Cifrado, claves y almacenamiento

El cifrado en reposo protege los datos guardados: si alguien se llevara el disco, no podría leerlos. No decide quién puede pedirle los datos al almacén. Una persona con permiso de lectura recibe los datos ya descifrados, y un almacén de acceso público los entrega a cualquiera. Por eso el cifrado y el control de acceso son dos revisiones distintas, y una buena no suple la otra.

La política de Valle Claro trata las dos por separado: una regla pide cifrado para los datos sensibles y otra limita el acceso público.

La primera regla pide cifrado en reposo con clave propia para todo almacén con datos de clasificación Confidencial o Restringida. Los almacenes de clasificación Interna o Publica no están obligados por esa regla. Recorre almacenes filtrando primero por clasificación y después por cifrado.

Tres almacenes tienen acceso público. Dos son de clasificación Publica, y para ellos la política lo permite: un catálogo o unas fotos de producto están hechos para verse. El hallazgo es el que tiene acceso público sin ser de clasificación Publica.

Una clave que se usa durante años acumula riesgo: cuantos más datos protege, más grave es que se filtre. La política pide la rotación automática encendida en las claves propias activas. Una clave deshabilitada ya no cifra nada nuevo y no cuenta. Recorre claves buscando la combinación que sí incumple.

Para decirle al comité cuánto hace que la clave de los respaldos no se rota, hay que contar los días entre su última rotación y el corte del 30 de junio de 2027. Un año tiene 365 días y esa clave cumple más de uno, lo que se ve a ojo; la cifra exacta es una resta de fechas. Primero averigua qué clave usa el almacén de respaldos.