Las mejores herramientas de DSPM en 2026

Las empresas saben qué tipo de datos sensibles almacenan, pero no siempre saben dónde han acabado todos ellos ni quién tiene acceso a ellos, especialmente a nivel empresarial. Los datos personales, como nombres y direcciones de correo electrónico, datos de tarjetas de pago, historiales médicos, secretos y tokens, y ahora también cualquier información que se introduzca en las funciones de inteligencia artificial, son ejemplos de información de identificación personal (PII) y de datos regulados de los que, según normativas como el RGPD y la HIPAA, eres responsable.

El problema es que los datos no se quedan quietos. La dirección de correo electrónico de un cliente introducida en un formulario de registro puede pasar por una API, llegar a Postgres, copiarse en Snowflake y, más tarde, incorporarse a una solicitud de IA.

Las herramientas de DSPM (gestión del estado de seguridad de los datos) identifican dónde se encuentran tus datos confidenciales y dónde están expuestos, ya que perder la pista de ellos sale muy caro. Una filtración que afecte a varios entornos cuesta, de media, 5,05 millones de dólares y se tarda 276 días en detectarla y contenerla, según el informe de IBM «El coste de una filtración de datos en 2025».

En 2026, las herramientas de DSPM se dividen en dos categorías. Las herramientas tradicionales se conectan directamente a tus bases de datos, buckets y almacenes de datos, leen su contenido y te indican que hay datos personales en lugares donde no deberían estar, como una dirección de correo electrónico o un número de tarjeta en un registro. Eso es útil, pero ahí se queda todo. Te indican que los datos existen, pero no en qué parte de la aplicación se encuentran ni cómo solucionarlo.

Las herramientas basadas en código, en cambio, leen tu código. En lugar de conectarse a los datos, rastrean el recorrido que sigue un campo a través de la aplicación que lo crea y lo traslada, sin llegar a tocar nunca los datos de producción. Así, en lugar de «se han encontrado datos personales en este registro», obtienes la ruta de código exacta que lo ha provocado, los campos expuestos y el cambio que lo corrige.

En esta entrada se compara cómo funcionan las principales herramientas en cada aspecto y cuál es su nivel de eficacia. Analizamos y comparamos:

• Aikido Security
• Wiz
• Cyera
• Varonis
• Orca

{{cta}}

TL;DR

Si necesitas un DSPM para detectar y corregir la exposición de datos, Aikido es nuestra recomendación. Su DSPM basado en código lee tus esquemas y modelos ORM para rastrear cómo se mueven los datos sensibles a través de tu aplicación, sin conectarse en ningún momento a información confidencial. Cada hallazgo indica el nombre exacto del archivo y la línea, y viene acompañado de una solicitud de incorporación de cambios (pull request) que lo corrige; además, los resultados se obtienen en cuestión de minutos. Aikido cubre la capa de aplicación, donde se produce la mayor parte de la exposición, y la combina con CSPM para la capa de almacenamiento. Si necesitas realizar un inventario de los datos que ya se encuentran en tu sistema, Wiz y Orca lo hacen como un módulo dentro de una amplia plataforma en la nube; Cyera y Varonis lo hacen como un producto específico. 

DSPM basado en código frente a DSPM basado en almacenamiento

Las herramientas de DSPM basadas en el almacenamiento se conectan a tus bases de datos y almacenes de datos y leen su contenido. Son eficaces a la hora de encontrar datos que se han copiado en algún lugar y se han olvidado, como una copia de seguridad llena de registros de producción guardada en un bucket que nadie ha consultado en un año. Sin embargo, necesitan acceso de lectura a tus datos y, dado que identifican los datos sensibles por su aspecto en lugar de leer el código, se detienen donde se encuentran los datos. Una herramienta de almacenamiento puede indicarte que hay información de identificación personal (PII) en un registro, pero no qué parte de la aplicación la escribió allí ni qué cambio lo detendría.

El DSPM basado en código lee el código de tu aplicación para rastrear cómo fluyen los datos, desde las API y los modelos ORM que los transfieren hasta las llamadas de registro e integraciones de IA que pueden provocar fugas. Nunca accede a tus datos y, como lee los nombres de los campos y los esquemas en lugar de adivinar de dónde proceden los datos basándose en su aspecto, genera menos falsos positivos y puede señalar la ruta de código exacta que ha provocado la exposición, a menudo con la solución adjunta. 

El DSPM basado en código también puede detectar la exposición antes de que se produzca, ya que una herramienta de almacenamiento solo encuentra datos sensibles una vez que estos ya se encuentran en un registro o en un depósito, mientras que la lectura del código señala la línea de registro de riesgo o la respuesta de API excesivamente amplia en la solicitud de incorporación de cambios, antes de que llegue a producción. Además, va más allá de la exposición, ya que comprueba si los datos se gestionan de forma segura en cada paso, por ejemplo, si el cifrado se realiza correctamente o si un flujo podría dirigir campos sensibles a algún lugar al que no deberían ir. El principio es que, si el código ha generado la exposición, la solución debe estar en el código.

Qué hay que tener en cuenta a la hora de elegir una herramienta DSPM

• ¿Necesita acceso a tus datos confidenciales? Algunas herramientas se conectan a tus tiendas y leen o extraen muestras del contenido; otras trabajan a partir de tu código y nunca tocan los datos. Leer los datos permite clasificar lo que realmente hay, pero implica conceder acceso al entorno de producción. Trabajar a partir del código evita ese acceso, pero solo permite ver los datos a los que hace referencia el código. 
• ¿Es capaz de encontrar datos tanto en movimiento como en reposo? El descubrimiento basado en el almacenamiento permite localizar datos olvidados a los que ya no apunta ningún código. El descubrimiento basado en el código permite detectar datos en tránsito, como un número de teléfono incluido en la carga útil de un webhook enviado a un tercero antes incluso de que se almacene. Ambos abarcan distintos puntos ciegos, por lo que es posible que necesites ambos.
• ¿Cuánto ruido? Las herramientas que deducen la sensibilidad a partir de patrones marcan cada número de nueve dígitos como un número de la Seguridad Social (SSN). Las herramientas basadas en código que leen los nombres de los campos y los esquemas saben qué es cada campo sin necesidad de adivinarlo, lo que se traduce en menos falsos positivos.
• ¿Identifica la exposición y cómo se produjo? Saber que hay datos personales en un registro te indica que hay un problema, pero te deja a ti la tarea de evaluar su gravedad. Busca una herramienta que permita rastrear el origen, ya sea la ruta de código que lo generó o la configuración errónea que dejó al descubierto el almacén.
• ¿Soluciona los problemas que detecta? Las mejores herramientas sugieren una solución mediante una solicitud de incorporación de cambios real o un cambio en la configuración que puedas revisar y aplicar.
• ¿Relaciona los hallazgos con las obligaciones de cumplimiento normativo? Un hallazgo sin procesar, como «patrón de registro inseguro», deja pendiente el trabajo de asignación a las normas de cumplimiento. Las herramientas más útiles vinculan el problema con las normas de cumplimiento. Los datos personales registrados sin censurar incumplen los requisitos de minimización de datos y conservación, y los registros que persisten tras una solicitud de eliminación están directamente relacionados con el RGPD y la CCPA, lo cual solo se puede corregir en la propia lógica de eliminación.

Las mejores herramientas de DSPM en 2026

DSPM basado en código

Aikido Security

El DSPM basado en código de Aikido se ejecuta como una auditoría de exposición de datos dentro de su plataforma « análisis de código con IA ». En lugar de conectarse a tus almacenes de datos, utiliza agentes LLM para leer tu código y los archivos relacionados, trazando cómo se crean, transfieren, almacenan y exponen los datos sensibles, sin tocar en ningún momento los datos de producción. Rastrea los campos sensibles desde sus fuentes —cuerpos de solicitud, cargas de archivos, lecturas de bases de datos y configuración— hasta sus destinos —registros, API de terceros, indicaciones de LLM, cachés y almacenamiento—. Cada hallazgo identifica el archivo y la línea exactos, explica el flujo de datos e indica el riesgo de exposición.

«La mayoría de los incidentes de seguridad de datos solo se detectan una vez que se han producido. El enfoque de Aikido, que da prioridad al código en la gestión de la seguridad de datos (DSPM), permite a los equipos evitar costosas errores de configuración antes de que se produzcan». — James Berthoty, fundador y analista jefe de Latio

Qué es lo que descubre

• Sobreexposición de la API. Los puntos finales devuelven más campos de los que le corresponden al solicitante y no se realizan comprobaciones de propiedad del usuario. Una página de perfil pública muestra un nombre y un avatar, pero el punto final /me que hay detrás devuelve todo el registro del usuario, incluida la fecha de nacimiento, que se envía al navegador cada vez que se carga la página.
• Tareas de registro y exportaciones inseguras. Datos personales identificativos (PII) y información confidencial sin ocultar en los registros, trazas y volcados de las aplicaciones. El controlador de pago registra el objeto de facturación completo en caso de fallo en el pago, incluyendo el correo electrónico, el número de teléfono y los cuatro últimos dígitos de la tarjeta, y lo envía a Datadog.
• Compartir información con terceros y con la IA de forma excesivamente amplia. Los datos y la información confidencial de los clientes se envían a proveedores, servicios de análisis, solicitudes a modelos de lenguaje grande (LLM) y almacenes de vectores más allá de lo estrictamente necesario.
• Datos de acceso en las URL. Tokens y claves API en cadenas de consulta, redireccionamientos y URL clonadas, donde los registros y el historial del navegador los recogen.
• Almacenamiento deficiente. Los datos sujetos a normativa se almacenan sin cifrar, o bien utilizando codificación Base64, MD5 o SHA-1 en lugar de un cifrado real.
• Eliminación incompleta. Elimina los flujos que eliminan la fila del usuario pero dejan atrás documentos, tickets y registros posteriores.

De la detección a la solución

Cuando la corrección se realiza a nivel de código, AutoFix abre una solicitud de incorporación de cambios que tú revisas y fusionas, sin necesidad de enviar un ticket a otro equipo. Puedes volver a comprobar cualquier incidencia para confirmar que se ha resuelto. Dado que la auditoría se ejecuta sobre repositorios ya conectados a Aikido, no es necesario integrar ninguna nueva fuente de datos, y cada auditoría deduce créditos de tu monedero de Aikido.

Cómo encaja con la nube y el cumplimiento normativo

Dado que funciona a partir del código, la auditoría mapea lo que hacen tus aplicaciones con los datos, por lo que los datos a los que no hace referencia ningún código —como una exportación olvidada en un bucket antiguo— son una cuestión de configuración de la nube más que de código. La solución « CSPM » de Aikido abarca todo ello desde la misma plataforma, junto con los roles de IAM con permisos excesivos y los almacenes de datos no autenticados, de modo que la capa de código y la capa de la nube se integran. Y dado que los hallazgos se corresponden con datos regulados por el RGPD, la HIPAA y la norma PCI DSS, se conectan con el producto Compliance de Aikido, que los convierte en pruebas de auditoría.

Ideal para: Equipos empresariales que deseen detectar y corregir la exposición de datos en su origen, sin conceder acceso a los datos de producción, y garantizar que los datos sujetos a normativa cumplan con el RGPD y la norma PCI DSS.

{{walkthrough}}

Plataformas DSPM especializadas

Cyera

Cyera ofrece una plataforma DSPM sin agentes y nativa de IA que se conecta a tus entornos en la nube, SaaS y locales para localizar y clasificar datos confidenciales. Se pone en marcha rápidamente —los usuarios afirman obtener una amplia visibilidad en cuestión de días— y goza de buena reputación por la precisión de su clasificación.

Sin embargo, al igual que la mayoría de las demás soluciones que se presentan aquí, Cyera necesita acceder a tus datos confidenciales para funcionar. Además, se centra más en identificar dónde se encuentran esos datos que en impulsar la solución, por lo que el valor que obtengas dependerá de tu propio nivel de madurez en materia de gobernanza. Los equipos que no cuenten con un programa maduro de gobernanza de datos pueden acumular hallazgos sin convertirlos en soluciones. La generación de informes es otra de las quejas habituales, ya que las exportaciones personalizadas suelen requerir la ayuda del proveedor y los informes dirigidos a la dirección siguen sin estar lo suficientemente desarrollados.

Ideal para: Equipos que necesitan visibilidad rápida de los datos, pero que deben estar preparados para llevar a cabo las medidas correctivas por sí mismos, ya que Cyera destaca más en la detección de datos que en su corrección.

Varonis

Varonis Es conocida por revelar el contexto de acceso. Además de detectar datos confidenciales, identifica con exactitud quién y qué puede acceder a cada archivo o registro, rastreando los derechos y los enlaces compartidos que conforman el acceso real, para luego supervisar cómo se utiliza dicho acceso.

Varonis Se ha desarrollado partiendo de la gestión de archivos en las instalaciones, por lo que su cobertura de datos nativos de la nube no está a la altura de las herramientas diseñadas desde el principio para la nube, y los equipos que cuentan principalmente con entornos en la nube pueden encontrarlo más pesado de lo necesario. Su profundidad se basa en la recopilación de una gran cantidad de datos de actividad, lo que hace que su implementación y puesta en marcha sean más lentas que las de la mayoría de las herramientas aquí mencionadas; además, los evaluadores señalan su elevado coste y su compleja estructura de precios.

Ideal para: equipos cuyos datos confidenciales se almacenan principalmente en recursos compartidos de archivos y en M365, y que necesitan un control exhaustivo del acceso a los mismos; sin embargo, no es la mejor opción si tus datos son en su mayoría nativos de la nube o si buscas una solución ligera y fácil de implementar.

Plataformas unificadas con DSPM integrado

Wiz

Wiz Ofrece acceso a una API sin agentes y de solo lectura, con una rápida integración en todas las cuentas en la nube, y sitúa cada hallazgo de datos en su gráfico de seguridad junto con la identidad y la exposición de la red, de modo que se puede ver quién tiene acceso a los datos confidenciales. Esa correlación permite a los equipos que ya utilizan Wiz evaluar un hallazgo de datos en función de su exposición real y clasificarlo en el mismo lugar en el que gestionan el resto de sus riesgos en la nube.

Al igual que con el resto, hay que concederle acceso a los datos confidenciales, y Wiz toma muestras de los registros de losdatos de producción para clasificar las vulnerabilidades. Dado que DSPM es un módulo integrado en CNAPP y no el producto principal, su cobertura de almacenes de datos es más limitada que la de las plataformas diseñadas específicamente para este fin. Las opiniones de los usuarios señalan que hay margen de mejora en la detección de datos confidenciales y financieros, así como en la gama de almacenes de datos compatibles, que sigue siendo limitada. La corrección se basa en el contexto del gráfico y en fragmentos de IaC que el propio usuario aplica, y un hallazgo solo se resuelve después de que Wiz vuelva a analizar el recurso en su siguiente ciclo.

Orca

El análisis sin agentes de Orca detecta y clasifica los datos en los almacenes en la nube sin necesidad de implementar agentes, y vincula la sensibilidad de los datos con el acceso, la exposición y las vías de ataque, de modo que un almacén con datos reales de clientes tiene mayor prioridad que uno que contenga datos de prueba. Ese contexto permite a Orca, por ejemplo, dar prioridad a un almacén de datos reales de clientes accesible públicamente frente a datos bien controlados, para que los equipos puedan evaluar la exposición real.

Al igual que el resto de este grupo, necesita acceder a tus datos confidenciales para funcionar. Su DSPM también forma parte de un amplio CNAPP, por lo que su amplio alcance aumenta la carga de trabajo de evaluación y operación, y la protección en tiempo real no es nativa del modelo sin agente, lo que te obliga a implementar el sensor de tiempo de ejecución.

Ideal para: usuarios actuales de Orca que deseen ver los resultados de análisis de datos en la misma vista de ruta de ataque que el resto de sus riesgos en la nube, pero no para equipos que busquen una herramienta de seguridad de datos específica e independiente.