--- title: "Seguridad de Datos en 2026: 5 Amenazas, 5 Controles y Cómo las Salas de Datos los Aplican" lang: es canonical_url: https://www.papermark.com/es/blog/data-security last_updated: 2026-07-21 published: 2025-03-13 category: [document-sharing] author: "Marc Seitz" summary: "Guía completa 2026 sobre seguridad de datos: principios, amenazas, controles, marcos de cumplimiento (GDPR, HIPAA, SOC 2) y cómo las salas de datos virtuales aplican la seguridad de datos en la práctica." --- # Seguridad de Datos en 2026: 5 Amenazas, 5 Controles y Cómo las Salas de Datos los Aplican **La seguridad de datos en 2026** es el conjunto combinado de controles, procesos y decisiones arquitectónicas que protegen los datos organizacionales y personales contra el acceso no autorizado, la alteración, la pérdida y la exfiltración. La superficie de amenazas se ha expandido con flujos de trabajo nativos en la nube, ataques asistidos por IA y regulaciones transfronterizas más estrictas. El modelo de protección también se ha ampliado: el cifrado (AES-256 en reposo, TLS 1.3 en tránsito), la arquitectura de confianza cero, el control de acceso granular y el intercambio de datos con registro de auditoría son ahora requisitos básicos. Esta guía cubre los principios, amenazas, controles, marcos de cumplimiento y el rol específico de las salas de datos virtuales (VDR) como [Papermark](https://www.papermark.com/es/data-room.md) en la aplicación de la seguridad de datos a flujos de trabajo documentales reales. ![Interfaz moderna de seguridad de datos y sala de datos virtual](https://img.papermarkassets.com/upload/file_35DtVER7SdS1G6unRE8unv-papermark-data-room.png) ## Resumen rápido - **La seguridad de datos** se basa en tres principios: confidencialidad, integridad y disponibilidad (la tríada CIA). - **Principales amenazas en 2026**: phishing e ingeniería social generada por IA, ransomware, amenazas internas, compromiso de la cadena de suministro y exposición regulatoria transfronteriza. - **Controles centrales**: cifrado (AES-256, TLS 1.3), autenticación multifactor, control de acceso basado en roles, marcas de agua dinámicas, intercambio con registro de auditoría, protección de endpoints y arquitectura de red de confianza cero. - **Marcos de cumplimiento**: GDPR (UE), CCPA (California), HIPAA (salud en EE. UU.), SOC 2 Type II (SaaS B2B), ISO 27001 (global), FDA 21 CFR Parte 11 (clínico), NIS2 (infraestructura crítica de la UE). - **Las salas de datos virtuales** aplican la seguridad de datos a flujos de trabajo documentales de alto riesgo (M&A, recaudación de fondos, IPO, diligencia regulada) con protección por NDA, marcas de agua dinámicas, permisos granulares y registros de auditoría a prueba de manipulaciones. - **Postura de seguridad de Papermark**: SOC 2 Type II, alineado con GDPR, listo para HIPAA, AES-256 en reposo, TLS 1.3 en tránsito, alojamiento en UE/Fráncfort disponible, más de 38 regiones de residencia de datos, DPA firmado, lista pública de subprocesadores, opción de implementación de código abierto autoalojado. - **Sanciones por incumplimiento**: multas GDPR de hasta el 4% de los ingresos globales o 20 millones de euros, multas HIPAA de hasta 1,5 millones de dólares por violación al año, CCPA de hasta 7.500 dólares por violación intencional. ## ¿Qué es la seguridad de datos? La seguridad de datos es el conjunto combinado de políticas, controles y tecnologías que protegen los datos contra el acceso no autorizado, la divulgación, alteración, destrucción o pérdida. Es más amplia que la seguridad de la información (que cubre todos los activos de información) y se superpone con la privacidad (que añade dimensiones de datos personales y consentimiento). Para las organizaciones que manejan datos de clientes, registros financieros, flujos de trabajo regulados o documentos de fusiones y adquisiciones, la seguridad de datos no es opcional: es la base para la confianza, el cumplimiento normativo y la resiliencia operativa. ### Los tres principios de la seguridad de datos (tríada CIA) La base de todo programa de seguridad de datos se construye sobre tres principios: - **Confidencialidad.** Solo las personas y sistemas autorizados pueden acceder a los datos. Se implementa mediante cifrado, control de acceso, autenticación multifactor y permisos basados en necesidad de conocer. - **Integridad.** Los datos son precisos, completos y permanecen sin cambios a menos que estén autorizados. Se implementa mediante hashing, control de versiones, registro de auditoría y almacenamiento inmutable. - **Disponibilidad.** Los usuarios autorizados pueden acceder a los datos cuando los necesiten. Se implementa mediante redundancia, recuperación ante desastres, planificación de capacidad y protección contra DDoS. Una postura completa de seguridad de datos cubre los tres aspectos. Una plataforma con cifrado robusto (confidencialidad) pero sin registro de auditoría (integridad) y sin redundancia (disponibilidad) está incompleta. ## Por qué importa la seguridad de datos en 2026 Cuatro presiones definen el entorno de seguridad de datos en 2026: **La exposición regulatoria es real y está en aumento.** Las multas del RGPD alcanzan el 4% de los ingresos globales o 20 millones de euros; la CCPA, HIPAA y la certificación SOC 2 cada una conllevan sus propias consecuencias de cumplimiento. La Directiva NIS2 de la UE amplió el alcance de los requisitos de ciberseguridad a la mayoría de las entidades esenciales e importantes, y DORA (vigente desde enero de 2025) endureció la gestión de riesgos TIC para el sector financiero. **Las amenazas cibernéticas están aceleradas por IA.** Los correos de phishing generados por LLMs son más difíciles de detectar. Las estafas de clonación de voz apuntan a ejecutivos. Los grupos de ransomware ahora utilizan reconocimiento asistido por IA para identificar objetivos de alto valor. El lado defensor también se beneficia de la IA, pero la asimetría se ha desplazado hacia los atacantes en algunas categorías. **Las transferencias de datos transfronterizas están limitadas.** Schrems II (2020) endureció los flujos de datos de la UE a países fuera de la UE, y el Marco de Privacidad de Datos UE-EE.UU. proporciona solo un camino parcial. Los flujos de trabajo sensibles requieren cada vez más residencia de datos en la UE desde el inicio. **El estándar de contratación ha aumentado.** Los clientes empresariales exigen rutinariamente informes SOC 2 Tipo II, DPA firmados, listas públicas de subprocesadores y residencia de datos en la UE antes de contratar cualquier proveedor en la nube. Los proveedores sin estos requisitos quedan descalificados en los procesos de adquisición independientemente de la paridad de funciones. ## Amenazas comunes de seguridad de datos en 2026 Cinco categorías de amenazas representan la gran mayoría de los incidentes reales. ### 1. Phishing e ingeniería social generada por IA El phishing sigue siendo el vector de entrada más común. En 2026 las variantes incluyen: - **Spear phishing** con personalización generada por LLM a escala - **Vishing** (phishing de voz) utilizando voces clonadas de ejecutivos - **Smishing** (phishing por SMS) con URLs acortadas y urgencia adaptada por IA - **Compromiso de correo electrónico empresarial (BEC)** con conocimiento detallado de flujos de trabajo internos extraídos de LinkedIn y datos de brechas **Prevención.** Autenticación multifactor en cada cuenta que maneje datos sensibles, capacitación de empleados con campañas simuladas de phishing, filtros de correo antiphishing y vías de escalamiento claras para mensajes sospechosos. ### 2. Ransomware El ransomware cifra datos y exige pago para el descifrado. Las variantes incluyen doble extorsión (robar datos, luego cifrar) y triple extorsión (robar, cifrar, amenazar con DDoS). Los pagos medios de rescate ahora superan $1M para víctimas del mercado intermedio. **Prevención.** Copias de seguridad aisladas o inmutables, segmentación de red, detección y respuesta en endpoints (EDR), acceso con mínimos privilegios y ritmo rápido de aplicación de parches. ### 3. Amenazas internas Las amenazas internas se presentan en dos tipos: maliciosas (robo intencional, sabotaje) y accidentales (compartir información de forma indebida, errores de configuración, dispositivos extraviados). Ambas son comunes; la categoría accidental es mayor en volumen. **Prevención.** Control de acceso basado en roles con configuración predeterminada de mínimos privilegios, registro de auditoría de cada acceso a datos, separación de funciones en flujos de trabajo sensibles, controles en procesos de salida (revocación inmediata de acceso) y políticas claras de manejo de datos. ### 4. Riesgo de cadena de suministro y terceros Los proveedores y socios representan una superficie de ataque extendida. El compromiso de SolarWinds en 2020, la vulneración de MOVEit en 2023 y los ataques continuos contra proveedores de servicios gestionados demuestran cómo el software de terceros se convierte en un vector de acceso a los datos de los clientes. **Prevención.** Evaluaciones de riesgo de proveedores antes de la contratación, términos contractuales de protección de datos (DPA), monitoreo continuo de la postura de seguridad del proveedor, seguimiento de la lista de materiales de software (SBOM) y arquitectura de confianza cero que no asume que los sistemas de proveedores son seguros. ### 5. Exposición regulatoria transfronteriza La quinta amenaza es de naturaleza regulatoria más que técnica. Un flujo de trabajo que procesa datos de residentes de la UE en infraestructura estadounidense sin las Cláusulas Contractuales Tipo (SCCs) adecuadas constituye por sí mismo un incidente de cumplimiento, independientemente de si algún dato es "robado". **Prevención.** Residencia de datos en la UE para clientes europeos, DPAs firmados con todos los procesadores de datos, listas documentadas de subprocesadores y decisiones arquitectónicas (autoalojamiento, nube soberana) para flujos de trabajo donde la transferencia transfronteriza es estructuralmente indeseable. ## Controles fundamentales de seguridad de datos Cinco controles técnicos forman la base de toda arquitectura moderna de seguridad de datos. ### 1. Cifrado en reposo y en tránsito - **En reposo**: cifrado AES-256 aplicado a documentos almacenados, metadatos, registros de auditoría y copias de seguridad. - **En tránsito**: TLS 1.3 (o TLS 1.2+ como mínimo) para toda comunicación cliente-servidor. - **Gestión de claves**: claves gestionadas por el cliente o claves gestionadas por la plataforma con políticas estrictas de rotación. Traer tu propia clave (BYOK) y traer tu propio bucket de AWS son cada vez más necesarios para flujos de trabajo altamente sensibles. - **Cifrado del lado del cliente** para arquitecturas de conocimiento cero donde ni siquiera el proveedor de la plataforma puede descifrar los archivos del cliente. ### 2. Autenticación multifactor e identidad - **MFA en cada cuenta privilegiada** (administración, finanzas, RRHH, equipos de negociación). - **SSO mediante SAML u OIDC** para usuarios empresariales, integrado con el proveedor de identidad corporativo (Okta, Azure AD, Google Workspace). - **Verificación por correo electrónico o autenticación mediante enlace mágico** para visualizadores externos (reduce la fricción en la creación de cuentas sin comprometer la verificación). - **Autenticación biométrica** en dispositivos móviles para flujos de trabajo ejecutivos. ### 3. Control de acceso basado en roles y granular - **Permisos a nivel de carpeta y archivo** asignados por usuario o grupo. - **Herencia de permisos** con anulaciones explícitas para elementos de alta sensibilidad. - **Listas de permitidos y bloqueados** por correo electrónico o dominio. - **Acceso limitado en el tiempo** con expiración de enlaces y revocación manual. ### 4. Registro de auditoría y monitoreo - **Registro de auditoría de solo adición** de cada evento de autenticación, acceso y modificación. - **Alertas en tiempo real** sobre comportamiento anómalo (anomalías geográficas, acceso fuera de horario, descargas masivas). - **Registro de auditoría exportable** para revisión de cumplimiento, evaluación de proveedores e investigación post-incidente. ### 5. Arquitectura de confianza cero - **Verificar cada solicitud** independientemente del origen de la red. - **Autorización continua** con reautenticación para acciones sensibles. - **Valores predeterminados de mínimo privilegio** con concesiones explícitas en lugar de acceso generalizado. - **Analítica de comportamiento** para detectar desviaciones de los patrones de acceso establecidos. ## Cómo aplican la seguridad de datos las salas de datos virtuales en la práctica Para flujos de trabajo de documentos de alto riesgo (diligencia debida en fusiones y adquisiciones, recaudación de fondos, preparación para OPI, diligencia regulada en salud o finanzas), el intercambio genérico de archivos no cumple con los estándares de seguridad de datos. **Las salas de datos virtuales (VDR)** son plataformas diseñadas específicamente para aplicar los controles mencionados a documentos de negociación. Para una descripción más profunda de la categoría, consulte [¿Qué es una sala de datos virtual?](/es/blog/what-is-virtual-data-room.md). ### Ocho controles de seguridad de datos específicos de VDR Un VDR moderno aplica ocho controles que el almacenamiento en la nube genérico no ofrece: 1. **Marca de agua dinámica** que imprime en cada página el correo electrónico del visualizador por sesión, IP y fecha/hora. Un documento filtrado puede rastrearse hasta el visualizador específico y el evento de acceso. 2. **Aplicación de NDA antes del acceso.** Los destinatarios deben aceptar un NDA antes de que se cargue cualquier documento. La aceptación se registra con fecha/hora, IP y correo electrónico: un registro probatorio para litigios. 3. **Permisos granulares de carpetas y archivos** definidos por cada comprador, inversor o socio. El asesor jurídico del comprador ve la carpeta completa de diligencia debida; un competidor estratégico ve solo los materiales de la Etapa 1. 4. **Listas de permitidos y verificación de correo electrónico** garantizan que solo las contrapartes verificadas puedan abrir un enlace. Una URL reenviada falla la verificación de identidad sin una coincidencia de correo electrónico autorizado. 5. **Bloqueo de descarga e impresión** por enlace. Los materiales altamente sensibles permanecen en modo solo lectura. 6. **Registro de auditoría de solo agregación** con tiempo de permanencia por página, identidad del visualizador y rastro exportable para disputas posteriores al cierre y revisión regulatoria. 7. **Caducidad de enlace y revocación manual.** El acceso finaliza automáticamente al cierre del acuerdo o manualmente en el momento en que un comprador se retira. 8. **Módulo de preguntas y respuestas** con alcance por comprador que evita que los compradores competidores vean las preguntas de los demás. Para ver el desglose completo de funciones, consulte [15 funcionalidades de data room virtual que importan](/es/blog/virtual-data-room-features.md) y la [guía completa de data room de diligencia debida](/es/blog/best-virtual-data-rooms-for-due-diligence.md). ![Permisos granulares y control de acceso en un data room](https://assets.papermark.io/upload/file_LkU4BNY6MKUKMgDucSzzFg-papermark-granular-permissions.png) ### Madurez de seguridad de datos por herramienta de compartición | Categoría de herramienta | Cifrado | MFA | Permisos granulares | Marca de agua dinámica | Puerta NDA | Registro de auditoría | Ideal para | | -------------------------------------- | -------------------- | ----------------- | ---------------------- | ---------------------- | --------------- | --------------------------- | ------------------------------------------------------------- | | **Adjuntos de correo electrónico** | Solo TLS en tránsito | A nivel de cuenta | Ninguno | Ninguna | Ninguna | Ninguno | Evitar para datos sensibles | | **Nube de consumo** (Drive, Dropbox) | AES-256 + TLS | Sí | Limitados | Ninguna | Ninguna | Básico | Colaboración interna | | **Nube empresarial** (Box, OneDrive) | AES-256 + TLS | Sí | Moderados | Solo estática | Ninguna | Mejor | Empresa interna | | **VDR genérico** (empresa tradicional) | AES-256 + TLS | Sí | Granulares | Sí | Sí | Sí | M&A de mercado medio | | **VDR moderno** (Papermark) | AES-256 + TLS 1.3 | Sí (MFA + SSO) | Granular por comprador | Dinámica por sesión | Sí (registrada) | Solo agregación, exportable | M&A nivel acuerdo, recaudación de fondos, diligencia regulada | Para comparaciones con herramientas de la competencia, consulta [Box como sala de datos](/es/blog/box-data-room.md), [Google Drive como sala de datos](/es/blog/google-drive-dataroom-overview.md) y [SharePoint como sala de datos](/es/blog/how-to-create-a-data-room-in-sharepoint.md). ## Marcos de cumplimiento para la seguridad de datos Una postura completa de seguridad de datos se alinea con múltiples marcos de cumplimiento. Cada uno aborda un alcance diferente. | Marco | Alcance | Requisitos clave | Cuándo aplica | | ------------------------------- | ------------------------------------------------- | ----------------------------------------------------------------------------------------------- | --------------------------------------------------------------- | | **GDPR** (UE 2016/679) | Datos personales de residentes de la UE | DPA, lista de subencargados, notificación de brechas en 72 horas, derechos del titular de datos | Cualquier procesamiento de datos de residentes de la UE | | **CCPA / CPRA** (California) | Datos de consumidores de California | Divulgación, exclusión voluntaria, derechos de eliminación | Cualquier empresa que procese datos de residentes de California | | **HIPAA** (salud en EE.UU.) | Información de Salud Protegida (PHI) | BAA, cifrado, registros de auditoría, notificación de brechas | Salud, biotecnología, seguros | | **SOC 2 Type II** (AICPA) | Controles de organizaciones de servicios | Seguridad (requerida), Disponibilidad, Confidencialidad | Requisito de adquisición B2B SaaS | | **ISO 27001** (Global) | Sistema de gestión de seguridad de la información | SGSI documentado, auditoría anual | Adquisiciones de empresas globales | | **FDA 21 CFR Part 11** (EE.UU.) | Registros electrónicos y firmas | Registro de auditoría, firmas electrónicas con identidad, validación del sistema | Ensayos clínicos, IND/NDA, biotecnología | | **Directiva NIS2** (UE) | Ciberseguridad para infraestructura crítica | Gestión de riesgos, notificación de incidentes | Energía, finanzas, salud, transporte | | **DORA** (sector financiero UE) | Gestión de riesgos de TIC | Pruebas de resiliencia operacional, registro de riesgos de TIC | Bancos, seguros, gestores de activos | | **FedRAMP** (federal EE.UU.) | Servicios en la nube federales | Monitoreo continuo, niveles IL2-IL5 | Contratistas federales de EE.UU. | Para documentación específica de Papermark según el marco normativo, consulte [Cumplimiento RGPD de Papermark](/es/blog/papermark-gdpr-compliance.md), [Cumplimiento SOC 2 Tipo II de Papermark](/es/blog/papermark-soc2-compliance.md) y [sala de datos virtual para biotecnología](/es/blog/virtual-data-room-for-biotech.md) (HIPAA + 21 CFR Parte 11). ## Construcción de una estrategia de seguridad de datos Una estrategia documentada de seguridad de datos incluye gestión de riesgos, respuesta ante incidentes y mejora continua. ### Gestión de riesgos La gestión de riesgos es la identificación, medición y tratamiento proactivo de los riesgos de seguridad de datos. Tres pilares: - **Evaluación de riesgos.** Documente amenazas, vulnerabilidades, probabilidad e impacto. Actualice al menos anualmente y tras cambios importantes. - **Estrategias de mitigación.** Aplique controles de seguridad, realice auditorías de seguridad y ejecute capacitación de empleados. Priorice los controles según la relación riesgo-costo. - **Registro de riesgos.** Mantenga un registro documentado de los riesgos identificados con responsables, estado de mitigación y fechas de revisión. ### Respuesta ante incidentes Cuando ocurre un incidente de seguridad, la velocidad de respuesta determina el impacto. Un plan documentado de respuesta ante incidentes cubre: - **Detección.** Identifique el incidente mediante monitoreo, alertas o informes externos. - **Contención.** Detenga la propagación aislando los sistemas afectados y revocando las credenciales comprometidas. - **Erradicación.** Elimine la amenaza, aplique parches a las vulnerabilidades y reinicie los sistemas afectados. - **Recuperación.** Restaure las operaciones normales desde copias de seguridad limpias; valide la integridad antes de poner los sistemas nuevamente en línea. - **Revisión posterior al incidente.** Documente la cronología, la causa raíz, la efectividad de la mitigación y las lecciones aprendidas. El RGPD requiere notificación de violación dentro de 72 horas. HIPAA requiere notificación de violación dentro de 60 días. La certificación de auditoría SOC 2 requiere procedimientos documentados de respuesta ante incidentes con evidencia de pruebas. ### Mejora continua La seguridad es un programa continuo, no un proyecto puntual. La mejora continua combina: - **Revisiones de acceso trimestrales** para verificar que los valores predeterminados de mínimo privilegio sigan vigentes. - **Pruebas de penetración anuales** realizadas por un tercero independiente. - **Auditoría SOC 2 Tipo II anual** con controles de monitoreo continuo entre auditorías. - **Capacitación de seguridad para empleados** con simulacros de phishing y sesiones de aprendizaje posterior a incidentes. - **Revisiones de riesgo de proveedores** anualmente para subprocesadores que manejan datos sensibles. ## Postura de seguridad de datos de Papermark La arquitectura de seguridad y la postura de cumplimiento de Papermark cubren los controles descritos anteriormente de forma predeterminada. Todos los detalles técnicos se encuentran en la [página de seguridad de Papermark](https://www.papermark.com/es/security.md). | Categoría de control | Predeterminado en Papermark | | ------------------------ | ------------------------------------------------------------------------------------------------ | | Cifrado en reposo | AES-256 | | Cifrado en tránsito | TLS 1.2+ sobre HTTPS, compatible con TLS 1.3 | | Región de alojamiento | Europa por defecto; EE. UU. disponible; Enterprise puede seleccionar más de 38 regiones globales | | MFA | Sí para cuentas de administrador; SSO vía SAML/OIDC para Enterprise | | Permisos granulares | Nivel de carpeta y archivo, por usuario y por grupo | | Marca de agua dinámica | Correo electrónico del visualizador por sesión, IP, marca de tiempo en cada página | | Bloqueo con NDA | Puerta de aceptación de NDA integrada antes del acceso al documento | | Registro de auditoría | Solo anexión con exportación completa | | Cumplimiento | SOC 2 Type II, GDPR, CCPA, listo para HIPAA (con BAA) | | Opción autohospedada | Implementación de código abierto AGPL disponible | | Notificación de brechas | Notificación en 72 horas según el Artículo 33 del GDPR | | DPA | DPA estándar disponible bajo firma para clientes empresariales | | Lista de subprocesadores | Pública, con aviso previo de cambios | Para documentación específica de cada marco normativo, consulta [Cumplimiento GDPR de Papermark](/es/blog/papermark-gdpr-compliance.md), [Cumplimiento SOC 2 Type II de Papermark](/es/blog/papermark-soc2-compliance.md) y la [página de seguridad de Papermark](https://www.papermark.com/es/security.md). ## Preguntas frecuentes ### ¿Qué es la seguridad de datos? La seguridad de datos es el conjunto combinado de políticas, controles y tecnologías que protegen los datos contra el acceso no autorizado, la divulgación, alteración, destrucción o pérdida. Se basa en tres principios: confidencialidad (solo acceso autorizado), integridad (exactos y sin cambios) y disponibilidad (accesibles cuando se necesitan). ### ¿Cuáles son las amenazas de seguridad de datos más comunes en 2026? Cinco categorías de amenazas dominan: phishing e ingeniería social generados por IA, ransomware, amenazas internas (intencionales y accidentales), riesgo de la cadena de suministro y terceros, y exposición regulatoria transfronteriza. Cada una tiene controles de prevención específicos. ### ¿Cómo aplican las salas de datos virtuales la seguridad de datos? Las VDR modernas aplican ocho controles específicos: marca de agua dinámica, aplicación de NDA antes del acceso, permisos granulares de carpetas y archivos, listas de acceso permitido y verificación de correo electrónico, bloqueo de descargas, registros de auditoría de solo anexión, vencimiento de enlaces y preguntas y respuestas estructuradas con alcance por licitante. Consulta /blog/what-is-virtual-data-room para una descripción general de la categoría. ### ¿Qué estándar de cifrado debe utilizar una plataforma de documentos segura? AES-256 para datos en reposo y TLS 1.3 (con TLS 1.2 como mínimo) para datos en tránsito. Los flujos de trabajo altamente confidenciales añaden claves administradas por el cliente, bring-your-own-key (BYOK) o cifrado del lado del cliente para arquitecturas de conocimiento cero. ### ¿Papermark cumple con SOC 2 y GDPR? Sí. Papermark está auditado bajo SOC 2 Type II, alineado con GDPR con DPA firmado y lista pública de subprocesadores, cumple con CCPA y está listo para HIPAA (con BAA en planes empresariales). La residencia de datos en la UE está disponible para clientes europeos a través del alojamiento en Frankfurt o implementación autohospedada. ### ¿Qué es la tríada CIA en seguridad de datos? La tríada CIA es el modelo fundamental de la seguridad de datos: Confidencialidad (solo acceso autorizado), Integridad (datos exactos y sin cambios) y Disponibilidad (datos accesibles cuando se necesitan). Cada control de seguridad se relaciona con uno o más de estos tres principios. ### ¿Qué marcos de cumplimiento se aplican a la seguridad de datos? GDPR (datos personales de la UE), CCPA (California), HIPAA (salud en EE. UU.), SOC 2 Type II (SaaS B2B), ISO 27001 (ISMS global), FDA 21 CFR Parte 11 (ensayos clínicos), NIS2 (infraestructura crítica de la UE), DORA (sector financiero de la UE), FedRAMP (gobierno federal de EE. UU.). Los marcos que se aplican dependen del tipo de datos, la jurisdicción y la industria. ### ¿Cuál es la diferencia entre seguridad de datos y seguridad de la información? La seguridad de datos es un subconjunto de la seguridad de la información. La seguridad de la información protege todos los activos de información (datos, sistemas, procesos, personas). La seguridad de datos se enfoca específicamente en los datos en sí. En la práctica, ambos términos se usan de manera intercambiable para la mayoría de los propósitos. ### ¿Cómo construyo una estrategia de seguridad de datos? Tres pilares: gestión de riesgos (evaluación, mitigación, registro), respuesta a incidentes (detección, contención, erradicación, recuperación, revisión) y mejora continua (revisiones trimestrales de acceso, pruebas de penetración anuales, auditoría SOC 2 anual, capacitación de empleados, revisiones de riesgo de proveedores). ### ¿Puede Papermark autohospedarse para la soberanía de datos? Sí. Papermark es la única sala de datos virtual de código abierto con implementación autohospedable AGPL. El autohospedaje te brinda control total sobre la ubicación de los datos, las claves de cifrado y las políticas de retención, lo cual es importante para industrias reguladas (bancos, gobierno, biotecnología) y requisitos de datos soberanos. ## Recursos relacionados - [Página de seguridad de Papermark](https://www.papermark.com/es/security.md) - [Cumplimiento GDPR de Papermark](/es/blog/papermark-gdpr-compliance.md) - [Cumplimiento SOC 2 Type II de Papermark](/es/blog/papermark-soc2-compliance.md) - [Flujo de trabajo de compartición de documentos conforme a GDPR](/es/blog/document-secure-document-sharing-workflow-gdpr.md) - [¿Qué es una sala de datos virtual?](/es/blog/what-is-virtual-data-room.md) - [15 funciones de salas de datos virtuales que importan](/es/blog/virtual-data-room-features.md) - [Guía completa de salas de datos para due diligence](/es/blog/best-virtual-data-rooms-for-due-diligence.md) - [Mejores salas de datos virtuales en 2026](/es/blog/best-virtual-data-rooms.md) - [Sala de datos virtual para biotecnología (HIPAA)](/es/blog/virtual-data-room-for-biotech.md) --- _Markdown version of [this article](https://www.papermark.com/es/blog/data-security) for AI agents and LLMs._ _More Papermark content: [llms.txt](https://www.papermark.com/es/llms.txt) · [full index (English)](https://www.papermark.com/llms-full.txt)._