Cómo asegurar las transferencias de archivos y proteger los datos en movimiento
Cómo asegurar las transferencias de archivos y proteger los datos en movimiento
Oct 20, 2026
Los datos sensibles salen regularmente por canales que un protocolo de transferencia nunca toca, incluyendo almacenamiento en la nube personal, correo electrónico personal, dispositivos USB y herramientas de IA. La transferencia segura de archivos usa cifrado, autenticación y registro para proteger los datos en movimiento, pero no puede controlar todas las vías de salida. Cerrar ese punto ciego requiere un descubrimiento continuo de canales junto con la aplicación de políticas en puntos finales conscientes del contenido.
El Netwrix 2026 Data and Identity Security Report reveló que el 69 % de las organizaciones no puede evitar de forma inmediata y completa que datos sensibles salgan de los endpoints hacia herramientas externas de IA, correos personales o USB. Ese punto ciego convierte la aplicación transversal en un caso práctico para la consolidación, ya que una política consciente del contenido puede cubrir las vías de salida que un protocolo de transferencia seguro nunca alcanza.
Incluso después de que los equipos de TI implementan un servidor SSH File Transfer Protocol (SFTP) o una herramienta de compartición aprobada, una hoja de cálculo sensible puede terminar en una carpeta personal en la nube, un archivo adjunto en un correo personal o un mensaje en un chatbot.La investigación de Harvard Business Review encontró que los empleados a menudo toman la ruta no autorizada simplemente porque la aprobada era más lenta o no sabían que existía.
Eso crea dos problemas distintos. La seguridad del protocolo pregunta si el canal autorizado protege los datos en tránsito. La aplicación de la transferencia pregunta si los datos sensibles usan ese canal en absoluto, y la mayoría de las guías se detienen después de la primera pregunta. Juntos, esos controles fortalecen la resiliencia cibernética y la postura de Data Security Posture Management mientras generan evidencia confiable para auditorías e investigaciones.
¿Qué es la transferencia segura de archivos?
La transferencia segura de archivos consiste en mover datos entre sistemas o personas de manera que permanezcan ilegibles durante el tránsito, se confirme quién los envía y recibe, y se deje un registro de la transferencia. NIST SP 800-53 Rev. 5 trata la encriptación, la autenticación y el registro de auditoría como requisitos separados, por lo que un protocolo por sí solo no puede cubrirlos todos. Proteger los datos en movimiento requiere los tres, y cada uno puede fallar de manera distinta.
Cifrado en tránsito
El cifrado de datos en tránsito mantiene la información ilegible para cualquiera que la intercepte. El National Cyber Security Center (NCSC) explica en su guía sobre TLS que un Transport Layer Security (TLS) bien configurado impide que terceros escuchen o manipulen los mensajes. El NCSC recomienda TLS 1.3 o 1.2, deshabilitando las versiones 1.1 y 1.0. La configuración es tan importante como el nombre del protocolo, ya que un servidor que aún acepta una versión antigua puede volver a ella.
Autenticación de ambos extremos
Una transferencia segura verifica ambas partes antes de que los datos se muevan. NIST define la autenticación mutua como el proceso en el que ambas entidades en una transacción se verifican entre sí, pero los protocolos comunes hacen que la segunda parte sea opcional. En TLS 1.3, el servidor siempre se autentica, mientras que la autenticación del cliente es opcional (RFC 8446). SFTP se basa en host keys for the server side, con el cliente autenticándose por separado.
Un registro verificable de que ocurrió
Los registros que muestran qué se movió, cuándo y entre quiénes son lo que los investigadores necesitan después. La brecha de MOVEit Transfer de 2023 ilustra por qué ese registro importa incluso en un canal cifrado. Según el aviso de CISA sobre la campaña, los atacantes explotaron una vulnerabilidad de inyección SQL para evitar completamente la autenticación, crear sus propias cuentas de administrador y desplegar un web shell que exfiltró archivos.
La encriptación TLS protegió el canal durante todo el incidente. La falla en la capa de aplicación derrotó la autenticación, por lo que la encriptación, la autenticación y el registro necesitan validación independiente en lugar de que un control sustituya a los otros dos.
¿Cuáles son los protocolos para la transferencia segura de archivos?
El Protocolo de Transferencia de Archivos simple (FTP) y el Protocolo de Transferencia de Hipertexto sin cifrar (HTTP) son las bases que mejoran los protocolos siguientes. FTP envía contraseñas en texto claro a través del PASS comando (RFC 2577). La Cybersecurity and Infrastructure Security Agency (CISA) advierte en su Binding Operational Directive 18-01 que los atacantes pueden monitorear, modificar e impersonar fácilmente las conexiones HTTP simples.
SFTP (Protocolo de transferencia de archivos SSH)
SFTP es una opción sensata para transferencias entre servidores y con socios. Ejecuta la transferencia de archivos dentro de una sesión SSH, por lo que hereda el cifrado, la autenticación del servidor y la protección de integridad del transporte SSH (RFC 4253). Una firma de clave de host autentica el servidor y el usuario se autentica con una clave pública, contraseña o método basado en host.
Todo viaja a través de un único túnel multiplexado en el puerto 22, por lo que SFTP necesita menos aperturas de firewall que FTPS. Para reforzarlo, configure StrictHostKeyChecking en yes para que los clientes rechacen cualquier host cuya clave haya cambiado.
Netwrix Endpoint Protector bloquea la subida de datos sensibles a herramientas de IA en endpoints y sesiones de navegador, cubriendo lo que un servidor SFTP autorizado no puede ver. Solicite una demostración.
FTPS (FTP sobre TLS/SSL)
FTPS envuelve FTP en TLS. Según RFC 4217, la sesión no está protegida hasta que el cliente envía AUTH TLS en la conexión de control (puerto 21) y el servidor confía en el cliente mediante certificados X.509. El modo implícito en el puerto 990 está obsoleto.
El costo operativo es el canal de datos separado, ya que el modo pasivo necesita un rango de puertos abiertos y la inspección stateful del firewall no puede leer comandos FTP cifrados. Esa complejidad del firewall es una razón por la que los equipos suelen elegir SFTP para nuevas implementaciones, aunque FTPS sigue siendo útil cuando los endpoints FTP existentes y los scripts de socios necesitan actualizarse en lugar de reescribirse.
Transferencia basada en HTTPS
HTTPS, o HTTP sobre TLS, es el predeterminado para cargas desde navegador, portales de descarga y transferencias API de aplicación a aplicación, todas funcionando en el puerto 443. El servidor está autenticado, todo el intercambio está cifrado y el cliente verifica el nombre de host contra el certificado antes de confiar en él (RFC 9110, RFC 2818).
Por defecto, HTTPS autentica solo el servidor; la identidad del cargador proviene de un inicio de sesión o token separado que configuras y con el que inicias sesión por separado. Para una carga por portal o API, el remitente controla ese inicio de sesión, token o enlace con tiempo limitado, así que configúralo con tanto cuidado como los ajustes TLS.
AS2 (Declaración de Aplicabilidad 2)
AS2 está diseñado para transacciones business-to-business donde ambas partes necesitan prueba. Empaqueta formatos de electronic data interchange (EDI), como X12 y Electronic Data Interchange for Administration, Commerce and Transport (EDIFACT), como Multipurpose Internet Mail Extensions (MIME) sobre HTTP (RFC 4130).
AS2 utiliza Secure/Multipurpose Internet Mail Extensions (S/MIME) para cifrado y firmas, y devuelve una Notificación de Disposición de Mensaje firmada (MDN) como recibo. La clave pública del socio verifica ese MDN firmado, y un hash coincidente proporciona no repudio del origen y del recibo a través de HTTP. Ese mecanismo es adecuado para intercambios B2B estructurados; el intercambio general de archivos dentro de una organización rara vez lo necesita.
Dónde se filtran datos sensibles cuando se omite el canal seguro
Cada protocolo anterior protege un canal, mientras que las personas a menudo mueven datos sensibles por otros. La mayoría de ese movimiento proviene de empleados comunes que toman una ruta más rápida en lugar de una exfiltración deliberada, el patrón detrás de la mayoría de los insider threat incidentes.
El Informe de Investigaciones de Violaciones de Datos Verizon 2026 sitúa a shadow AI como la tercera acción interna no maliciosa más común en su conjunto de datos DLP, un aumento de cuatro veces respecto al año anterior. Ese patrón coincide con la fricción operativa descrita antes, ya que las rutas aprobadas pueden ser más lentas o simplemente desconocidas.
Una cuenta personal de almacenamiento en la nube
Una cuenta personal de Dropbox o Google Drive es invisible para un sistema diseñado para monitorear solo el método de transferencia aprobado. Controlar esa vía de salida requiere algo que pueda distinguir una cuenta organizacional autorizada de una personal, no solo marcar un dominio desconocido.
Una dirección de correo electrónico personal
Un archivo adjunto enviado a una bandeja personal elude completamente el sistema autorizado, por lo que una política que cubra solo ese sistema nunca lo detecta. El correo electrónico también puede fallar silenciosamente, ya que NCSC advierte que una negociación TLS fallida puede hacer que un mensaje se entregue en texto plano.
Una unidad USB u otro medio extraíble
Los medios extraíbles evaden un programa que solo monitorea canales de red porque una copia USB no genera tráfico de salida. La auditoría de Endpoint y device control deben cubrir directamente el almacenamiento extraíble.
El cuadro de entrada de una herramienta de IA
Pegar el contenido de un archivo en un chatbot también es una transferencia de archivos, y las guías antiguas de transferencia a menudo no lo consideran.El 2026 Verizon DBIR encontró que el 67 % de los usuarios acceden a servicios de IA con cuentas no corporativas en dispositivos corporativos. Ese patrón hace más práctico extender una política existente con conciencia de contenido que crear un programa de transferencia de IA separado.
Cómo encontrar los canales no autorizados y heredados que ya están en uso
La aplicación efectiva comienza con un inventario de los canales que ya transportan datos, no con los que una política supone que se usan. El descubrimiento continuo dirige el esfuerzo limitado hacia lo que la gente usa hoy.
Escanee las reglas del firewall y el tráfico de red en busca de FTP heredado
Comience con el firewall. SANS Internet Storm Center sugiere buscar registros del firewall con grep /21 | grep -i permit para mostrar cualquier cosa que aún esté permitida en el puerto de control FTP. Los registros del Sistema de Nombres de Dominio (DNS), o Sysmon Event ID 22, pueden revelar consultas al nombre de host de un servidor de archivos antiguo. Para tareas programadas que llaman a FTP, Get-ScheduledTask y Export-ScheduledTask muestran la definición de cada tarea, y el Evento de Seguridad de Windows 4698 se activa en cada nueva tarea programada con su XML completo.
Lea los registros de salida en el proxy, firewall o CASB
Extraiga un registro de proxy web o firewall y verifique los dominios de destino como dropbox.com y proveedores de correo web personal. Compare lo que encuentre con los análisis de MITRE para T1567.002, que señala procesos inusuales que publican en dropbox.com, drive.google.com y box.com.
Alimente los mismos registros en un cloud access security broker (CASB) para crear un inventario shadow SaaS, siempre que incluyan bytes cargados, nombres de usuario y URLs de destino. Para medios extraíbles, active el Windows Security Event 6416 para detectar nuevos dispositivos externos y active Audit Removable Storage para Event 4663 registra lecturas y escrituras.
Incorpore la verificación en las herramientas que ya están en funcionamiento, no como un proyecto independiente
Integre estas verificaciones en el SIEM para que las nuevas herramientas y cuentas no esperen a una auditoría anual. Una regla que se activa al detectar por primera vez un dominio de destino o un evento de medios extraíbles señala el cambio el mismo día que ocurre.SigmaHQ publica reglas para consultas DNS a MEGA y otros sitios de intercambio de archivos, y una regla para dispositivos extraíbles vistos por primera vez puede mapearse directamente a la técnica T1052.001.
Aplicando la política en el punto de transferencia
Discovery muestra qué canales transportan datos hoy. Con DLP consciente del contenido para la transferencia de archivos, tú decides qué sucede cuando alguien intenta mover un archivo sensible a través de uno.
Escaneando contenido antes de que se complete una transferencia
Los controles basados en canales verifican a dónde van los datos; los controles conscientes del contenido verifican qué son.NIST SP 800-53 AC-4 cubre el filtrado tanto de la información del encabezado como del contenido del mensaje, permitiendo que un sistema bloquee, elimine, modifique o ponga en cuarentena los datos cuando un filtro falla. Realice esa inspección en el endpoint sobre archivos y contenidos del portapapeles por igual, porque las herramientas DLP de endpoint que solo escanean archivos guardados no detectan el texto que un usuario pega pero nunca guarda en disco.
Bloqueando destinos riesgosos mientras se mantienen las transferencias legítimas en movimiento
Bloquear todo lo desconocido genera soluciones alternativas, así que en su lugar, enfoque patrones específicos de riesgo, como datos regulados dirigidos a una cuenta personal. Una encuesta de 2025 de MIND and the Enterprise Strategy Group (ESG) encontró que el 47% de las alertas DLP inspeccionadas son falsos positivos.
Cree reglas de destino basadas en el contexto de la cuenta, ya que una URL de ChatGPT sirve tanto a cuentas de consumidores como empresariales. Las acciones graduadas también ayudan, ya que un bloqueo con una anulación de justificación registra la razón comercial y mantiene la transferencia en un camino monitoreado.
Una política puede expresar esa decisión directamente:
IF content = regulated data AND account = personal
THEN block OR require justification override
El principio de NIST de denegar por defecto y permitir por excepción (SC-7(5)) funciona cuando la lista de excepciones refleja cómo trabajan las personas en la práctica.
Extender la misma política a las herramientas de IA
La regla que impide que una lista de clientes llegue a un Google Drive personal también debe impedir que llegue al cuadro de indicaciones de Gemini. Una política escrita solo para cargas de archivos y adjuntos no detecta el texto pegado en el campo de indicaciones de un chatbot, que contiene el mismo contenido sensible a través de un canal que la mayoría de las configuraciones DLP nunca cubren. Cubra tanto el texto escrito como los archivos adjuntos, y trate el cuadro de entrada de un chatbot como un punto de salida más dentro de la misma política.
Mapeo de controles seguros de transferencia de archivos según lo que esperan los auditores
Los auditores necesitan evidencia, generalmente registros, de que un control se ejecutó en transferencias dentro del alcance, y la disponibilidad por sí sola proporciona evidencia incompleta. Una política coherente y consciente del contenido en todos los canales también ofrece a los equipos un único modelo de evidencia en lugar de un proceso de recopilación separado para cada ruta de salida.
Según el Netwrix 2025 Cybersecurity Trends Report, el 43 % de las organizaciones tuvo gastos imprevistos para abordar deficiencias de seguridad, por lo que la evidencia de control reutilizable puede ayudar a los equipos a evitar sorpresas en auditorías y costos de remediación reactiva.
PCI DSS: Cifrado de datos del titular de la tarjeta en tránsito
PCI DSS v4.x Requisito 4.2.1 requiere criptografía fuerte para los números de cuenta primaria (PAN) en redes públicas abiertas. Esto significa certificados confiables y válidos; versiones de protocolo seguras sin retroceso; y al menos 112 bits de fuerza efectiva de clave.
Los evaluadores examinan las configuraciones del sistema, el inventario de claves y certificados requerido por 4.2.1.1, y las transmisiones de datos del titular de la tarjeta a medida que ocurren. Requisito 10 registra todo acceso a los datos del titular de la tarjeta, y los registros de transferencias bloqueadas para correo personal y USB pueden complementar esa evidencia mostrando que un PAN fue detenido en otro canal.
HIPAA: El estándar de seguridad de transmisión de la Security Rule
Para la información electrónica de salud protegida (ePHI), 45 CFR 164.312(e)(1) exige a las entidades reguladas protegerse contra el acceso no autorizado a ePHI transmitida por una red electrónica. La encriptación bajo (e)(2)(ii) es direccionable, lo que significa que una entidad regulada la adopta cuando una evaluación de riesgos la considera razonable y apropiada, o documenta una medida equivalente.
La Oficina de Derechos Civiles revisa la política de transmisión, los estándares de cifrado, la gestión de claves y la justificación de cualquier deficiencia. Los registros de ePHI bloqueados desde la nube personal y el correo web pueden respaldar esa decisión de riesgo.
Una actualización propuesta de la Security Rule requeriría el cifrado de ePHI en reposo y en tránsito, con excepciones limitadas. HHS indica la acción final como una estimación de planificación para julio de 2027.
RGPD: Medidas técnicas adecuadas del Artículo 32
Artículo 32(1) de GDPR requiere medidas adecuadas al riesgo, incluyendo pruebas regulares de su eficacia. La Oficina del Comisionado de Información del Reino Unido (ICO) acepta TLS 1.2 o 1.3 correctamente configurados, rechaza SSL por completo y espera una política de cifrado, documentación de gestión de claves y resultados de pruebas para que los responsables puedan demostrar las medidas tomadas para cumplir.
La sanción de la ICO de 2026 contra Police Scotland citó el propio procedimiento de la fuerza que requiere la encriptación de medios en tránsito. Los registros de encriptación de medios extraíbles demuestran ese procedimiento en la práctica.
CMMC: Confidencialidad en la transmisión para CUI
NIST SP 800-171 Rev. 2 el control 3.13.8 requiere mecanismos criptográficos que eviten la divulgación no autorizada de Controlled Unclassified Information (CUI) durante la transmisión. El control 3.13.11 requiere criptografía validada por Federal Information Processing Standards (FIPS). SP 800-171A exige que los evaluadores examinen el plan de seguridad y las configuraciones, revisen los registros de auditoría, entrevisten a los administradores y prueben directamente los mecanismos.
La Cybersecurity Maturity Model Certification (CMMC) Guía de Evaluación de Nivel 2 deja claro que usar solo un algoritmo aprobado no es suficiente. Se espera cifrado CUI respaldado por políticas y mecanismos de aplicación, mencionando un proxy que bloquea el tráfico no conforme. Un solo objetivo marcado como no cumplido falla todo el requisito. En el endpoint, los registros de transferencias bloqueadas y el cifrado USB muestran ese mismo tipo de aplicación.
Cómo Netwrix apoya la transferencia segura de archivos en la práctica
Netwrix Endpoint Protector es un producto DLP para endpoints que bloquea la subida de datos sensibles, controla los medios extraíbles y aplica políticas conscientes del contenido en endpoints Windows, macOS y Linux. Cubre las vías de salida que un canal de transferencia autorizado no alcanza.
Escaneando transferencias en busca de contenido sensible antes de que se completen
El módulo Content Aware Protection de Netwrix Endpoint Protector inspecciona los datos en los puntos de salida, incluidos navegadores, clientes de correo electrónico, webmail, clientes de sincronización en la nube y el portapapeles. Su control del portapapeles elimina contenido confidencial cuando se copia, evitando que se pegue. Los registros se exportan en Excel, PDF o CSV y se envían a un SIEM mediante syslog.
Aplicación automática de cifrado en medios extraíbles
El módulo Enforced Encryption de Netwrix Endpoint Protector aplica cifrado USB validado por FIPS 140-3 con borrado remoto y restablecimiento de contraseña. La implementación es automática una vez que una política permite un dispositivo USB en el Nivel de Dispositivo Confiable 1 o superior. Device Control cubre almacenamiento USB y más de 45 clases de periféricos, incluso sin conexión. Enforced Encryption funciona solo en Windows y macOS; las políticas de Device Control protegen los endpoints Linux.
NHS South East Coast Ambulance Service desplegó Netwrix Endpoint Protector para cumplir con los requisitos del Data Security and Protection Toolkit (DSPT) que cubren los dispositivos que más de 4,000 empleados llevan en la región. Según Stewart Edwards, gerente de Seguridad Informática del trust, la implementación brindó al equipo control total sobre los puertos USB y dispositivos, mientras aplicaba la encriptación que su marco de cumplimiento requería.
Bloqueo de cargas sensibles a herramientas de IA
Netwrix Endpoint Protector extiende las mismas políticas conscientes del contenido a las herramientas de IA, cubriendo ChatGPT, Microsoft Copilot, Google Gemini, Claude, DeepSeek, X AI Grok y otras herramientas listadas. La cobertura aplica tanto si un usuario escribe contenido sensible como si lo adjunta en un archivo, y los administradores pueden monitorear o bloquear ese contenido antes de que llegue a un proveedor no aprobado.
Acortando la distancia entre la política y la práctica
Una decisión segura de transferencia de archivos debe considerar la protección del canal, la visibilidad de las rutas de bypass, la aplicación en los endpoints y la evidencia de auditoría consistente. Los equipos de seguridad pueden establecer una línea base extrayendo un mes de registros proxy para dominios de nube personal y webmail, auditando almacenamiento extraíble en una muestra de endpoints y verificando qué dominios AI resuelven los usuarios.
Esos hallazgos muestran dónde priorizar la aplicación y aplicar la misma política consciente del contenido en el punto de transferencia.
Solicite una demostración para ver cómo Netwrix ayuda a las organizaciones a fortalecer su postura de seguridad de datos al ampliar la visibilidad y los controles de endpoint en rutas sensibles de transferencia de datos.
Preguntas frecuentes sobre la transferencia segura de archivos
Compartir en
Aprende más
Acerca del autor
