Cifrado y llaves en la respuesta

El cifrado en tránsito (TLS) protege los datos mientras viajan por la red. El cifrado en reposo del disco o de las copias protege si alguien se lleva el medio físico o una copia. Ninguno protege contra una cuenta válida que pide los datos al motor: el motor es quien tiene la llave y entrega lo que se le pide a quien tenga permiso.

Solo el cifrado a nivel de columna o de aplicación, con una llave que la cuenta no puede usar, deja el dato ilegible para quien lo lee desde la base.

Cada llave se identifica, tiene un custodio y protege algo concreto. En la respuesta importa saber qué llave protege el dato más sensible, porque es la que hay que vigilar en el registro de uso y la que habría que rotar si hubiera sospecha de exposición.

La tabla capas_de_cifrado dice qué columna se cifra aparte. La tabla llaves dice qué protege cada llave.

Una política de rotación dice cada cuántos días se cambia una llave. Una llave que lo supera no está comprometida por eso, pero es un hallazgo de gobierno: aumenta el tiempo en que una exposición pasada sigue sirviendo. Se mide como el número de días entre la fecha en que debió rotarse y la fecha de hoy.

La fecha debida es la última rotación más los días de la política.

Los almacenes de llaves registran cada uso (descifrar, firmar, cifrar una copia) por principal y hora. Es una fuente propia, con su propia conservación, y permite responder algo que la base no responde: si la cuenta bajo sospecha pudo descifrar la columna protegida.

Se cuentan las operaciones de descifrado de esa cuenta con esa llave en el registro. Una cuenta que no aparece no hizo ninguna.

Rotar una llave es una medida de contención, pero no es lo primero: antes hay que copiar el registro de uso de llaves, que tiene su propio plazo, y comprobar si la cuenta bajo sospecha usó alguna. Rotar sin saberlo puede ser innecesario (si no hubo uso) o insuficiente (si no se rotan además las credenciales que dieron acceso). La rotación atrasada de la política se corrige por su propia vía, no como parte de la contención.