Cifrado, llaves y residencia de datos

Los servicios gestionados cifran en reposo por defecto, con llaves que administra el proveedor. Eso protege frente a un disco robado de un centro de datos, pero no cambia quién puede leer: cualquiera con permiso sobre el servicio lee los datos descifrados. Una llave propia (gestionada por el cliente en su almacén de llaves) no hace el cifrado más fuerte; añade control. El uso de la llave es un permiso aparte que se puede limitar, cada uso queda registrado y, si la empresa la deshabilita, lo cifrado con ella deja de poder leerse, también para el proveedor.

Ese control tiene su lado peligroso: una llave propia borrada por error, o por alguien que no debía, deja ilegibles para siempre los datos que protegía. Por eso las políticas piden protección contra borrado y limitan quién puede usarla.

La residencia de datos responde dónde se guardan y dónde se procesan. Para datos de salud de pacientes colombianos, la Ley 1581 de 2012 los trata como datos sensibles, y muchas empresas fijan además por política una región concreta para no tener que justificar cada transferencia. La región se elige al crear cada recurso, y el error frecuente no está en producción, sino en lo que se crea al lado: copias para pruebas, exportaciones para un comité, recursos de desarrollo en la región más barata.

Que un recurso esté en una región no garantiza que cada solicitud se procese allí. Algunos servicios de modelos ofrecen tipos de despliegue que reparten el procesamiento entre varias regiones para ganar capacidad: la configuración vive en la región del recurso, pero el texto de una solicitud puede viajar a otra para que la conteste el modelo. Para datos de salud con una política de región única, ese tipo de despliegue es un incumplimiento aunque el recurso esté bien ubicado.

Una revisión no se detiene en el primer hallazgo: recorre todo el inventario contra cada regla. Aquí basta con dos reglas de la política para los almacenes: dónde están (CP-1) y con qué llave se cifran (CP-2). Un almacén sin datos de salud no entra en la cuenta, aunque use la llave del proveedor.

Los registros de invocación guardan el texto de lo que pacientes y médicos escriben. La llave que los cifra es, por tanto, tan delicada como los propios datos, y quien pueda usarla puede leerlos. Lee la fila de esa llave contra CP-3 y CP-4.