Hay un archivo con información salarial dando vueltas en el correo de alguien que ya no trabaja en tu empresa. Hay un contrato de cliente guardado en el OneDrive personal de un colaborador que lo compartió "por las dudas". Hay un informe financiero descargado en cinco laptops distintas, sin cifrado, sin restricción, sin registro de quién lo abrió.
Nadie lo hizo con mala intención. Nadie lo hizo con ninguna intención. Simplemente ocurrió, porque nada lo impidió.
Según el Informe IBM Cost of a Data Breach 2025 para Latinoamérica, una filtración de datos le cuesta a una empresa de la región un promedio de 2,51 millones de dólares, y el tiempo promedio para detectarla y contenerla es de 316 días. Más de diez meses. En ese tiempo, el archivo ya circuló, ya fue impreso, ya fue reenviado, ya hizo el daño.
Las etiquetas de sensibilidad de Microsoft Purview son la respuesta a ese problema. Están disponibles hoy en M365. Y la mayoría de las organizaciones las tiene mal configuradas, a medias, o directamente no las tiene.
El error que parece seguridad pero no lo es
La lógica habitual es esta: si el archivo está en la carpeta correcta, está protegido. Acceso restringido a la carpeta, problema resuelto.
El problema es que los archivos no viven en las carpetas. Se descargan. Se adjuntan. Se copian a Teams, a un USB, a Gmail. Y en el momento en que salen de la carpeta, pierden toda protección.
Las etiquetas de sensibilidad cambian esa lógica. La protección viaja con el archivo, no con la ubicación. Un documento cifrado por una etiqueta sigue cifrado aunque alguien lo descargue, lo adjunte a un email externo o lo suba a un servicio de nube personal.
El receptor no puede abrirlo. No puede leerlo. El daño está contenido.
Pero para que eso funcione, tiene que haber cifrado real en la etiqueta. Y ahí está el primer error grave.
El cartel que no protege nada
La implementación más común de etiquetas de sensibilidad en M365 es esta: se crean las etiquetas, se publican a los usuarios, los archivos quedan marcados visualmente como "Confidencial" o "Interno", y alguien en TI marca el proyecto como completado.
Lo que esa implementación no tiene es cifrado.
Una etiqueta sin cifrado es únicamente metadata. Informa, pero no protege. Cualquier usuario con acceso al archivo puede quitarla, ignorarla o compartir el archivo libremente. El cartel dice "confidencial". El archivo no lo es.
Cómo debe atenderse: cada etiqueta que clasifique datos sensibles necesita cifrado activado, con permisos explícitos de quién puede descifrarla. Eso implica definir, antes de configurar nada, quién tiene derecho a leer cada nivel de información. No es una decisión técnica. Es una decisión de negocio que TI implementa después.
La taxonomía que nadie usa
El segundo error más destructivo no está en la configuración técnica. Está en la cantidad de etiquetas.
El error de taxonomía más frecuente es crear ocho etiquetas que no coinciden con cómo los equipos piensan realmente sobre sus datos. La adopción muere antes de comenzar. El usuario ve demasiadas opciones, ninguna obvia, y elige la que parece más segura o directamente no etiqueta nada.
La práctica recomendada es usar entre 3 y 5 etiquetas por ámbito, con nombres cortos y claros que no requieran un manual de compliance para entenderse. Público. Interno. Confidencial. Altamente Confidencial. Suficiente para empezar.
Lo que es realmente costoso de corregir es la taxonomía después de que los usuarios ya adoptaron etiquetas incorrectas. Cambiar una etiqueta que ya tiene miles de archivos asignados es un proyecto, no una tarea. El diseño inicial importa desproporcionadamente más que cualquier configuración posterior.
Cómo debe atenderse: empezar con las preguntas de negocio, no con el portal de Purview. ¿Qué datos, si se filtran, generan daño real? ¿Cómo llaman los equipos a esa información en el día a día? Las etiquetas tienen que coincidir con el vocabulario real de la organización, no con el lenguaje técnico de compliance.
El volumen que ningún equipo puede clasificar manualmente
La mayoría de las organizaciones que implementa etiquetas las configura para aplicación manual. El usuario abre el archivo, elige la etiqueta, sigue trabajando.
El problema es la escala. Una organización mediana puede tener cientos de miles de documentos históricos sin clasificar. Nadie va a abrir cada archivo y elegir una etiqueta.
El auto-etiquetado avanzado, disponible con licencias E5 o el complemento de Purview Information Protection, inspecciona el contenido de los archivos y correos, detecta patrones como números de tarjeta, documentos de identidad o datos financieros, y aplica la etiqueta correspondiente sin intervención del usuario.
Durante 2026, Microsoft amplió las políticas de etiqueta para incluir grupos de seguridad dinámicos y no habilitados para correo, dando más control sobre quién recibe qué etiquetas sin necesitar configurar grupos adicionales. Las etiquetas también se extienden ahora a grupos de seguridad de Microsoft Entra, aplicando la misma clasificación de M365 a toda la infraestructura de identidad corporativa sin configuración separada.
Cómo debe atenderse: el auto-etiquetado no reemplaza la estrategia de taxonomía. Primero se definen las etiquetas correctas. Después se entrena el motor de clasificación con los tipos de información relevantes para la organización. En ese orden, no al revés.
Lo que cuesta no hacer nada
La narrativa habitual es que proteger los datos es costoso. Licencias adicionales, proyectos de implementación, capacitaciones.
Lo que rara vez se calcula es cuánto cuesta no hacerlo.
Las filtraciones identificadas y contenidas en menos de 200 días costaron un promedio de 2,21 millones de dólares en la región. Las que duraron más de 200 días llegaron a 2,82 millones. La diferencia de 600 mil dólares es el costo de detectar tarde. Las etiquetas con cifrado son parte de lo que permite detectar y contener antes.
El riesgo no viene solo de ataques externos. Según IBM, el 20% de las brechas estudiadas en 2025 se vincularon a herramientas de IA no autorizadas usadas por los propios colaboradores, y esas brechas costaron hasta 670 mil dólares más que el promedio. Colaboradores que pegan documentos confidenciales en herramientas de IA externas porque nadie les dijo que no podían, y porque el archivo no tenía ninguna restricción que se los impidiera.
El punto de partida real
Implementar etiquetas de sensibilidad en M365 no es un proyecto de tres meses. Es un ejercicio de una semana si se empieza con las preguntas correctas.
¿Cuáles son los datos que, si se filtran, generan daño real para la organización? ¿Quién tiene derecho a verlos? ¿Cómo los llaman los equipos hoy?
Con esas tres respuestas, la configuración técnica es la parte más sencilla de todo el proceso. Si querés que el equipo de macareno.net te acompañe en ese diagnóstico, escribinos y coordinamos una conversación sin compromiso.
Fuentes
- IBM Cost of a Data Breach 2025 — Latinoamérica — IBM Newsroom LATAM
- IBM Cost of a Data Breach 2025 — Global — IBM Think
- Microsoft Purview Sensitivity Labels Deployment Guide 2026 — Decryption Digest
- Microsoft Purview: Extended scoping for sensitivity label policies — M365 Admin
- Sensitivity Labels for Microsoft Entra Security Groups — M365 Admin