¿Por dónde se escapa la información de su empresa?

Introducción

Son las 19:30. Una analista necesita terminar un informe en casa y el archivo pesa demasiado para la VPN. Hace lo lógico: se lo envía a su correo personal. Al día siguiente entrega el informe a tiempo y nadie vuelve a pensar en el tema.

No hubo ataque. No hubo malware. No hubo alerta. Y sin embargo, un documento con información de clientes acaba de salir del entorno administrado de la empresa hacia una cuenta que ella no administra, no puede auditar ni borrar.

No toda fuga de datos comienza con un ataque. A veces nace en una acción cotidiana que parecía inofensiva. Y a diferencia de los incidentes más visibles, esta clase de salida puede repetirse durante años sin que nadie la note. A eso se suma un plazo concreto: desde diciembre de 2026, cuando hay datos personales involucrados, este riesgo suma una dimensión regulatoria en Chile.

Una fuga de datos interna es la salida de información confidencial provocada desde dentro de la organización, por personas con acceso legítimo, ya sea por el mal uso de canales corporativos o por el uso de herramientas externas no autorizadas —correo personal, mensajería, dispositivos extraíbles, nube personal o herramientas de inteligencia artificial— sin que medie un ataque. La mayoría no es intencional: se origina en personas que intentan trabajar mejor con lo que tienen a mano. Su rasgo más peligroso es la invisibilidad: como puede no activar las alertas habituales, la empresa suele enterarse tarde o no enterarse nunca.

Una distinción necesaria desde el principio: no toda salida de información es un incidente de seguridad, y no todo incidente es una brecha legalmente notificable. Que un archivo salga del entorno administrado es una exposición; si hubo pérdida real de control sobre información sensible, hay un incidente; y si involucra datos personales, pueden activarse obligaciones legales. Lo que aplica a todos los casos es que la empresa debería poder detectarlo y evaluarlo — justamente lo que hoy la mayoría no puede hacer.

¿Por dónde se escapa realmente la información de su empresa?

Casi siempre por los mismos canales, y ninguno requiere sofisticación técnica:

El correo personal. El clásico: alguien se envía un archivo para seguir trabajando en casa, o para conservarlo “por si acaso” antes de cambiar de trabajo. Queda en una bandeja que la empresa no controla ni puede borrar.

La mensajería instantánea. WhatsApp es una herramienta de trabajo de facto en Chile: se coordinan pagos, se envían fotos de facturas, se comparten listados de clientes. Todo eso vive en teléfonos personales.

Los dispositivos extraíbles y la nube personal. El pendrive con la base de clientes que queda olvidado en un auto. El Drive particular donde se sube una carpeta de trabajo “para tenerla a mano” y se comparte con un enlace que nunca se revoca.

Los enlaces abiertos en la nube corporativa. Compartir “con cualquiera que tenga el enlace” es rápido y funciona. También deja ese archivo accesible indefinidamente para quien reciba la dirección, incluido quien no debía.

Las herramientas de inteligencia artificial. La ruta más nueva y la que crece más rápido; la veremos en detalle más adelante.

Ninguno de estos canales es malicioso por sí mismo. Todos existen porque resuelven un problema real de alguien que trata de hacer su trabajo.

¿Por qué se filtran los datos si nadie quiere robarlos?

Porque la mayoría de las fugas no son un acto de deslealtad, sino un atajo. El Data Breach Investigations Report 2025 de Verizon estima que cerca del 60% de las brechas involucra alguna acción humana — un clic, una llamada de ingeniería social o el envío de información a quien no correspondía. Ese dato abarca distintas formas de intervención humana, incluidas las que provienen de ataques externos. Pero cuando el análisis se concentra específicamente en el riesgo interno, la conclusión apunta en la misma dirección: según el Cost of Insider Risks 2026 del Ponemon Institute, el 53% de los incidentes internos tiene como causa raíz a empleados negligentes, no a personas actuando de mala fe.

De hecho, entre los errores humanos el más frecuente es de los más banales: enviar información al destinatario equivocado.

Esto cambia el problema a resolver: no se trata de encontrar al empleado desleal, sino de entender por qué la gente termina sacando información por donde no debería. Casi siempre hay una de estas razones detrás:

• Presión de tiempo. La vía correcta es más lenta que la rápida, y hay una entrega mañana.
• Falta de una alternativa usable. Si compartir un archivo grande con un cliente es engorroso, alguien usará su Drive personal.
• Controles mal diseñados. Cuando la política de seguridad hace imposible el trabajo cotidiano, la gente no deja de trabajar: la rodea.
• Ausencia de criterio. Nadie le dijo qué información es sensible ni qué canal usar. Sin reglas, cada quien improvisa la suya.

Existen casos de fuga deliberada —el vendedor que se lleva la cartera de clientes al renunciar— y también deben preverse. Pero una defensa diseñada solo contra el mal intencionado deja sin cubrir la mayoría de los casos.

¿Cómo saber si su empresa ya está perdiendo información?

La pregunta no es si alguien está sacando información —los canales de arriba se usan en casi todas las empresas—, sino si usted tendría cómo saberlo. Y ahí la respuesta honesta de la mayoría de las PyMEs es que no: según el Insider Risk Report 2026 de DTEX, cerca del 72% de las organizaciones no tiene visibilidad detallada de cómo se mueven sus datos entre dispositivos, aplicaciones y destinatarios externos.

En vez de revisar canal por canal, conviene evaluar cuatro capacidades. Si no puede responder estas preguntas, hoy no tiene forma de detectar una fuga:

1. ¿Sabe qué información sensible tiene y dónde está? No un inventario exhaustivo, pero sí saber cuáles son sus datos críticos y en qué sistemas viven.
2. ¿Puede ver quién la comparte o la descarga? Si un colaborador clave renunciara mañana, ¿podría saber qué se llevó en sus últimas semanas?
3. ¿Puede identificar hacia dónde va? Destinatarios externos, aplicaciones no administradas, dispositivos personales, servicios de terceros.
4. ¿Puede revocar el acceso y reconstruir lo ocurrido? Cortar un enlace compartido, quitar un permiso, y después reconstruir qué pasó y cuándo.

Y esto no aplica solo a los empleados: contratistas, asesores, proveedores y exempleados también acumulan accesos, copias y enlaces que nadie revisa cuando la relación termina.

Si varias respuestas fueron “no lo sé”, no significa que su empresa esté en crisis. Significa que hoy no tiene forma de darse cuenta si algo sale — un punto de partida distinto, y más común, de lo que se suele admitir.

¿Qué pasa cuando su equipo usa herramientas de inteligencia artificial?

Es la ruta más nueva y la que más rápido crece, pero no es un fenómeno aparte: es el mismo problema —información que sale por un canal no controlado— con una herramienta nueva. Y conviene ser preciso, porque aquí es fácil caer en el alarmismo: usar inteligencia artificial en el trabajo no equivale a filtrar datos. Prohibirla de plano suele lograr solo que se use a escondidas.

El riesgo no está en la herramienta, sino en cuatro cosas: qué información se ingresa, con qué cuenta (personal o corporativa), bajo qué configuración (si esos datos alimentan o no al modelo) y con qué política detrás. Un empleado con cuenta empresarial y criterio claro usa una herramienta de trabajo. Ese mismo empleado, con su cuenta personal, pegando el borrador de un contrato para “que se lo resuma”, acaba de entregar información confidencial a un tercero, sin registro y sin poder recuperarla. Samsung restringió el uso de IA generativa entre sus empleados en 2023 tras detectar el ingreso de información corporativa sensible en ChatGPT.

Para una PyME, lo relevante es que este canal suele estar peor cubierto: buena parte de los controles se enfocan en el correo, los dispositivos y la red, y lo que alguien copia y pega en una aplicación web puede pasar desapercibido si no se habilitaron controles específicos.

¿Qué cambia con la Ley 21.719 en diciembre de 2026?

Cambia el costo de no saber. Hasta ahora, una fuga silenciosa era un problema comercial y de confianza. Con la entrada en vigencia de la Ley 21.719 de protección de datos personales, el 1 de diciembre de 2026, cuando hay datos personales involucrados pasa a ser además un asunto regulatorio.

Tres puntos importan especialmente para una PyME. Primero, alcanza a las organizaciones que tratan datos personales, sin que el tamaño sea por sí solo un criterio de exclusión; conviene revisar con asesoría legal qué obligaciones aplican en cada caso. Segundo, introduce obligaciones de notificación ante vulneraciones que afecten datos personales, hacia la nueva Agencia de Protección de Datos Personales y, según la gravedad, hacia los propios afectados. Y tercero, contempla un régimen de sanciones que en las infracciones más graves puede alcanzar montos relevantes, además de la exposición pública asociada.

Aquí es donde la falta de visibilidad se vuelve crítica: no se puede evaluar ni notificar lo que no se detecta. Desde diciembre, esa capacidad de darse cuenta será determinante cuando haya datos personales de por medio.

¿Sabría detectar hoy una fuga de información en su empresa?

Antes de decidir qué controlar, conviene saber en qué situación está. Una evaluación permite identificar qué accesos existen, qué brechas hay en cuentas, terceros y políticas, y qué corregir primero.

¿Cómo controlar la fuga sin frenarle el trabajo al equipo?

El error más común es intentar proteger todo con la misma intensidad. Eso es caro, es imposible y termina generando controles que la gente aprende a esquivar.

Empiece por decidir qué proteger primero. No toda la información vale lo mismo ni corre el mismo riesgo. Datos personales, credenciales, contratos, información financiera y propiedad intelectual son categorías distintas y requieren tratamientos distintos. Un catálogo público no necesita protección; la nómina, sí. Sin esa clasificación básica, cualquier control posterior se aplica a ciegas.

Reduzca antes de vigilar. Es más eficaz disminuir la información expuesta que observar cada movimiento: limitar accesos a lo que cada rol necesita, revocar los de exempleados, contratistas y proveedores al terminar la relación, revisar permisos acumulados y eliminar datos que ya no corresponde conservar. Cada acceso que se cierra es una ruta de fuga menos que monitorear.

Después gane visibilidad, con proporcionalidad. Antes de bloquear nada, entienda qué se comparte, con quién y por qué canales. Un punto importante: visibilidad no es vigilancia. Los controles deben ser proporcionales, transparentes para el equipo y enfocados en la información sensible, no en supervisar personas — una medida que se percibe como espionaje pierde el apoyo que necesita para funcionar.

Luego aplique controles graduales. Caducar enlaces públicos antiguos. Habilitar alternativas usables para compartir archivos grandes, para que nadie necesite su Drive personal. Definir una política de uso de IA que diga qué se puede y qué no, en vez de una prohibición que se incumplirá en silencio. Y donde el riesgo lo justifique, herramientas específicas de prevención de fuga de datos. Un caso concreto, porque en Chile es inevitable: si su operación depende de WhatsApp, prohibirlo no es realista; lo que funciona es definir qué información puede circular por ahí y cuál no, dejar por escrito el canal oficial para esos casos y asegurarse de que sea tan cómodo como el atajo que reemplaza.

Y aclare quién responde por qué. Es tentador delegarlo entero a TI, pero no es solo un problema técnico: la gerencia define qué riesgo acepta y respalda las reglas cuando incomodan; cada área identifica qué información suya es sensible; y TI implementa los controles, pero no puede decidir solo qué es confidencial para el negocio.

¿Y si descubre que ya hubo una fuga? Contenga primero (revocar accesos y enlaces, cambiar credenciales), preserve los antecedentes en lugar de borrarlos, evalúe qué información salió y hacia dónde, y active el proceso interno que corresponda, considerando las obligaciones de notificación que rigen desde diciembre.

Cómo Redicom puede ayudar

Nuestro foco está en las dos brechas que más se repiten: no tener claridad sobre quién accede a qué y no contar con controles proporcionales al riesgo.

El Cyber Health Check revisa, entre otros dominios, la identidad y los accesos —cuentas huérfanas, privilegios excesivos, quién puede llegar a qué—, los accesos de proveedores y terceros, y si existen políticas escritas que el equipo efectivamente siga. Entrega un diagnóstico priorizado: qué corregir primero.

Sobre esa base ayudamos a implementar lo que corresponda —control de accesos, configuración segura de Microsoft 365 y soluciones de prevención de fuga de datos (DLP)— y a acompañar al equipo con capacitaciones, porque los controles que nadie entiende son los que primero se esquivan.

Conclusión

La mayoría de las empresas invierte en impedir que alguien entre. Muy pocas se preguntan qué está saliendo.

La fuga de datos interna es incómoda justamente porque no tiene villano: son personas competentes, trabajando a contrarreloj, usando las herramientas que tienen a mano. Por eso no se resuelve con más desconfianza, sino con criterios claros, alternativas usables y la capacidad de darse cuenta cuando algo sale.

Desde diciembre, además, esa capacidad de detectar y evaluar pasa a ser determinante cuando hay datos personales de por medio. Un buen primer paso, concreto y acotado, para esta semana: revise qué archivos de su empresa están compartidos hoy con enlace público y desde cuándo. Es una primera revisión sencilla y suele ser una conversación reveladora.

¿Por dónde parte su empresa?

Identificar la exposición es el primer paso; el segundo es decidir qué controlar, en qué orden y con qué prioridad. Podemos ayudarle a definir una hoja de ruta de controles proporcional a su realidad y a preparar a su organización para las obligaciones que rigen desde diciembre de 2026.

Contenido informativo. No constituye asesoría legal.