Cifrar es fácil. La clave es el trabajo

La pregunta equivocada

«¿Ciframos los datos?» es una pregunta que siempre recibe un sí y que por eso no aporta nada. Cifrar discos es estándar, el tráfico por internet va cifrado y todo servicio cloud grande cifra lo que usted deposita sin que lo pida.

La pregunta que sí aporta es: dónde está la clave que deshace ese cifrado y quién puede llegar a ella. Porque unos datos cifrados cuya clave está al lado de la caja fuerte no están protegidos: solo son más complicados de leer.

Esa diferencia es exactamente donde aterriza una auditoría. No en si hay cerradura, sino en quién tiene la llave.

Los tres sitios donde puede estar una clave

En la práctica se encuentran tres modelos, y la diferencia entre ellos no es técnica sino de gobierno.

• El proveedor gestiona la clave. Es lo estándar en los servicios cloud. Funciona, está bien protegido y no hay que ocuparse. La otra cara: no puede demostrar que el proveedor mismo no llega a ella, porque eso es una propiedad de su sistema y no de la política de usted.
• Usted aporta la clave al proveedor. En Azure y AWS es posible: usted crea la clave y la entrega para su uso. Mantiene la vista sobre el ciclo de vida y puede revocarla. La clave sigue estando en el entorno del proveedor.
• La clave está en hardware propio. Un módulo de seguridad guarda las claves de forma que nunca salen del aparato. Las operaciones ocurren dentro; lo que sale es el resultado, no la clave. Thales es uno de los fabricantes que lo ofrece, y es el modelo al que apuntan los supervisores cuando el requisito es que la clave esté demostrablemente fuera del proveedor.

El tercer modelo cuesta más y da más trabajo que los dos primeros. Lo proponemos cuando hay un motivo, no porque impresione.

Qué pide de verdad una auditoría

En una auditoría, una revisión DORA o una conversación sobre NIS2 casi nunca se habla del algoritmo. Se habla de cuatro cosas, y las cuatro son administrativas.

• Dónde está la clave. No «en la nube», sino en qué sistema, bajo el control de quién y en qué país.
• Quién llega a ella. Por nombre, no solo por rol, y con una lista que coincida con quién trabaja allí ahora.
• Cuándo se rotó por última vez. Una clave que lleva ocho años ahí es un hallazgo, aunque nunca haya pasado nada con ella.
• Qué pasa si desaparece. Si nadie sabe responder a eso, la copia de esos datos es teórica.

Esas cuatro preguntas se pueden responder sin hardware caro. No se pueden responder sin registro, y ahí es donde falla en la práctica.

La clave y la copia de seguridad

Hay un error que nos encontramos más a menudo que todos los demás juntos: la copia está cifrada con una clave que solo existe dentro del entorno que está intentando restaurar.

Eso va bien hasta el día en que pierde ese entorno. Entonces tiene copias que nadie puede abrir, y se entera en el peor momento posible. Las copias inmutables no resuelven esto: protegen contra la modificación y el borrado, no contra perder la clave.

Por eso no solo probamos si una copia vuelve, sino si vuelve a un entorno reconstruido desde cero. Es otro tipo de prueba y da sorpresas con más frecuencia.

Qué hacemos nosotros aquí

No construimos cifrado ni escribimos software de gestión de claves. Lo que sí hacemos:

• Mapear dónde están las claves. En un traspaso es casi siempre la primera sorpresa: hay más de las que nadie pensaba y alguna está en un sitio que nadie había previsto.
• Limitar y registrar el acceso. Por persona, con verificación en varios pasos y con una traza legible después.
• Planificar la rotación. Una clave, como un certificado, tiene fecha de caducidad. La vigilamos y avisamos con antelación.
• Probar la recuperación sin el entorno existente. La prueba que cuenta es aquella en la que se hace como si no quedara nada.

Cómo encaja esto en la seguridad más amplia está en ciberseguridad; cómo acordamos y demostramos los tiempos de recuperación, en copias y continuidad.

Cuándo tiene sentido el hardware

El almacenamiento de claves en hardware tiene sentido cuando se cumple al menos una de estas tres.

• Existe un requisito, normativo o de un cliente, de que las claves estén demostrablemente fuera del entorno de su proveedor cloud.
• Trata datos de tarjeta u otra cosa para la que una norma lo pide de forma explícita.
• Debe poder demostrar que nadie —usted incluido— puede leer una clave, solo usarla.

Si no se cumple ninguna, la gestión de claves en su proveedor cloud con un buen registro es la elección sensata, y así lo decimos. Comprar algo para lo que no tiene un requisito es dinero que no va al siguiente agujero.