"Todo está cifrado"
Es una de las respuestas más tranquilizadoras de una revisión de seguridad, y una de las que menos dice. Los proveedores cloud cifran casi todo por defecto. Pero si cualquiera con acceso a la base de datos puede leerla descifrada, el cifrado protege de muy poco: de que alguien robe el disco físico del centro de datos.
Las tres preguntas que importan
¿Qué datos son sensibles, y dónde están? Sin clasificación, todo se protege igual: o demasiado poco o demasiado. Clasificar (por ejemplo: público, interno, confidencial, personal) permite aplicar más controles donde de verdad importa, y saber dónde vive cada tipo de dato (como en los datos primero).
¿Quién controla las claves? Para los datos más sensibles, conviene que las claves las gestione la organización (no solo el proveedor por defecto), con rotación periódica, separación entre quien administra las claves y quien administra los datos, y un registro de cada uso de cada clave.
¿Quién puede leer los datos descifrados? Es la pregunta más importante y la más olvidada. El acceso a datos confidenciales se concede por roles concretos, se registra cada lectura relevante y se revisa periódicamente quién lo tiene (con la lógica del mínimo privilegio).
Cuando los datos salen
Los datos también se copian: a entornos de prueba, a herramientas de análisis, a ficheros que alguien descarga. Cada salida es un punto de fuga:
- Los entornos de prueba no usan datos personales reales sin anonimizarlos.
- Las exportaciones se registran y se limitan a quien las necesita.
- Las copias de seguridad tienen la misma protección que el original, porque contienen lo mismo.
Con los datos protegidos dentro de la nube, queda un caso que casi todas las organizaciones tienen y pocas resuelven bien: acceder de forma segura a lo que vive fuera de ella.
Cómo lo aplicamos: Ciberseguridad.