Los datos, las claves y la nube heredados

Cifrar en reposo protege contra quien se lleva el disco o la copia. Deja de proteger si la clave viaja con lo que protege: quien obtiene la copia obtiene también la clave, y el cifrado queda como un trámite. Lo importante no es si el almacén dice «cifrado: sí», sino dónde está guardada la clave.

Guardar un dato más tiempo del necesario alarga el daño de una fuga y encarece el almacenamiento sin ganar nada. Cada almacén lleva su retención real y la que dice la política; la diferencia es una deuda que alguien decidió o, más a menudo, que nadie decidió.

Separar funciones en una clave significa que quien la administra no es quien la usa: así, quien podría exportarla o cambiar sus permisos no es quien opera con ella cada día. Cuando coinciden, una sola cuenta comprometida o una sola persona con prisa puede hacer las dos cosas.

Un almacén público es una decisión válida para un catálogo de productos y un error para una copia de datos de clientes. La clasificación del dato decide si el acceso público es aceptable; por eso se mira junto al acceso y no por separado. Después, el guardrail que la cuenta debería tener explica por qué pasó.

El almacén de analítica reúne tres fallas: es confidencial, es público y se guarda más tiempo del permitido. La cuenta no tiene el guardrail que bloquea el almacenamiento público. El cambio que cierra más riesgo por menos esfuerzo es el que usa lo que la organización ya tiene, no el que empieza de cero.