Claves bajo control del cliente

Los servicios de nube cifran los datos en reposo casi siempre. Lo que cambia entre un modelo y otro es quién gestiona la clave. Con una clave gestionada por el proveedor, él la crea, la rota y decide sobre su uso. Con una clave gestionada por el cliente (en AWS, por ejemplo, una clave del servicio KMS que la cuenta administra; en Azure, una clave de Key Vault o de Managed HSM), la entidad define la política de la clave, su rotación y puede deshabilitarla.

Hay un nivel más: el material de la clave puede vivir fuera del proveedor (un almacén de claves externo, con un HSM propio). Es el modelo más estricto y también el más exigente de operar: si el almacén externo falla, los datos dejan de estar disponibles.

La política es clara: para los niveles R y C no sirve una clave gestionada por el proveedor. El inventario dice, para cada clave, quién la gestiona y qué nivel de dato protege. Es un cruce simple y frecuente: la clave por defecto del servicio quedó activa porque nadie la reemplazó cuando el dato subió de nivel.

Abre inventario-de-claves.csv.

Para el nivel Clasificada la política pide que la clave viva en un módulo de seguridad (HSM). Un HSM es un dispositivo (o un servicio que lo ofrece) pensado para que el material de la clave no salga en claro y para que las operaciones se hagan dentro de él. En el inventario, la columna «almacén» dice dónde está cada clave.

La política de una clave dice qué principales pueden hacer qué. Aquí aplican dos reglas de la entidad: quien administra no descifra (separación de funciones) y ningún principal ajeno a la Gobernación descifra con una clave de nivel Clasificada. La primera se mira comparando los permisos de cada rol; la segunda, mirando el origen de cada principal.

Abre politica-de-la-clave-denuncias.json.

La política pide rotar al menos cada 365 días. Una clave sin rotar acumula exposición: más datos cifrados con el mismo material y más tiempo para que alguien lo obtenga. Para saber si una rotación venció se cuentan los días entre la fecha de la última rotación y la fecha del inventario, que consta en el encargo. Las claves del proveedor aparecen como «sin rotación propia» y no se cuentan aquí: ya son un hallazgo por otra regla.