Cómo funciona el enmascaramiento de datos
El enmascaramiento reemplaza los valores originales para que dejen de estar expuestos, mientras el registro sigue siendo utilizable en su estructura. Un número de teléfono enmascarado todavía parece un número de teléfono, un número de tarjeta enmascarado conserva su cantidad de dígitos y un nombre enmascarado sigue siendo plausible.
Esto es distinto del cifrado, que produce un texto cifrado ilegible diseñado para revertirse con una clave. El enmascaramiento suele ser de un solo sentido: el objetivo no es recuperar el original después, sino volver innecesarios los valores reales para la tarea en curso. Es una técnica dentro de la familia más amplia de la ofuscación de datos.
| Aspecto | Enmascaramiento | Cifrado |
|---|---|---|
| Los valores parecen reales | ||
| Legible sin clave | ||
| Reversible con una clave |
Dónde se utiliza el enmascaramiento de datos
Antes de enmascarar hay que saber qué campos contienen valores sensibles, y eso lo define la clasificación de datos. El enmascaramiento importa siempre que personas o sistemas necesiten la forma de los datos reales sin su contenido sensible:
- Entornos de prueba y desarrollo. Los desarrolladores necesitan volúmenes y formatos parecidos a producción, y un clon enmascarado de una base real se los da sin exponer a clientes reales.
- Atención al cliente y mesas de servicio. Los agentes verifican al cliente con valores parciales, como los últimos cuatro dígitos de una tarjeta, en lugar de identificadores completos.
- Analítica, capacitación y demostraciones. Los conjuntos de datos que se comparten internamente o se muestran en demos se enmascaran primero, para que una captura o una exportación no filtre registros reales.
- Expectativas regulatorias. Estándares como PCI DSS restringen cuánto de un número de tarjeta puede mostrarse en pantalla.
Principales técnicas de enmascaramiento
Las técnicas se diferencian por el momento en que se aplica el enmascaramiento y por cómo se generan los valores. Entre los métodos relacionados están la sustitución, la mezcla, la anulación y la seudonimización, que usa identificadores falsos consistentes para que los registros sigan siendo vinculables en el análisis. Los datos seudonimizados no son lo mismo que la anonimización, porque los registros vinculados pueden seguir apuntando a una misma persona.
| Técnica | Qué hace |
|---|---|
| Enmascaramiento estático | Copia con valores sensibles reemplazados de forma irreversible, para pruebas o análisis |
| Enmascaramiento dinámico | Datos almacenados sin cambios; los valores se enmascaran en tiempo real según quien consulta |
| Tokenización | Token que conserva el formato; la correspondencia se guarda en una bóveda aparte |
| Redacción | Fragmentos eliminados o cubiertos; se usa sobre todo en textos y documentos |
Cómo funciona el enmascaramiento dinámico
El enmascaramiento dinámico deja los datos almacenados intactos y reescribe los valores al salir. El resultado depende de quién consulta y para qué:
- 1
Llega la consulta
Un usuario o una aplicación consulta un campo que contiene valores sensibles.
- 2
La política revisa al solicitante
La regla de enmascaramiento considera el rol, la cuenta y el propósito de la consulta.
- 3
El valor se reescribe
La fuente de datos devuelve una forma enmascarada, por ejemplo solo los últimos cuatro dígitos de una tarjeta.
- 4
El original sigue guardado
Nada se copia ni se altera en reposo, así que el registro de producción sigue completo para los procesos autorizados.
Primero, encontrar los valores
El enmascaramiento solo puede ocultar valores que el sistema encuentra. En la consola de Anexet, la detección empieza con expresiones regulares para números estructurados, como los formatos de cuenta bancaria y SSN de EE. UU., y con conjuntos de palabras clave, por ejemplo para tarjetas de crédito. Esos mismos elementos sirven como condiciones en las reglas de bloqueo de Anexet DLP.
1 / 2
Qué no resuelve el enmascaramiento
El enmascaramiento protege copias y representaciones de los datos, no el original de producción. Ese original sigue necesitando control de acceso, cifrado en reposo y controles de transferencia, y la prevención de pérdida de datos sigue siendo el control para los datos en movimiento.
Un enmascaramiento mal diseñado también puede filtrar. Las sustituciones deterministas pueden revertirse por ingeniería inversa, y los datos que conservan sus propiedades estadísticas pueden permitir inferencias sobre personas. Por eso el enmascaramiento es una capa dentro de un programa más amplio de protección de datos, no un reemplazo.
Una copia enmascarada no vuelve seguro el original de producción. La fuente debe seguir bajo los mismos controles de antes.
Por dónde empezar
Empezar por las copias que salen del sistema de producción: bases de prueba, exportaciones y datos de demostración. Enmascararlas primero, luego revisar qué roles aún necesitan valores completos, y por qué.
Lectura recomendada: Seguridad de la información en bases de datos.
Una copia enmascarada se puede compartir sin riesgo. El original aún necesita los controles que lo protegen.
Anexet Team