El inventario criptográfico

Un inventario criptográfico no es una lista de certificados. Un certificado es solo uno de los sitios donde aparece la criptografía; también está en el cifrado de una base de datos, en la firma de un token, en el túnel entre dos sedes, en un hash de contraseñas o en una clave de host de un servidor de transferencia. Cada uso necesita, como mínimo, cuatro datos: para qué se usa, con qué algoritmo y parámetros, dónde vive la clave y quién responde de él.

Sin el algoritmo no se sabe qué hay que cambiar. Sin el uso no se sabe qué dato protege ni cuánto tiempo debe seguir reservado. Sin el lugar de la clave no se sabe qué hay que rotar ni quién la puede tocar. Y sin un responsable, nadie decide cuándo migrar.

El inventario de Quillacinga tiene diez usos. En la tabla usos, la columna responsable dice qué equipo responde de cada uno. Un uso sin dueño es un riesgo doble: nadie lo vigila hoy y nadie lo migrará mañana, porque nadie sabe que es suyo. Suele ser un servicio que montó alguien que ya no está, o una integración que funciona y por eso nadie la mira.

Abre el laboratorio, revisa la tabla y encuentra el uso que no tiene responsable. Anota su identificador.

La columna donde_vive_la_clave es la que más le sirve a un auditor. Una clave en un gestor de claves o en un HSM es lo esperado; una clave que vive en un archivo versionado junto al código es una exposición que la migración no resuelve por sí sola: cambiar el algoritmo y dejar el secreto donde está solo mueve el problema. El inventario es lo que hace visible estas dos cosas a la vez, el algoritmo y el sitio.

Lee la tabla usos y busca el sistema cuyo secreto está en el repositorio del software, no en un gestor de claves.

Ninguna fuente ve todo. El escaneo de red encuentra lo que se ofrece por la red, pero no lo que está dentro del software; la consola de la nube lista los servicios gestionados, pero no un secreto escrito en un archivo; el almacén de certificados muestra certificados, no algoritmos de firma de tokens. Por eso el inventario se arma cruzando varias fuentes, y por eso conviene saber cuál aporta más lo que las otras no ven: es la que no se puede dejar fuera.

La tabla fuentes cuenta, para cada una, cuántos usos vio ella sola. Búscala y escribe su nombre.