Los tres estados de los datos
Los equipos de seguridad dividen el ciclo de vida de los datos en tres estados. Cada uno está expuesto a atacantes distintos que usan técnicas distintas, así que cada uno necesita controles propios.
Los estados no son etapas que ocurren una sola vez. El mismo registro suele estar en reposo durante la mayor parte de su vida, pasa brevemente en tránsito en algunas transferencias y solo está en uso durante los segundos en que una aplicación trabaja con él. Una estrategia que cubre un solo estado deja abiertos los otros dos.
| Estado | Dónde está | Riesgo principal |
|---|---|---|
| Datos en reposo | Disco, base de datos, copia de seguridad o medio extraíble | Acceso no autorizado al medio de almacenamiento |
| Datos en tránsito | Circulando por una red o entre centros de datos | Interceptación en la línea |
| Datos en uso | Cargados en la RAM o en un registro de la CPU | Rastreo de memoria y acceso mediante depurador |
Dónde residen los datos en reposo
Los datos en reposo son cualquier medio de almacenamiento que contiene datos cuando nada los lee ni los escribe de forma activa. En la práctica, esto abarca lugares con niveles de exposición muy distintos.
Lo que tienen en común es la persistencia. Los datos siguen siendo recuperables del medio mucho después de cerrar la aplicación que los creó, por eso los controles a nivel de almacenamiento son necesarios y no opcionales. Los lugares más habituales son:
- Almacenamiento local: discos de servidores, estaciones de trabajo y portátiles, con archivos temporales, espacio de intercambio e imágenes de hibernación
- Bases de datos: motores relacionales o NoSQL, on-premise o alojados, con sus archivos de datos en bruto en disco
- Medios extraíbles y portátiles: memorias USB, discos externos, CD/DVD y tarjetas de memoria
- Copias de seguridad y archivos: bibliotecas de cintas, appliances de respaldo y snapshots, a menudo conservados durante años
- Almacenamiento en la nube: buckets de objetos, recursos compartidos y bases gestionadas, donde el cliente suele configurar el acceso
Por qué los datos en reposo son un riesgo distinto
Tres propiedades hacen que los datos almacenados resulten atractivos para atacantes e insiders, algo que los datos transitorios no tienen.
La primera es el volumen. Una base de datos o una copia de seguridad acumula registros durante meses o años, así que un solo acceso exitoso puede exponer mucho más que la interceptación de una transmisión.
La segunda es el tiempo. Los datos en tránsito quedan expuestos durante milisegundos. Los datos en reposo siguen expuestos mientras estén almacenados, lo que puede significar meses o años si una mala configuración pasa desapercibida.
La tercera es la exposición física. Un medio de almacenamiento es un objeto que puede robarse, perderse, desecharse o revenderse, y se lleva sus datos consigo sin importar las protecciones de red.
La normativa refleja esta distinción. Muchas leyes y estándares de protección de datos exigen cifrado, o un control compensatorio equivalente, específicamente para los registros almacenados, aparte de los requisitos sobre transmisión.
Cómo se protegen los datos en reposo
Ningún control por sí solo protege por completo los datos almacenados. El enfoque habitual combina varios controles en capas, de modo que el fallo de uno lo detecte otro.
La combinación adecuada depende de cuán sensibles sean los datos, dónde se guarden y lo que exija una normativa o un contrato concreto. El cifrado y el control de acceso son los dos controles básicos que casi todo marco de referencia considera imprescindibles.
| Control | Qué hace |
|---|---|
| Cifrado en reposo | Hace ilegible un disco robado o una copia de archivo de base de datos sin la clave |
| Control de acceso | Limita quién y qué puede leer o modificar el almacenamiento |
| Gestión de claves | Guarda las claves separadas de los datos que protegen y con acceso restringido |
| Eliminación segura y saneamiento | Hace irrecuperables los datos cuando el medio se retira o termina la retención |
| Monitorización y registros de auditoría | Registra quién accedió a los datos almacenados o los copió |
Cómo se ve en Anexet
En Anexet, el volumen almacenado se ve en la vista general del Central Server, que enumera cada base de datos con su tamaño y su número de registros. El Reports Server define dónde se guardan los datos recopilados y durante cuánto tiempo.
El periodo de retención define cuánto tiempo un registro permanece expuesto en reposo, por eso debe ajustarse a la sensibilidad de los datos. Revísalo junto con la configuración del software DLP, para que las reglas de almacenamiento y bloqueo sigan la misma clasificación.
1 / 2
Qué no resuelve la protección en reposo
Cifrar una base de datos o un disco no protege los datos en el momento en que una aplicación autorizada los descifra para mostrarlos, procesarlos o exportarlos. Entonces los datos dejan el estado de reposo y los riesgos pasan a ser los datos en uso y la exfiltración.
El cifrado en reposo tampoco impide que un usuario legítimo y autenticado copie datos a una ubicación sin cifrar, los envíe por correo electrónico fuera de la empresa o los imprima.
Proteger los datos en reposo es, por tanto, una capa de un programa de protección de datos más amplio, que cubre los tres estados de los datos y las reglas de uso una vez que se desbloquean.
Por dónde empezar
Empieza por los lugares que guardan más datos sensibles y después busca las copias que nadie controla: copias de seguridad antiguas, medios extraíbles sin gestionar y exportaciones dejadas en carpetas compartidas. Las políticas escritas para todos los archivos a la vez terminan bloqueando el trabajo y se desactivan.
Lectura recomendada: Cifrado, codificación y hashing: ¿cuál es la diferencia?; Seguridad de la información en bases de datos.
No puedes proteger una copia que no sabes que existe.
Anexet Team