear su transmisión o uso compartido.

Sin embargo, la DLP de Power Platform funciona con un paradigma operativo completamente distinto. Como explicamos en nuestro análisis en profundidad, estas directivas no analizan en tiempo real el contenido de cada aplicación de bajo código o flujo de nube en busca de cadenas de datos sensibles. En cambio, actúan como barreras arquitectónicas que determinan qué servicios pueden comunicarse entre sí. Al clasificar los conectores en grupos específicos (tradicionalmente denominados grupo de datos de negocio y grupo de datos de no negocio, además de una categoría bloqueada), los administradores controlan las vías de comunicación disponibles para los desarrolladores ciudadanos.

Cómo interactúan los conectores dentro de las soluciones

El riesgo principal del desarrollo ciudadano no es que alguien cree una aplicación de Power Apps o un flujo de Power Automate independiente, sino que un único flujo de trabajo conecte un sistema corporativo seguro con un servicio público no evaluado. Por ejemplo, un creador podría diseñar sin querer un flujo que extraiga registros financieros de una base de datos SQL interna y los exporte a un proveedor de almacenamiento en la nube de consumo o a un canal de redes sociales público.

Las directivas DLP de Power Platform evitan esto imponiendo límites entre tipos de conectores. Si un conector está asignado al grupo de datos de negocio, no puede intercambiar datos con ningún conector ubicado en el grupo de no negocio dentro de la misma aplicación o flujo. Esta limitación estructural impide la mezcla no autorizada de datos sin que los profesionales de TI tengan que revisar manualmente cada línea de lógica de bajo código.

Combinar las directivas DLP con la arquitectura de entornos

Un error habitual entre los nuevos administradores de plataforma es depender únicamente de una única directiva de DLP para todo el inquilino a la hora de gestionar la seguridad. Como las organizaciones abarcan unidades operativas muy diversas, desde zonas de pruebas experimentales hasta entornos de producción de misión crítica, un enfoque único para todos inevitablemente falla.

Un gobierno eficaz exige alinear las directivas de DLP directamente con la estrategia de entornos de tu organización. Por ejemplo:

• Entornos predeterminados: Deberían tener directivas de DLP estrictas y muy restrictivas, porque en ellos cada usuario del inquilino suele tener por defecto acceso de creador.
• Entornos de pruebas: Pensados para experimentar y aprender, pueden permitir un acceso más amplio a los conectores, aunque siguen bloqueando las integraciones externas de alto riesgo.
• Entornos de producción: Bloqueados con agrupaciones de conectores granulares y específicas para cada negocio, para proteger las bases de datos empresariales y sistemas operativos centrales como SAP o Dynamics 365.

Sin una arquitectura de entornos intencionada, las directivas de inquilino completo acaban siendo demasiado restrictivas, bloqueando proyectos de productividad cotidianos, o demasiado permisivas, dejando los datos empresariales críticos expuestos al shadow IT.

Ideas erróneas habituales sobre la seguridad de Power Platform

Muchas organizaciones creen que basta con habilitar los entornos administrados o activar una directiva de DLP predeterminada para alcanzar una postura de seguridad completa. En realidad, la seguridad es un modelo operativo continuo que requiere un inventario permanente y límites claros para los creadores.

Además, las organizaciones que utilizan Dynamics 365 suelen pasar por alto la base de Power Platform que hay debajo. Como Dynamics se ejecuta directamente sobre Dataverse y la infraestructura de Power Platform, los permisos y las capacidades de conectores establecidos a nivel de plataforma afectan automáticamente al ecosistema de aplicaciones de negocio en general. No tener en cuenta esta arquitectura subyacente crea vulnerabilidades ocultas que las auditorías estándar de software como servicio suelen pasar por alto.

Conclusión

Dominar el gobierno de Power Platform exige dejar atrás la idea errónea de que las herramientas de low-code son aplicaciones sencillas para aficionados que necesitan una supervisión mínima. Si tratas Power Platform como una plataforma de aplicaciones de nivel empresarial y diseñas directivas de DLP matizadas que trabajen de la mano con tu estrategia de entornos, los responsables de TI podrán proteger los datos corporativos sin frenar la innovación de base.

Para explorar en mayor detalle estos marcos de gobierno, arquitecturas de entornos y estrategias de desarrollo ciudadano, escucha el episodio completo y descubre ideas de expertos diseñadas para ayudarte a construir un modelo operativo sostenible de Microsoft 365.

Preguntas frecuentes

¿En qué se diferencian las directivas de DLP de Power Platform del DLP de Microsoft 365 Information Protection?

El DLP tradicional de M365 analiza el contenido en busca de datos sensibles, como números de tarjetas de crédito o información de identificación personal (PII), y restringe el uso compartido de archivos. El DLP de Power Platform controla qué conectores pueden usarse juntos dentro de una aplicación o flujo, evitando la mezcla de datos entre sistemas corporativos y servicios de consumo.

¿Puedo aplicar directivas de DLP distintas a entornos diferentes?

Sí. Las directivas de DLP de Power Platform pueden aplicarse a todo el inquilino, a entornos específicos o excluirse de determinados entornos. Esta granularidad es esencial para separar las zonas de desarrollo más permisivas de las áreas de producción estrictamente controladas.

¿Qué ocurre cuando una directiva de DLP bloquea un conector en un flujo existente?

Cuando una directiva de DLP prohíbe que dos servicios conectados funcionen en la misma solución, cualquier aplicación o flujo activo que intente usar esa combinación prohibida fallará en la validación o en las comprobaciones de ejecución, y eso obligará a los administradores o creadores a ajustar su arquitectura.

¿Basta con una única directiva de DLP para todo el inquilino para proteger mi organización?

No. Una única directiva para todo el inquilino rara vez es suficiente, porque cada departamento y proyecto tiene perfiles de riesgo muy distintos. Para un gobierno empresarial maduro es necesario combinar bases comunes a nivel de inquilino con directivas específicas por entorno.