---
title: "Govern de la dada i DLP: com convertir la classificació en controls que eviten fuites d'informació"
description: "El DLP sense govern de la dada bloqueja a cegues i el govern sense DLP es queda en paper. Com unir-los amb un enfocament Zero Trust sobre la dada, quin paper té cadascun i un full de ruta per fases, del mode només alerta al bloqueig."
url: https://bidatia.com/ca/idees/gobierno-del-dato-y-dlp-de-la-clasificacion-al-bloqueo-de-fugas
lang: ca
date: 2026-03-17
updated: 2026-11-11
author: "José Luis García"
keywords: ["dlp", "prevenció de pèrdua de dades", "govern de la dada", "classificació de dades", "zero trust", "ciso", "fuita d'informació", "entorns híbrids"]
publisher: Bidatia
---

# Govern de la dada i DLP: com convertir la classificació en controls que eviten fuites d'informació

> El DLP sense govern de la dada bloqueja a cegues i el govern sense DLP es queda en paper. Com unir-los amb un enfocament Zero Trust sobre la dada, quin paper té cadascun i un full de ruta per fases, del mode només alerta al bloqueig.

## Resum executiu

- Les dades sensibles (personals, financeres, propietat intel·lectual) estan repartides entre núvols, centres de dades propis i dispositius: la fuita ja és un risc operatiu constant.
- El govern de la dada posa el marc (polítiques, rols, classificació); el DLP posa els controls tècnics que detecten i bloquegen. L'un sense l'altre no funciona.
- La seqüència del CISO: identificar què cal protegir, controlar qui hi accedeix, prevenir la fuita i demostrar el compliment amb traçabilitat.
- Zero Trust aplicat a la dada: la seguretat depèn de qui hi accedeix, com i per a què, no de la xarxa des d'on ho fa.
- Les polítiques DLP es despleguen primer en mode només alerta i passen a bloqueig de manera progressiva, quan ja s'han ajustat.
- Es mesura amb indicadors senzills: percentatge de dades classificades, incidents DLP i temps de resposta.

La transformació digital ha dispersat la informació. Les dades sensibles (informació personal identificable, propietat intel·lectual, dades financeres) ja no són en un únic centre de dades: viuen en núvols públics, en infraestructura pròpia, en aplicacions SaaS i en els portàtils i mòbils de la plantilla. En aquest entorn híbrid, la fuita o l'ús indegut d'informació no és una hipòtesi remota, sinó un risc operatiu que cal gestionar cada dia.

La resposta que funciona millor no és comprar una eina més, sinó unir dues disciplines que sovint treballen per separat: el govern de la dada i la prevenció de pèrdua de dades (DLP, Data Loss Prevention).

## Dos pilars que es necessiten

| | Govern de la dada | DLP |
|---|---|---|
| Què és | Marc de processos, polítiques i responsabilitats | Tecnologia de detecció, vigilància i prevenció activa |
| Objectiu | Confiança, qualitat i compliment de la dada com a actiu de negoci | Protecció operativa de la dada sensible davant amenaces internes i externes |
| Pregunta que respon | Què cal protegir, de qui és i amb quin criteri | On és ara, qui la mou i com s'impedeix la fuita |

Quan van per separat, fallen de manera previsible. Un DLP sense govern funciona amb regles genèriques que bloquegen a cegues o, encara pitjor, que ningú no s'atreveix a activar. Un govern sense DLP produeix polítiques correctes que no s'apliquen enlloc. Integrats, les polítiques es tradueixen en controls tècnics executables i es tanca la bretxa entre estratègia i operació.

## La visió del CISO: del perímetre a la dada

La seguretat moderna ha desplaçat el focus del perímetre de la xarxa a la protecció de la mateixa dada, sigui on sigui i s'hi accedeixi com s'hi accedeixi. Vist des del responsable de seguretat, el recorregut té quatre passos, i en cadascun el govern de la dada hi té un paper concret:

1. **Identificar: saber què cal protegir.** El govern aporta la classificació i l'etiquetatge sistemàtic de les dades sensibles amb una taxonomia comuna.
2. **Controlar: assegurar l'accés correcte.** El govern defineix els rols: propietaris de la dada, que decideixen, i custodis, que operen.
3. **Prevenir: bloquejar la fuita.** Les polítiques DLP es basen en la classificació ja establerta, no en suposicions.
4. **Complir: superar auditories.** El llinatge i el registre de l'ús i del moviment de la dada aporten la traçabilitat que demanen els reguladors.

L'ordre importa. Saltar directament al tercer pas, sense els dos primers, és l'origen de la majoria de desplegaments DLP que es queden en pilot.

## Zero Trust aplicat a la dada

El model Zero Trust parteix que no es confia en ningú pel simple fet d'estar dins de la xarxa. Aplicat a les dades, la seguretat es basa en **qui hi accedeix, com i amb quin propòsit**. Es concreta en tres capacitats:

- **Descobriment i classificació.** Escaneig continu dels repositoris per localitzar dades sensibles i aplicar-hi etiquetes segons la taxonomia corporativa.
- **Polítiques contextuals.** Les regles tenen en compte el contingut i el context de l'operació. Per exemple, permetre l'enviament de dades personals a destinataris corporatius verificats i bloquejar-lo cap a comptes personals externs.
- **Monitoratge i auditoria continus.** Registre detallat de cada accés i moviment, amb anàlisi del comportament dels usuaris (UBA, User Behavior Analytics) per detectar patrons anòmals que delatin amenaces internes.

## Les eines: inventari i defensa activa

A la pràctica es combinen dues famílies de solucions.

**Plataformes de govern i catàleg.** Actuen com a inventari central: mostren quines dades hi ha, on són, de qui són i com estan classificades. Les del mercat es diferencien pel seu enfocament: unes destaquen pel descobriment i la classificació automàtica integrats amb la suite ofimàtica i el núvol del mateix fabricant (és el cas de Microsoft Purview en entorns Microsoft 365 i Azure), d'altres per la qualitat i el llinatge d'extrem a extrem en entorns híbrids complexos, i d'altres pels fluxos de treball de rols i la gestió del glossari de negoci.

**Solucions DLP.** Apliquen controls tècnics als punts crítics: dispositius, xarxa corporativa i aplicacions al núvol. Les més avançades incorporen anàlisi de comportament per a les amenaces internes. Convé completar-les amb solucions de còpia de seguretat i recuperació, perquè protegir la dada també és poder-la recuperar quan alguna cosa va malament.

Més que la marca, importa que la classificació definida en el govern sigui la mateixa que llegeix el DLP. Si cada eina fa servir les seves pròpies etiquetes, el model es trenca.

## Full de ruta per fases

### Fase 1: descobriment i disseny

| Pas | Lliurable | Responsables |
|---|---|---|
| Abast i patrocini | Document d'abast aprovat i amb recursos assignats | Patrocinador executiu, oficina de projectes |
| Inventari de dades crítiques | Mapa de sistemes i ubicacions amb dades sensibles | Sistemes, custodis de la dada |
| Model de classificació | Estàndard jeràrquic de nivells de classificació | Govern de la dada, CISO |
| Rols i polítiques | Propietaris i custodis designats i un primer conjunt reduït de polítiques DLP crítiques | Govern de la dada, assessoria jurídica |

### Fase 2: implantació

- **Catàleg** configurat i integrat amb les fonts de dades principals.
- **Classificació automàtica** dels repositoris crítics, amb el suport de regles i models d'aprenentatge automàtic, i revisió dels propietaris.
- **Pilot DLP en mode només alerta** amb les polítiques inicials: es registra el que s'hauria bloquejat i s'ajusten les regles.
- **Formació dels propietaris** en les seves responsabilitats i en els fluxos de treball de govern.

### Fase 3: operació contínua

- **DLP en mode bloqueig**, migrant de manera progressiva les polítiques crítiques ja afinades.
- **Auditoria i llinatge**: revisió periòdica dels registres d'accés i correcció de les incoherències detectades.
- **Ampliació de l'abast** a noves fonts, com dispositius IoT o xarxes socials.
- **Indicadors de compliment** amb informe periòdic.

## Què cal mesurar

Uns quants indicadors n'hi ha prou per saber si el programa avança:

- Percentatge de dades crítiques classificades.
- Nombre d'incidents DLP, separant els reals dels falsos positius.
- Temps de resposta davant un incident.
- Polítiques en mode alerta enfront de polítiques en mode bloqueig.

## Per on començar

El primer pas no és tecnològic: és acordar quines dades són crítiques, qui en respon i amb quins nivells es classificaran. Amb això, el DLP deixa de ser una capsa de regles genèriques i es converteix en l'aplicació pràctica de les decisions de govern, alineada amb el RGPD i amb les normes sectorials que s'hi apliquin. Vist així, govern de la dada i DLP funcionen com una assegurança: redueixen de manera mesurable els riscos operatius i reguladors i permeten que l'ambició de ser una organització basada en dades es compleixi de manera segura. A Bidatia ajudem a dissenyar aquest model i a portar-lo a l'operació, al costat de l'equip de seguretat.

## Preguntes freqüents

### Quina diferència hi ha entre govern de la dada i DLP?
El govern de la dada és un marc organitzatiu: polítiques, responsables i una classificació comuna de la informació. El DLP (Data Loss Prevention) és tecnologia que detecta, vigila i bloqueja el moviment de dades sensibles. El govern decideix què cal protegir i per què; el DLP ho fa complir.

### Per què no activar el DLP directament en mode bloqueig?
Perquè unes regles sense ajustar generen falsos positius que interrompen la feina i fan que els usuaris busquin dreceres. Començar en mode només alerta permet veure què passaria, afinar les regles amb els propietaris de la dada i passar a bloqueig amb menys fricció.

### Què vol dir Zero Trust aplicat a les dades?
Que no es confia en ningú pel fet d'estar dins de la xarxa corporativa. Cada accés i cada enviament s'avaluen pel contingut (quina dada és), el context (qui, des d'on, cap a on) i la finalitat.

### N'hi ha prou amb la classificació automàtica?
Ajuda molt a escalar, perquè detecta patrons com documents d'identitat o comptes bancaris, però no substitueix la decisió del propietari de la dada. La classificació oficial l'aprova el govern de la dada i l'automàtica l'aplica i la complementa.