Seguridad de los datos: riesgos, controles y fundamentos de la gobernanza

El patrimonio de datos ha cambiado más rápido que la mayoría de los programas de seguridad. Ahora los datos se mueven a través de pipelines, recursos compartidos con partners, agentes de inteligencia artificial (IA) y aplicaciones posteriores, y estos movimientos suelen crear puntos de control que los modelos de seguridad tradicionales no pueden gestionar a escala ya que no se diseñaron para ello. El cifrado, el control de acceso y la supervisión siguen siendo esenciales, pero ahora la seguridad de los datos depende de la gobernanza: saber qué datos existen, quién es responsable de ellos, cuál es su grado de confidencialidad y qué reglas se les aplican.

La seguridad y la gobernanza de datos son disciplinas distintas, pero, cuando funcionan por separado, resulta difícil aplicar las políticas a medida que la información se mueve entre sistemas, equipos y entornos. En esta guía se explica qué significa hoy la seguridad de los datos, por qué han aumentado los riesgos, cuáles son los principales riesgos y normativas que condicionan los programas empresariales, y qué controles utilizan las organizaciones para proteger los datos durante todo su ciclo de vida.

La seguridad de los datos es el conjunto de prácticas, controles y tecnologías que protegen los datos digitales frente al acceso no autorizado, el daño, el robo o la pérdida durante todo su ciclo de vida. Debe tener en cuenta los datos en reposo, en tránsito y en uso, así como las identidades, las políticas y los sistemas que interactúan con ellos en cada etapa. Los puntos de control varían en función de dónde se encuentran los datos y cómo se mueven, lo que hace que esta disciplina resulte compleja en la práctica.

El marco fundamental es la tríada CIA: confidencialidad, integridad y disponibilidad. La confidencialidad significa que solo los usuarios, servicios y workloads autorizados pueden acceder a los datos confidenciales. La integridad significa que los datos siguen siendo precisos, completos y fiables mientras se crean, transforman, consultan, comparten o utilizan en aplicaciones posteriores. La disponibilidad significa que los usuarios autorizados pueden seguir accediendo a los datos cuando la empresa los necesita, incluso durante fallos, interrupciones o ataques.

La seguridad de los datos está relacionada con la privacidad de los datos y la gobernanza de datos, pero es distinta de ambas. La privacidad de los datos define cómo deben recopilarse, utilizarse, conservarse y divulgarse los datos personales, normalmente en respuesta a normativas como el Reglamento general de protección de datos (RGPD) o la Ley de privacidad del consumidor de California (CCPA). La gobernanza de datos define quién es responsable de los datos, cómo se clasifican, qué reglas se aplican y quién o qué tiene permiso para utilizarlos. La seguridad de los datos aplica esas reglas mediante controles de acceso, cifrado, enmascaramiento, supervisión, políticas de conservación y respuesta ante incidentes.

Los datos confidenciales ya no residen en un número reducido de sistemas controlados. Circulan por aplicaciones de software como servicio (SaaS), data lakes, almacenes de datos, entornos de partners, flujos de trabajo de colaboración y pipelines de IA. Una sola columna que contenga números de cuenta, información sanitaria protegida o datos financieros puede copiarse, transformarse, integrarse, compartirse o recuperarse en varios lugares, lo que significa que la seguridad debe acompañar a los datos en lugar de confiar en que el perímetro de la red se mantenga intacto.

La presión normativa refleja la evolución del patrimonio de datos. El RGPD, la CCPA, la HIPAA, el PCI DSS y la SOX siguen determinando cómo protegen las organizaciones los datos personales, de pago, sanitarios y financieros. El reglamento DORA entró en vigor el 17 de enero de 2025 para las entidades financieras de la UE, mientras que los Estados miembros de la UE debían haber transpuesto la directiva NIS2 a su legislación nacional antes del 17 de octubre de 2024. En India, la ley Digital Personal Data Protection Act de 2023 estableció el marco para los datos personales digitales, y las normas Digital Personal Data Protection Rules, 2025 fijaron un calendario de aplicación por fases.

Sin embargo, el cumplimiento no es más que el punto de partida. Una empresa puede satisfacer un requisito de auditoría limitado y, aun así, tener roles con permisos excesivos, copias obsoletas de datos confidenciales, recursos compartidos con partners sin supervisar o workloads de IA que recuperen más contexto del que debería ver el usuario.

Una seguridad de los datos eficaz requiere una defensa en profundidad: cifrado para proteger los datos en reposo y en tránsito, control de acceso para restringir quién puede utilizarlos, enmascaramiento y políticas a nivel de fila para limitar la exposición en las consultas, prevención de la pérdida de datos para reducir los movimientos inadecuados, gestión de la posición de seguridad para visibilizar los riesgos y supervisión continua para detectar comportamientos inusuales.

La IA ha hecho que la seguridad de los datos sea más urgente. Los datos de entrenamiento, las representaciones vectoriales, los sistemas de generación aumentada por recuperación, el contexto al que acceden los agentes y los resultados de los modelos crean vías de filtración que no existían hace cinco años. La cuestión del control de acceso ya no se limita a “¿puede este empleado consultar la tabla?”, sino que también incluye “¿puede este agente de IA recuperar la fila, utilizar la representación vectorial, llamar a la herramienta y generar un resultado que exponga datos confidenciales?”.

Muchas organizaciones van rezagadas en cuanto a la seguridad de la IA. Según el índice de confianza 2025 Enterprise Data Security Confidence Index de Bedrock Data, el 79 % de los equipos de seguridad tiene dificultades para clasificar los datos confidenciales utilizados en sistemas de IA y aprendizaje automático (ML), y menos de la mitad afirma tener un alto grado de confianza a la hora de controlar los datos confidenciales utilizados para entrenar la IA.

Mira este vídeo para descubrir cómo implementar las prácticas recomendadas de seguridad con Trust Center en Snowflake Horizon:

El control de acceso es el mecanismo fundamental de la seguridad de los datos: las reglas y medidas de aplicación que determinan quién puede leer, escribir, modificar o compartir datos específicos. La gestión del acceso define el ciclo de vida operativo —cómo se solicita, aprueba, habilita, revisa y revoca el acceso—, mientras que el control de acceso aplica esas decisiones mediante roles, atributos, privilegios, políticas y registros de auditoría.

La mayoría de los programas empresariales combinan el control de acceso basado en roles (RBAC), el control de acceso basado en atributos (ABAC) y políticas detalladas. El RBAC concede privilegios mediante roles vinculados a funciones o responsabilidades del puesto de trabajo. El ABAC evalúa atributos como el departamento, la región, el nivel de autorización, la confidencialidad de los datos o el tipo de workload. A continuación, las reglas a nivel de fila y columna ajustan el acceso dentro de una tabla para que los usuarios puedan trabajar con datos compartidos sin recibir la misma vista de cada registro.

El control de acceso basado en roles (RBAC) es el modelo de control de acceso más implantado porque adapta los permisos a la forma en que ya trabajan las organizaciones. En lugar de conceder privilegios directamente a cada usuario, los administradores los conceden a roles, asignan los usuarios a esos roles y utilizan una jerarquía de roles para heredar permisos cuando corresponde.

El principio de privilegio mínimo debe definir el modelo de roles desde el principio. Los roles deben conceder el acceso mínimo necesario para que una persona, una cuenta de servicio o un workload desempeñe su función; siempre que sea posible, los privilegios elevados deben mantenerse separados, revisarse y limitarse en el tiempo. A medida que crecen los entornos, los equipos deben supervisar la proliferación de roles, los permisos heredados y los accesos basados en excepciones.

El cifrado de datos transforma datos legibles en texto cifrado que solo los usuarios autorizados pueden descifrar. Protege los datos en reposo en los sistemas de almacenamiento, los datos en tránsito a través de las redes y, según la arquitectura, los datos en uso durante el procesamiento. El cifrado reduce la exposición si se accede indebidamente al almacenamiento, se intercepta el tráfico o una copia de seguridad sale del entorno previsto.

El cifrado en reposo protege los datos almacenados, como tablas, archivos, instantáneas y copias de seguridad. El cifrado en tránsito protege los datos mientras se desplazan entre clientes, servicios, aplicaciones y componentes de la plataforma, normalmente mediante TLS. El cifrado en uso es la categoría más compleja porque, a menudo, los datos deben procesarse en un formato legible, pero las plataformas modernas reducen cada vez más la exposición mediante entornos de ejecución seguros, la aplicación de políticas y rutas de procesamiento cuidadosamente controladas.

Las organizaciones necesitan un modelo operativo de gestión de claves que determine quién controla las claves, cómo se rotan, cómo se registra el acceso a ellas y si los requisitos normativos o internos exigen claves gestionadas por el cliente. Para las organizaciones con requisitos de control estrictos, las claves gestionadas por el cliente ofrecen una separación adicional entre el operador de la plataforma y el modelo de control criptográfico de la organización.

Los principales mecanismos de cifrado protegen la capa de datos, mientras que la gobernanza determina qué usuarios, workloads y políticas tienen autorización para utilizar datos no cifrados.

El enmascaramiento de datos oculta los valores confidenciales a los usuarios que no deben verlos, al tiempo que conserva suficiente estructura para el análisis, las pruebas o las operaciones. Por ejemplo, un analista de asistencia puede necesitar saber que existe un registro de cliente sin ver el número completo de la Seguridad Social, el número de la tarjeta de crédito o el código de diagnóstico. Un científico de datos puede necesitar patrones geográficos o demográficos sin identificadores directos.

El enmascaramiento estático crea una copia saneada de los datos, a menudo para entornos de nivel inferior, como los de desarrollo, pruebas o entrenamiento. El enmascaramiento de datos dinámico aplica una política al ejecutar la consulta, de modo que una misma columna puede devolver valores distintos en función del rol, los atributos o el contexto del usuario. La tokenización es una técnica relacionada: los valores confidenciales se sustituyen por tokens no confidenciales que solo pueden revertirse en condiciones controladas. El cifrado con conservación del formato también puede proteger los valores confidenciales y mantener la estructura que esperan las aplicaciones.

Un enmascaramiento eficaz depende de una clasificación precisa de los datos. Una política no puede proteger la columna email_address ni un archivo no estructurado que contenga datos de nóminas si la organización no puede identificar primero los datos confidenciales. La clasificación, el etiquetado y el enmascaramiento funcionan mejor como un ciclo único: detectar datos confidenciales, aplicar una etiqueta, asociar la política adecuada y supervisar si los nuevos activos requieren el mismo tratamiento.

La seguridad a nivel de fila restringe las filas que un usuario puede ver en una tabla en función de su identidad, rol, atributos o relación con los datos. Resulta especialmente útil cuando varios equipos, regiones, unidades de negocio o inquilinos necesitan trabajar con la misma tabla sin acceder a los mismos registros.

Una aplicación de analíticas multiinquilino es el ejemplo clásico: la aplicación puede prestar servicio a cientos de clientes desde una tabla compartida, pero cada cliente solo debe ver sus propias filas. Sin seguridad a nivel de fila, los equipos suelen crear vistas duplicadas, extracciones o filtros específicos de cada aplicación que son difíciles de auditar y fáciles de configurar incorrectamente.

La seguridad a nivel de fila es más duradera cuando es declarativa y está asociada al objeto de datos, en lugar de quedar oculta en la lógica de la aplicación. Si la política se establece a nivel de tabla, se aplica de forma coherente en las consultas y los casos de uso posteriores, lo que reduce la probabilidad de que un nuevo panel, notebook, agente o aplicación eluda el filtro previsto.

La prevención de la pérdida de datos (DLP) es la disciplina que consiste en detectar y evitar que los datos confidenciales se extraigan, se filtren o se compartan de forma inadecuada. La causa puede ser maliciosa, como el robo de credenciales y la exfiltración de datos, o deberse a una negligencia, por ejemplo, si un analista exporta más datos de los necesarios, un pipeline escribe datos confidenciales en una ubicación no gestionada o un recurso compartido con un partner permanece activo después de que cambie una relación comercial.

La DLP moderna combina clasificación, aplicación de políticas, supervisión y respuesta. La clasificación identifica los datos confidenciales. Las etiquetas de confidencialidad u otras etiquetas aportan significado a esos datos. Las políticas determinan si los datos se pueden consultar, copiar, exportar, compartir o utilizar en un workload. A continuación, la supervisión busca patrones de acceso, actividad de salida o excepciones a las políticas que requieran una investigación.

Tradicionalmente, la DLP solía funcionar como un control de red o de puntos de conexión, lo que tenía sentido cuando los archivos confidenciales circulaban a través del correo electrónico, los puntos de conexión y los canales de red gestionados. En un entorno de datos moderno, los datos confidenciales circulan a través de pipelines, recursos compartidos, API, notebooks, aplicaciones y sistemas de IA. La DLP debe centrarse más en los datos: las políticas deben acompañar al objeto de datos, no solo a la ruta de red.

La gestión de la posición de seguridad de los datos (DSPM) consiste en detectar, clasificar y evaluar continuamente los riesgos de los datos confidenciales en los distintos entornos de una organización. Responde a tres preguntas prácticas: ¿dónde están los datos confidenciales?, ¿quién o qué puede acceder a ellos?, ¿qué riesgo existe debido a ese acceso, esa ubicación o ese estado de las políticas?

La DSPM surgió porque muchas herramientas de seguridad se diseñaron en torno a la infraestructura, no a los datos. Una herramienta de gestión de la posición de seguridad en la nube (CSPM) puede identificar un contenedor expuesto, un puerto abierto o una política de gestión de identidad y acceso débil, pero no indica necesariamente a un equipo de seguridad si el recurso expuesto contiene registros de clientes, código fuente, datos sanitarios, datos de pago o registros operativos de alto riesgo. La DSPM se centra en los propios datos: confidencialidad, ubicación, rutas de acceso, cobertura de las políticas, patrones de uso y riesgo.

La DSPM nativa de la plataforma reduce algunas de las carencias que surgen cuando una herramienta de terceros tiene que rastrear de forma independiente cada almacén de datos. Como la plataforma ya sabe qué objetos existen, qué usuarios y roles pueden acceder a ellos, qué etiquetas y políticas se aplican y cómo se consultan o comparten los datos, el descubrimiento y la calificación del riesgo cuentan con una base más continua que la que ofrecen únicamente los análisis periódicos.

Los riesgos para la seguridad de los datos se dividen en tres grandes categorías: amenazas externas, amenazas internas y riesgos específicos de la IA.

• Las amenazas externas incluyen ransomware, suplantación de identidad (phishing), robo de credenciales, la vulneración de la cadena de suministro y ataques que utilizan identidades robadas o empleadas de forma indebida para acceder a sistemas de datos. Estas amenazas permanecen activas porque los atacantes no necesitan explotar directamente una base de datos si pueden obtener credenciales, poner en peligro una cuenta de servicio o desplazarse lateralmente desde un sistema conectado.
• Las amenazas internas incluyen personas con acceso interno que actúan de forma maliciosa, usuarios negligentes, tecnología de la información (TI) en la sombra, errores de configuración y cuentas con privilegios excesivos. Un usuario con acceso amplio puede consultar datos confidenciales, exportarlos, compartirlos o dirigirlos a un flujo de trabajo no gestionado sin activar las mismas alarmas que un atacante externo. Por eso, el principio de privilegio mínimo, la separación de funciones, las revisiones de acceso y la supervisión son controles de seguridad de los datos, no meras tareas de administración de identidades.
• Los riesgos específicos de la IA añaden una nueva capa. La inyección de prompts puede hacer que un sistema de generación aumentada por recuperación acceda a contexto confidencial o lo resuma de formas no previstas por el usuario. La filtración de datos de entrenamiento puede exponer registros confidenciales a través del comportamiento o los resultados del modelo. Puede producirse un exceso de atribuciones de los agentes cuando los agentes autónomos reciben un acceso a herramientas o datos más amplio del que debería tener el usuario. La exfiltración de resultados del modelo puede producirse cuando los resultados confidenciales salen del entorno gobernado mediante llamadas a herramientas, plugins o aplicaciones conectadas.

Las normativas que afectan a la seguridad de los datos definen las obligaciones que deben cumplir los controles de seguridad. Una normativa puede especificar medidas de seguridad, reglas de notificación de filtraciones, requisitos de auditoría, límites de conservación o derechos relacionados con los datos personales. Las organizaciones sujetas a dicha normativa deben convertir esos requisitos en controles operativos en todo su patrimonio de datos.

• El RGPD es el marco de la UE basado en los derechos relativos a los datos personales. Exige una base jurídica para el tratamiento de estos, otorga a las personas derechos sobre sus datos personales y establece obligaciones en materia de protección, responsabilidad y notificación de filtraciones.
• La ley CCPA se aplica a la información personal de los consumidores de California. Define los derechos de privacidad de los consumidores y, en determinados casos de filtraciones, incluye un derecho de acción privada.
• La ley HIPAA regula la información sanitaria protegida en el sistema sanitario de Estados Unidos. Exige medidas de seguridad administrativas, físicas y técnicas para las entidades cubiertas y los socios comerciales.
• El estándar PCI DSS define requisitos técnicos y operativos para proteger los entornos de datos de titulares de tarjetas. El PCI Security Standards Council describe sus estándares como un marco de especificaciones, herramientas, medidas y recursos de apoyo para gestionar de forma segura la información de los titulares de tarjetas.
• La ley SOX se centra en los controles sobre la información financiera. Para los equipos de seguridad de datos, la cuestión práctica es la integridad, el control de acceso y la auditabilidad de los datos financieros utilizados en los procesos de elaboración de informes.
• DORA se aplica a las entidades financieras de la UE y se centra en la resiliencia operativa digital, incluida la capacidad de resistir las interrupciones de las tecnologías de la información y la comunicación, responder a ellas y recuperarse. Entró en vigor el 17 de enero de 2025.
• NIS2 amplía las obligaciones de ciberseguridad y notificación de incidentes para los sectores críticos de toda la UE.
• La ley DPDP de la India regula los datos personales digitales en la India. La ley señala que su finalidad es regular el tratamiento de los datos personales digitales de una forma que reconozca tanto el derecho de las personas a proteger sus datos personales como la necesidad de tratarlos con fines lícitos.

El problema operativo habitual no consiste simplemente en saber qué normas se aplican, sino en demostrar que los controles de acceso, enmascaramiento, conservación, supervisión y respuesta ante incidentes se aplican de forma coherente en todos los sistemas donde residen los datos regulados. La gobernanza de datos ayuda a favorecer el cumplimiento normativo al vincular las obligaciones normativas con los activos de datos que abarcan, de modo que los equipos sepan qué está protegido, qué política se aplica y dónde existen carencias.

Los programas de seguridad de los datos varían según el sector, la arquitectura y el perfil de riesgo. Las siguientes prácticas abarcan las áreas fundamentales que la mayoría de los programas empresariales deben gestionar correctamente. No son exhaustivas, pero reflejan las más importantes para entornos de datos cada vez más distribuidos y que implementan workloads de IA.

Clasificar e inventariar los datos confidenciales

Empieza por los objetos que necesitan protección: tablas, vistas, archivos, áreas de almacenamiento, conjuntos de datos, representaciones vectoriales, recursos compartidos, aplicaciones y contexto accesible para la IA. La clasificación determina si esos objetos contienen información de identificación personal (PII), información sanitaria protegida, datos de titulares de tarjetas, credenciales, propiedad intelectual u otros datos confidenciales. A continuación, el inventario vincula esa clasificación con los propietarios, el linaje, las reglas de conservación, las rutas de acceso y el uso posterior.

Aplicar el acceso con privilegios mínimos a usuarios, servicios y workloads

Cada usuario, cuenta de servicio, aplicación y workload de IA debe recibir únicamente el acceso que necesita para realizar una tarea definida. El acceso debe concebirse como un ciclo de vida: concesión a nuevos usuarios mediante un flujo de aprobación, caducidad automática de los privilegios elevados al finalizar la tarea, retirada del acceso a usuarios inactivos y revisión de las cuentas de servicio cada vez que cambian los pipelines o las aplicaciones. Los principios de confianza cero refuerzan este modelo al tratar cada solicitud como algo que debe verificarse en función de la identidad, el contexto, el dispositivo, el workload y el nivel de confidencialidad.

Proteger los datos confidenciales con controles basados en políticas

El enmascaramiento de datos dinámico puede ocultar los valores confidenciales de las columnas en el momento de la consulta. Las políticas de acceso a filas pueden restringir los registros por región, inquilino, cuenta o rol. La tokenización puede conservar una estructura útil y, al mismo tiempo, reducir la exposición del valor original. Estos controles son especialmente importantes cuando varios equipos utilizan los mismos datos gobernados. En lugar de crear numerosas copias de una tabla de clientes para cada región o función, los equipos aplican políticas al objeto compartido y dejan que la plataforma aplique la vista adecuada.

Proteger el movimiento de datos, el intercambio y la colaboración

Cada vez que los datos se mueven —a través de un pipeline, un recurso compartido con un partner, una exportación o un modelo—, se crea un punto de control. ¿Está aprobado el destino? ¿Siguen clasificados los datos? ¿Se aplica la misma política de enmascaramiento o de acceso a nivel de fila? ¿Sigue siendo necesario el recurso compartido? La colaboración segura funciona mejor cuando los equipos pueden compartir datos gobernados sin crear extracciones no gestionadas.

Supervisar el acceso e investigar la actividad inusual

El historial de consultas, el historial de acceso, el historial de inicio de sesión, los cambios en los objetos, los intentos de acceso fallidos y los cambios en las políticas ayudan a los equipos de seguridad a detectar usos indebidos, investigar incidentes y demostrar la eficacia de los controles. La supervisión debe combinar el contexto de las políticas, el contexto de la identidad y el nivel de confidencialidad de los datos: una única consulta en una tabla protegida puede ser normal para un rol y sospechosa para otro.

Gobernar los datos durante todo su ciclo de vida

Las tablas temporales, las copias de desarrollo, los datos de prueba, las características derivadas, los datos de entrenamiento de modelos, los índices vectoriales, los informes y los datos archivados pueden contener información confidencial. Los controles del ciclo de vida deben definir la conservación, la eliminación, el archivado, las copias de seguridad, la recuperación, el uso en entornos de desarrollo y pruebas, y los usos aprobados de la IA. Los datos confidenciales de producción no deben copiarse en entornos inferiores sin controles de enmascaramiento o de datos sintéticos.

Prepararse para la respuesta ante incidentes y la recuperación

Los planes de respuesta ante incidentes deben definir quién investiga los accesos sospechosos, quién puede revocar privilegios, quién se comunica con los equipos jurídicos o de cumplimiento y cómo se conservan las pruebas. Las copias de seguridad, la replicación, la conmutación por error, los puntos de recuperación protegidos y las pruebas de restauración deben formar parte de la seguridad de datos, ya que la disponibilidad es uno de los componentes de la tríada CIA.

Auditar los controles y gestionar las excepciones

Las revisiones de acceso, las excepciones a las políticas, la cobertura del enmascaramiento, el estado de la clasificación, los registros de incidentes, la rotación de claves, la aplicación de las políticas de conservación y los resultados de la supervisión deben generar evidencias que los auditores y los equipos internos de riesgos puedan revisar. Las excepciones deben ser explícitas, estar aprobadas y tener una duración limitada; una excepción permanente suele ser un incumplimiento de las políticas encubierto.

Snowflake integra la seguridad y la gobernanza de datos en el mismo plano de control de la plataforma, de modo que las organizaciones pueden definir políticas, clasificar datos, gestionar el acceso, supervisar la actividad y gobernar los workloads de IA sin tener que mantener modelos de aplicación independientes para cada caso de uso.

Snowflake Horizon Catalog es fundamental para este modelo. Proporciona capacidades de gobernanza, descubrimiento y catalogación para la plataforma de datos, lo que ayuda a los equipos a gestionar datos, aplicaciones y activos de IA con un contexto compartido, que incluye la clasificación, las políticas de enmascaramiento, las políticas de acceso a filas, el linaje y la supervisión de la calidad de los datos.

El RBAC, el enmascaramiento, las políticas de acceso a filas, el etiquetado y las políticas de protección de datos se basan en el mismo modelo de datos gobernados, lo que reduce la redundancia operativa entre los equipos de gobernanza y seguridad. Las políticas de protección de datos de Snowflake permiten a los equipos definir permisos detallados una sola vez y aplicarlos de forma coherente en el momento de la consulta, sin necesidad de crear roles o vistas adicionales a medida que crecen los datos y los equipos.

Snowflake Compliance Center permite a los equipos supervisar la posición de seguridad de las cuentas de Snowflake, consultar los resultados de los analizadores y evaluar desde Snowflake el grado de preparación en materia de seguridad de los datos y autenticación, incluidos los resultados de detección centrados en actividades potencialmente sospechosas.

Por último, los workloads de IA se basan en datos gobernados, pero introducen nuevos patrones de acceso a través de agentes, herramientas, sistemas de recuperación y resultados de modelos. Horizon funciona como un catálogo universal de IA que unifica el contexto y la gobernanza de los activos de datos e IA, mientras que la colaboración de Snowflake con Bedrock Data ofrece visibilidad sobre los agentes de IA y los datos a los que pueden acceder.

La eficacia de los controles de seguridad de los datos depende de la solidez de sus cimientos. Las políticas de acceso, las reglas de enmascaramiento, las restricciones a nivel de fila y la supervisión requieren la misma información para funcionar de forma fiable: una visión precisa de dónde se encuentran los datos confidenciales, cómo están clasificados y quién es responsable de ellos. Sin esos cimientos, los equipos toman decisiones razonables con información incompleta y las carencias suelen salir a la luz en los peores momentos: durante la investigación de un incidente o una auditoría de cumplimiento.

La gobernanza proporciona esos cimientos y ayuda a los equipos a determinar dónde y cómo se aplican los controles de seguridad de los datos. Por eso, los programas de seguridad de los datos más sólidos consideran la clasificación, la propiedad y las políticas como requisitos previos de seguridad, no como resultados de gobernanza.