Seguridad de datos: qué es, la diferencia con privacidad y gobernanza y cómo proteger los registros maestros

La seguridad de datos es el conjunto de prácticas, controles y tecnologías usados para proteger la información de una empresa contra el acceso indebido, la filtración, la pérdida o el uso incorrecto. En la práctica, es la respuesta a una pregunta simple que todo liderazgo debería poder hacerse: si alguien no autorizado llegara hoy al maestro de clientes, proveedores o materiales de la empresa, qué podría ver, alterar o llevarse esa persona.

Esa pregunta parece obvia, pero veo pocas empresas capaces de responderla con seguridad. En casi treinta años pasando por proyectos de SAP, compras, registros maestros y gobernanza, aprendí que la seguridad de datos suele tratarse como un asunto exclusivo de TI, cuando en realidad es un asunto de negocio. Una filtración de datos de proveedores puede exponer una condición comercial negociada a precio de oro. Un acceso indebido al maestro de clientes puede convertirse en un proceso por la LGPD (Ley General de Protección de Datos de Brasil). Y un dato maestro mal protegido hoy también es combustible para que una IA tome una decisión equivocada con información que nunca debió haberse expuesto de esa manera.

Seguridad de datos, privacidad y gobernanza: cuál es la diferencia

Estas tres palabras van juntas, pero no son sinónimos, y mezclar los conceptos es un error común en las empresas.

La seguridad de datos es la protección técnica y operativa de la información: control de acceso, cifrado, backup, monitoreo de intentos de intrusión, enmascaramiento de datos sensibles y respuesta a incidentes. Es la parte que impide que el dato sea robado, corrompido o perdido.

La privacidad de datos es el derecho de las personas sobre su propia información y las reglas que la empresa sigue para tratar ese dato correctamente, bajo la LGPD. La privacidad responde preguntas como: ¿la empresa tiene base legal para guardar este CPF (el número de identificación fiscal de las personas físicas en Brasil), este correo, esta dirección? ¿Por cuánto tiempo puede guardarlos? ¿Quién puede acceder?

La gobernanza de datos es la capa más amplia: la estructura de roles, procesos, políticas y responsabilidades que garantiza que el dato correcto esté disponible, con calidad, en el lugar correcto, para la persona correcta, con control sobre quién puede hacer qué. La seguridad y la privacidad son componentes esenciales de la gobernanza, pero la gobernanza también cuida la calidad y la estandarización, no solo la protección.

Una forma práctica de verlo: la seguridad protege el dato, la privacidad protege a la persona dueña del dato, la gobernanza organiza el dato como activo de la empresa. Las tres necesitan existir juntas para funcionar de verdad.

Cómo funciona la seguridad de datos en la práctica

La seguridad de datos no es un proyecto que termina, es una disciplina continua, construida en capas. En el contexto de los datos maestros, que es donde he vivido la mayor parte de mi carrera, aparece de forma muy concreta.

La primera capa es el control de acceso. No todos en la empresa necesitan ver el registro completo de un proveedor, con condición comercial y contacto del responsable de la cuenta. Perfiles de acceso bien definidos, por función y por necesidad real de uso, evitan que la información sensible circule sin motivo, tanto en el ERP como en cualquier plataforma de MDM que centralice los registros maestros.

La segunda capa es el cifrado, que protege el dato almacenado en la base y en tránsito entre sistemas. Cuando una empresa integra el ERP con una plataforma de MDM, con un sistema de compras o con una herramienta de IA, ese tráfico de datos debe estar protegido en cada punto de la cadena.

La tercera capa, que considero subestimada, es el enmascaramiento de datos. En los ambientes de prueba y homologación, los equipos de TI suelen usar una copia de los datos de producción. Si esa copia tiene CPF reales, datos bancarios reales y condiciones comerciales reales, la empresa expone información sensible a un ambiente con un control mucho más laxo. Enmascarar esos campos, cambiando el dato real por un dato ficticio con la misma estructura, resuelve esto sin frenar el trabajo de desarrollo.

La cuarta capa es el monitoreo y la auditoría. Saber quién accedió a qué, cuándo y qué cambió es lo que permite identificar un problema antes de que se convierta en un incidente grave, y también es lo que sostiene una investigación seria cuando algo ya ocurrió.

La quinta capa, que conecta directamente con la gobernanza, es la calidad y la estandarización del propio dato. Un registro maestro duplicado, mal completado o desactualizado no es solo un problema de calidad, es también un riesgo de seguridad, porque multiplica los puntos donde la información sensible puede estar almacenada, muchas veces sin ningún control sobre esas copias paralelas.

Quién es responsable de la seguridad de datos en la empresa

La respuesta correcta es que la seguridad de datos es una responsabilidad compartida, con roles específicos.

El área de seguridad de la información, o el CISO en las empresas mayores, cuida la infraestructura técnica: firewall, cifrado, respuesta a incidentes, política de acceso. Es quien construye las barreras.

El encargado de protección de datos (DPO) cuida el cumplimiento de la LGPD: garantiza que el tratamiento de datos personales tenga base legal, que exista un proceso para atender las solicitudes del titular y que el inventario de datos personales esté actualizado.

El data steward y el data owner cuidan el dato en el día a día: saben qué significa cada campo del maestro, quién puede modificarlo, quién es el dueño de la información en cada área de negocio. Son quienes suelen percibir primero cuando un acceso está demasiado amplio o cuando un campo sensible está visible para demasiada gente.

Y el liderazgo de negocio, esto lo repito bastante en los proyectos, necesita entender que la seguridad de datos no es un problema solo de TI. El comprador que negocia una condición comercial, el vendedor que accede a datos de clientes, el gerente que aprueba la homologación de un proveedor: todos manejan información sensible todos los días y necesitan entender el mínimo de responsabilidad que eso exige.

Qué herramientas apoyan la seguridad de datos

En el universo de la gobernanza y los datos maestros, algunas herramientas del mercado ayudan directamente en la protección de la información. Las plataformas de MDM como SAP Master Data Governance, Informatica, Stibo Systems, Reltio, Semarchy, Profisee y Ataccama traen control de acceso por perfil, pista de auditoría y, en muchos casos, recursos de enmascaramiento de datos sensibles dentro del propio flujo de alta de registros.

Las herramientas de catálogo de datos, como Collibra, Alation y Microsoft Purview, ayudan a mapear dónde está esparcido el dato sensible dentro de la empresa, lo que es un requisito previo para proteger de verdad: no se puede proteger lo que no sabes que existe. Las herramientas de calidad de datos, como Ataccama e Informatica Data Quality, también entran en esta conversación, porque reducen la duplicidad y la inconsistencia, lo que disminuye la superficie de riesgo.

Vale recordar que ninguna herramienta sustituye al proceso y a la responsabilidad definida. La empresa que compra la mejor plataforma del mercado y no define quién es el dueño del dato, cuál es la política de acceso y cómo se trata un incidente sigue expuesta, solo que con una herramienta cara detenida.

Cómo aprender sobre seguridad de datos

Para quien quiere especializarse en este cruce entre seguridad, privacidad y gobernanza, el camino más sólido combina teoría de referencia con práctica de proyectos reales. La certificación CDMP de DAMA cubre la seguridad de datos como una de las áreas de conocimiento del DMBOK, la guía de referencia de la profesión, y es una buena base conceptual. Para quien quiere profundizar específicamente en seguridad de la información, certificaciones como ISO 27001 Lead Implementer o Lead Auditor ayudan a entender cómo la empresa estructura el control de riesgos de manera formal, algo que considero relevante porque 4MDG sigue justamente la ISO 27001 en la forma en que trata los datos de clientes.

Pero la certificación sola no forma a un profesional listo. Lo que realmente enseña es participar en proyectos reales, ver qué pasa cuando se libera un acceso sin criterio, entender cómo se trata en la práctica un incidente de filtración y aprender a traducir el riesgo técnico a un lenguaje que el liderazgo de negocio entienda.

Las oportunidades de carrera en seguridad de datos

El mercado brasileño tiene una demanda creciente de profesionales que transiten entre seguridad, privacidad y gobernanza de datos, sin quedarse atados a solo uno de esos frentes. Las empresas medianas y grandes, principalmente las que corren SAP, TOTVS u Oracle y manejan un gran volumen de maestros de clientes, proveedores y materiales, necesitan cada vez más gente que entienda tanto el lado técnico de la protección como el lado de negocio del dato.

Cargos como analista de seguridad de la información, especialista en privacidad, data steward con foco en control de acceso y consultor de gobernanza de datos están entre las posiciones más buscadas. La ola de IA empresarial solo lo refuerza, porque toda empresa que quiere usar IA de forma responsable necesita antes garantizar que los datos que alimentan esos modelos estén protegidos y con acceso controlado. Quien domina este cruce entre seguridad, calidad y gobernanza de datos maestros tiende a estar bien posicionado en los próximos años.

Principales dudas sobre seguridad de datos

¿La seguridad de datos es lo mismo que la seguridad de la información? Son conceptos cercanos. La seguridad de la información es un término más amplio, que cubre cualquier tipo de información de la empresa, incluidos documentos y procesos. La seguridad de datos suele usarse específicamente para los datos almacenados en sistemas, bases de datos y plataformas.

¿Toda empresa necesita una política formal de seguridad de datos? Sí, independientemente del tamaño. No necesita ser un documento gigante, pero debe definir claramente quién tiene acceso a qué, cómo se reporta y se trata un incidente, y qué datos se consideran sensibles en ese negocio.

¿El enmascaramiento de datos es obligatorio según la LGPD? La LGPD no exige el enmascaramiento como una técnica específica, pero sí exige medidas técnicas y administrativas adecuadas para proteger los datos personales. El enmascaramiento es una de las formas más eficaces de cumplir esa exigencia en ambientes de prueba y desarrollo.

¿Quién responde si hay una filtración de datos maestros con información personal? La empresa responde ante la Autoridad Nacional de Protección de Datos y ante los titulares afectados. Internamente, la responsabilidad se distribuye entre quien definió el control de acceso, quien operó el sistema y el liderazgo que aprobó, o no, las inversiones necesarias en seguridad.

¿La seguridad de datos frena la velocidad de los proyectos de TI y de IA? Cuando está bien diseñada, no frena, orienta. El problema aparece cuando la seguridad se piensa después de que el proyecto ya está listo. Cuando entra desde el inicio, junto con la definición del modelo de datos, el proceso avanza más rápido y con mucho menos retrabajo.

MDM Academy: dónde aprender gobernanza y seguridad de datos en la práctica

La MDM Academy es la escuela de gobernanza de datos y Master Data Management de 4MDG, creada para formar profesionales capaces de unir una teoría consistente con la realidad de los proyectos que vivimos todos los días en empresas medianas y grandes. Los contenidos cubren desde los fundamentos de los datos maestros hasta temas avanzados como seguridad, calidad, integración con SAP y uso responsable de IA sobre los registros maestros corporativos.

El gran diferencial es que el material no se queda en la teoría académica. Nace de situaciones reales, de proyectos vividos, de errores que ya le costaron caro a alguna empresa y que se convirtieron en aprendizaje. Quien pasa por la MDM Academy sale entendiendo no solo el concepto, sino cómo aplicarlo en el día a día de compras, registros maestros, TI y gobernanza.

Si quieres profundizar en seguridad de datos, gobernanza y datos maestros con esta mirada práctica, vale la pena conocer la MDM Academy y también considerar entrar al Club de los Datos, nuestra comunidad de profesionales que discuten estos temas de forma constante, intercambiando la experiencia real de quienes enfrentan este problema todos los días.

Conclusión

La seguridad de datos dejó de ser un asunto restringido al equipo de TI hace mucho tiempo. Se convirtió en una responsabilidad de negocio, tan importante como la calidad y la gobernanza, principalmente en una época en que la IA empresarial depende directamente de la confianza que la empresa tiene en sus propios datos maestros. Proteger el maestro de clientes, proveedores y materiales no es burocracia, es lo que sostiene una decisión de compra segura, una relación comercial confiable y el cumplimiento de la LGPD sin sobresaltos.

La pregunta que queda para todo liderazgo es simple. Si alguien sin autorización llegara hoy a los registros maestros de tu empresa, ¿sabrías decir exactamente a qué podría acceder esa persona? Si la respuesta no llega rápida y con seguridad, esa ya es una buena señal de que es hora de mirar con más atención la seguridad de tus datos maestros.