Tema 6
Los datos son el activo que normalmente justifica proteger la infraestructura. En cloud, su seguridad depende de clasificación, permisos, cifrado, gestión de claves, copias de respaldo, retención y monitoreo continuo.
La protección de datos en cloud no se limita a activar cifrado. También implica saber qué datos existen, dónde están, quién puede acceder, cuánto tiempo deben conservarse, cómo se respaldan, cómo se destruyen y qué evidencia queda sobre su uso.
Cloud facilita almacenar y replicar información en múltiples servicios: objetos, bases de datos, discos, snapshots, backups, colas, data lakes, logs y sistemas analíticos. Esa flexibilidad aumenta la superficie de exposición si no hay clasificación y gobierno.
Una estrategia sólida protege los datos durante todo su ciclo de vida: creación, almacenamiento, procesamiento, transmisión, respaldo, uso compartido, archivo y eliminación.
Antes de definir controles, conviene entender cómo circula la información. Cada etapa tiene riesgos y medidas específicas.
| Etapa | Riesgo | Control recomendado |
|---|---|---|
| Creación | Datos sensibles sin clasificación ni dueño | Etiquetado, inventario y políticas de clasificación |
| Almacenamiento | Exposición pública, permisos amplios o cifrado débil | Cifrado, IAM mínimo y bloqueo de acceso público |
| Procesamiento | Acceso indebido por aplicaciones o usuarios | Autorización, segregación y registros de acceso |
| Transmisión | Intercepción o alteración del tráfico | TLS, endpoints privados y validación de certificados |
| Respaldo | Copias expuestas o no restaurables | Backups cifrados, pruebas de restauración y retención |
| Eliminación | Retención indebida o recuperación no autorizada | Políticas de borrado, vencimiento y destrucción de claves |
No todos los datos requieren el mismo nivel de protección. Clasificar permite asignar controles proporcionales al impacto de exposición, alteración o pérdida.
Una clasificación simple puede separar:
No se puede proteger lo que no se conoce. En cloud, los datos pueden aparecer en buckets, bases administradas, discos, snapshots, logs, colas, caches, data warehouses, notebooks y exportaciones temporales.
El inventario debe responder:
El cifrado en reposo protege datos almacenados en discos, objetos, bases, snapshots y backups. Muchos servicios cloud ofrecen cifrado por defecto, pero eso no significa que todas las decisiones estén resueltas.
Hay que definir:
El cifrado ayuda a reducir impacto ante exposición física o lógica, pero no reemplaza controles de acceso. Si una identidad autorizada lee datos descifrados, el cifrado no impedirá esa lectura.
El cifrado en tránsito protege datos cuando se mueven entre usuarios, aplicaciones, APIs, servicios cloud y componentes internos. TLS es el mecanismo más común para HTTP, APIs y comunicaciones entre servicios.
Buenas prácticas:
Los servicios KMS permiten crear, almacenar, usar, rotar y auditar claves criptográficas. Son componentes críticos: quien controla claves puede habilitar o impedir acceso a datos cifrados.
| Aspecto | Decisión | Riesgo si se descuida |
|---|---|---|
| Propiedad | Proveedor, cliente o HSM dedicado | Control insuficiente para datos sensibles o regulados |
| Permisos | Quién puede usar o administrar claves | Lectura de datos por identidades no autorizadas |
| Rotación | Automática, programada o manual | Uso prolongado de claves comprometidas |
| Auditoría | Registro de uso y cambios de política | Investigación incompleta ante acceso indebido |
| Disponibilidad | Dependencia de claves para operar servicios | Interrupción si una clave se deshabilita o elimina |
Una práctica importante es separar quién administra datos de quién administra claves. Si la misma identidad puede leer datos, cambiar políticas y administrar claves, el control se debilita.
La separación puede aplicarse así:
El acceso a datos debe diseñarse por necesidad real. No alcanza con proteger el recurso cloud si las políticas permiten que demasiadas identidades lean, copien o exporten información.
Controles recomendados:
Los backups protegen contra borrado accidental, corrupción, ransomware, errores de despliegue y fallas operativas. Pero un backup mal protegido puede convertirse en una copia completa de datos sensibles disponible para un atacante.
Una estrategia de backup debe definir:
Conservar datos más tiempo del necesario aumenta riesgo y costo. Retener demasiado poco puede incumplir requisitos legales o dificultar investigaciones. Por eso la retención debe definirse por tipo de dato y obligación.
| Dato | Decisión de retención | Control asociado |
|---|---|---|
| Logs de auditoría | Retener según investigación y cumplimiento | Almacenamiento inmutable y acceso restringido |
| Datos personales | Conservar solo por necesidad legal o de negocio | Clasificación, minimización y proceso de eliminación |
| Backups | Definir ventanas diarias, semanales, mensuales o anuales | Cifrado, bloqueo de borrado y pruebas de restauración |
| Datos temporales | Eliminar automáticamente al vencer su propósito | Lifecycle policies y alertas de acumulación |
Algunos datos tienen restricciones sobre dónde pueden almacenarse o procesarse. La residencia de datos define ubicación geográfica; la soberanía puede involucrar legislación aplicable, control operativo y acceso por terceros.
Preguntas necesarias:
Los datos pueden exponerse por cambios de permisos, enlaces compartidos, políticas públicas, snapshots, credenciales comprometidas o exportaciones no autorizadas. El monitoreo debe detectar estas situaciones temprano.
Se recomienda alertar sobre:
Proteger datos en cloud requiere una visión completa del ciclo de vida. Clasificación, cifrado, control de acceso, KMS, backups, retención y monitoreo trabajan juntos para reducir exposición y permitir recuperación ante incidentes.
En el próximo tema estudiaremos la gestión de secretos, credenciales, certificados y rotación segura.