El cifrado como requisito en marcos y contratos

«El proveedor cifrará los datos con cifrado robusto» suena bien y no se puede auditar: no dice qué algoritmo, ni en reposo o en tránsito, ni quién guarda las claves. Una cláusula verificable nombra el algoritmo o el protocolo, dice cuándo aplica (reposo, tránsito, ambos), quién custodia las claves y da a la empresa el derecho de comprobarlo.

El marco pide el requisito; el contrato lo traduce a algo que un auditor pueda tocar.

La política de terceros de Ciruelo exige a todo contrato cifrado en reposo y en tránsito. Un contrato que cifra lo que guarda pero no dice nada de lo que viaja deja los datos expuestos mientras circulan entre Ciruelo y el proveedor. Abre politica_de_terceros y contratos.

Para los datos confidenciales la política pide algo más: las claves quedan en custodia de Ciruelo. Si las guarda el proveedor, quien opera el servicio puede leer lo que cifró y Ciruelo no puede retirar el acceso destruyendo la clave. Compara la clasificación de cada contrato con la columna de claves.

Cada marco tiene su propia numeración. Para citar bien en un informe hay que saber cuál es el control que exige reglas de uso de la criptografía y de gestión de claves. El resumen requisitos_de_marcos recoge lo que pide cada referencia; el del Anexo A de ISO/IEC 27001:2022 es el que habla de reglas de uso de la criptografía, incluida la gestión de claves.

Para la dirección jurídica hace falta una cifra. Un contrato incumple si le falta cualquiera de los requisitos de su clasificación: cifrado en reposo con algoritmo nombrado, cifrado en tránsito, derecho a auditar o, si es confidencial, claves en custodia de Ciruelo. Revisa los seis contratos con esa regla.