16 mejores prácticas de gestión de claves de cifrado

Toda empresa que utilice criptografía para proteger datos confidenciales debe seguir las mejores prácticas de gestión de claves de cifrado. Estas prácticas mantienen seguras las claves criptográficas durante todo su ciclo de vida y garantizan que las medidas de ciberseguridad no se queden cortas debido a la falta de una gestión adecuada de las claves.

Este artículo presenta 16 prácticas recomendadas para la administración de claves de cifrado que le permitirán mantener el control de su estrategia de criptografía. Implementar las siguientes medidas ayuda a prevenir filtraciones de datos, evitar multas y garantizar que las encriptaciones sigan siendo seguras y efectivas.

Utilice algoritmos y tamaños de clave adecuados

Seleccione el algoritmo y el tamaño de clave correctos para cada clave de cifrado. Esta decisión depende del caso de uso y debe tener en cuenta:

• Riesgos de seguridad.
• Vida útil clave.
• La cantidad y el valor de los datos cifrados.
• Requisitos de desempeño.

Dependiendo del caso de uso, puede utilizar:

• Algoritmos simétricos (como AES).
• Algoritmos asimétricos (como RSA o ECDSA).

Los algoritmos simétricos son una buena opción para proteger los datos en reposo, así que utilice este enfoque para mantener las bases de datos seguras. El cifrado asimétrico es ideal para proteger datos en movimiento, como correos electrónicos o contenido web. Elegir el tamaño de clave correcto requiere equilibrio.

Las claves más grandes dan como resultado un cifrado más seguro, pero la longitud de la clave puede afectar el rendimiento. Sea sensato con el tamaño de las claves, ya que las claves grandes suelen causar problemas. Por ejemplo, utilizar el cifrado simétrico AES-256 para todos los procesos hará que su sistema sea seguro, pero tendrá problemas de rendimiento.

Confíe en el principio de privilegio mínimo

Los empleados sólo deben tener acceso a las claves que necesiten para realizar sus deberes y tareas. La misma necesidad de saber también se aplica a las aplicaciones. Garantizar que solo los usuarios y sistemas autorizados puedan acceder a una clave ayuda a:

• Limite las opciones para un atacante con una clave comprometida.
• Reducir la superficie de ataque.
• Reduzca el grupo de sospechosos si se produce una infracción.
• Limite el riesgo de una amenaza interna.
• Evitar el movimiento lateral entre sistemas.

Autenticar correctamente a los usuarios cada vez que accedan, administren o utilicen una clave de cifrado. Utilice controles de acceso basados en roles (RBAC) para restringir los permisos según las tareas específicas de cada usuario.

Considere la posibilidad de utilizar el principio de control dual (también conocido como cuatro ojos) para las claves responsables de operaciones vitales, como la rotación o la eliminación. Esta práctica requiere que dos o más personas autorizadas aprueben el proceso antes de que pueda comenzar.

Rotación de clave regular

Cada clave de su organización debe tener un período criptográfico durante el cual la clave es funcional. El período criptográfico se calcula teniendo en cuenta dos factores:

• El período de uso del originador (OUP): el tiempo durante el cual aplica protección criptográfica a un sistema.
• El período de uso del destinatario (RUP): el tiempo durante el cual los usuarios pueden descifrar datos con una clave específica.

Los dos períodos comienzan simultáneamente y son flexibles, por lo tanto, defina el período criptográfico en función de:

• La fuerza del algoritmo de cifrado.
• El valor de los datos cifrados.
• Longitud de la clave.
• El riesgo de seguridad.
• Regulaciones legales.

Una vez que expire el período criptográfico, ejecute una rotación para reemplazar la clave anterior por una nueva. Limitar la cantidad de datos que cifra con una clave reduce el riesgo de pérdida o robo de credenciales. Lo ideal es que el proceso de rotación sea automático para evitar errores humanos y liberar al equipo de tareas repetitivas.

Centralice la gestión de sus claves de cifrado

Una sola empresa puede depender de cientos o incluso miles de claves de cifrado. Una plataforma de gestión centralizada ayuda a organizar, proteger, gestionar y utilizar todas esas claves. Una plataforma centralizada conduce a:

• Gestión simplificada que elimina la necesidad de utilizar un conjunto de herramientas diferentes.
• Procesos de generación, almacenamiento y distribución ágiles y seguros.
• Visibilidad total de cómo los empleados y equipos utilizan las claves.

La gestión de claves centralizada reduce el riesgo, mejora la eficiencia y simplifica las tareas administrativas. Puedes utilizar esta estrategia para:

• Cree políticas y procedimientos para todas las operaciones relacionadas con claves (controles de acceso, segregación de funciones, conocimiento dividido, etc.).
• Implemente varias opciones de automatización y elimine tareas manuales.
• Garantice un registro de auditoría completo y realice un seguimiento de las actividades.
• Controle el acceso a claves valiosas con perfiles de usuario, roles y credenciales.
• Asegúrese de que la gestión de claves pueda escalar junto con su empresa.
• Reduzca los costos automatizando tareas y reduciendo la cantidad de personal necesario.

Nunca codifique sus claves

Incluir material clave en el código fuente es un problema de seguridad importante. Si el código es público, un atacante tiene una forma directa de leer la clave. Incluso si el código es privado, el equipo de desarrollo se convierte en el objetivo preferido de los piratas informáticos y su superficie de ataque aumenta innecesariamente.

Como un atacante puede obtener una clave sin comprometer la aplicación de administración, usted puede sufrir infracciones completamente desapercibidas. Además de introducir riesgos innecesarios, codificar una clave también plantea un problema para las transferencias y la agilidad criptográfica general.

Aproveche al máximo la automatización

Depender de la gestión manual de claves requiere mucho tiempo, es costoso y propenso a errores. La automatización le permite:

• Elimina tareas repetitivas.
• Acelere todas las operaciones relacionadas con claves.
• Limite el margen de error humano.
• Reducir el número de personal requerido.
• Aclare la agenda del equipo y permita que los empleados se concentren en la innovación y las mejoras.
• Aplique políticas de seguridad y registre actividades de manera más confiable.
• Logre altos niveles de disponibilidad para las claves.

La automatización en la gestión de claves mejora los procesos a lo largo del ciclo de vida de una clave, así que considere automatizar las siguientes operaciones:

• Generando nuevos pares de claves.
• Rotar claves a intervalos establecidos para evitar pasar su período criptográfico.
• Copia de seguridad de claves.
• Revocar el acceso a las claves.
• Destruir claves obsoletas o comprometidas.

Cuantas más claves utilices, la automatización se vuelve más valiosa. A medida que su empresa crece y la cantidad de claves crece, depender de tareas manuales se convierte en un mayor riesgo de seguridad.

Crear y hacer cumplir políticas para toda la empresa

Las políticas de seguridad dictan cómo los miembros del personal y los equipos deben almacenar, usar y administrar las claves. Estas políticas proporcionan:

• Instrucciones y reglas a lo largo del ciclo de vida de una clave.
• Requisitos para garantizar la seguridad operativa y el cumplimiento.
• Directrices sobre lo que los usuarios pueden y no pueden hacer con las claves.
• Las responsabilidades para la gestión del material de claves criptográficas.

Una vez que prepare sus políticas, realice sesiones de capacitación para asegurarse de que los empleados sepan lo que espera del equipo. Una plataforma centralizada es el método más confiable para hacer cumplir, actualizar y comunicar políticas.

Además, si sus cifrados dependen de la nube, asegúrese de que sus políticas de administración de claves y de seguridad en la nube estén bien alineadas entre sí.

Almacenar claves en un HSM

Un HSM (módulo de seguridad de hardware) es un dispositivo físico que almacena claves y le permite realizar operaciones criptográficas en las instalaciones. Estos dispositivos brindan una sólida seguridad física y lógica, ya que robar una clave de un HSM requiere que un atacante:

• Irrumpir en sus instalaciones.
• Roba la tarjeta de acceso necesaria para llegar al HSM.
• Saque el dispositivo del local sin que nadie lo note.
• Omita el algoritmo de cifrado que protege las claves.

Depender de un HSM en la nube también es un método viable. En ese escenario, el éxito depende de los niveles de seguridad del proveedor de servicios en la nube, así que siempre póngase del lado de un proveedor de confianza si elige esa opción.

Deberes separados de los empleados

Separar las tareas de gestión de claves es una práctica esencial para cualquier organización consciente de la seguridad. Esta estrategia requiere que usted divida las responsabilidades de las tareas críticas entre diferentes miembros del personal. Al hacerlo, usted:

• Limite las opciones para los intrusos que se hacen pasar por empleados.
• Minimizar el potencial de fraudes y amenazas internas.

Por ejemplo, puede encargar a una persona que autorice el acceso, a otra que distribuya claves y a una tercera que cree claves. En ese escenario, el usuario que permite el acceso no puede robar la clave durante la distribución ni conocer el valor de la clave durante la fase de generación.

Distribución segura en línea y fuera de línea

Las empresas deben utilizar una API segura especialmente diseñada para distribuir claves de forma segura desde el punto de creación hasta el sistema o la persona que las utilizará. Considera lo siguiente:

• Para la distribución en línea, debe cifrar las claves y enviarlas a través de un sistema seguro de seguridad de la capa de transporte (TLS).
• Para el transporte fuera de línea, cifre la clave y divídala en 2 o 3 componentes que sean inútiles por sí solos.

La división de claves ocupa un lugar destacado entre las mejores prácticas de gestión de claves de cifrado. Con esta estrategia, un componente perdido no conduce al robo de una clave a menos que el atacante pueda reunir otras partes.

Considere la posibilidad de utilizar criptografía de caja blanca para cuando las claves lleguen a su destino. La criptografía de caja blanca utiliza un algoritmo basado en software para proteger las claves sin importar dónde se encuentren o si tienen soporte de hardware.

Copias de seguridad y recuperación de claves confiables

Si su almacenamiento sufre un error o alguien lo ataca, debe tener la capacidad de restaurar las claves. No poder recuperar una clave puede provocar la pérdida permanente de datos cifrados. Asegúrese de tener copias de seguridad sólidas que le permitan restaurar las claves perdidas de forma rápida y confiable. Las buenas prácticas incluyen:

• Protección de copias de seguridad con cifrado simétrico.
• Usar copias de seguridad inmutables para evitar la manipulación de datos.
• Realizar copias de seguridad de las claves varias veces al día.
• Realizar comprobaciones periódicas de la aplicación de copia de seguridad para garantizar que todo funcione correctamente.

Pistas de auditoría confiables

Los registros e informes seguros, automatizados y centralizados son vitales para una gestión de claves segura y compatible. Las buenas prácticas incluyen:

• Mantener un historial completo de cada clave a lo largo de su ciclo de vida.
• Registrar detalles sobre cada interacción con la clave, incluido el propósito, el usuario (persona o sistema), los datos a los que se accedió, las consultas y el tiempo de uso.
• Seguimiento de privilegios concedidos y niveles de acceso.
• Registro de inicios de sesión exitosos e intentos.

Ayuda limpia y detallada para registros e informes con:

• Elaboración de auditorías de cumplimiento.
• Análisis forense posterior al incidente.
• Comprender la mecánica de la gestión de claves.
• Encontrar oportunidades para mejorar el sistema.

Considere la posibilidad de integrar su plataforma de gestión de claves con una herramienta SIEM para permitir análisis e informes más profundos.

Nunca utilices la misma clave para diferentes propósitos

Cada clave solo debe tener un único propósito, como por ejemplo:

• Cifrado o descifrado de datos.
• Autenticacion de usuario.
• Firmas digitales.
• Envoltura de llaves.

Asegúrese de que los empleados nunca utilicen claves duplicadas para diferentes tareas. Ceñirse a claves de un solo propósito es la estrategia más segura.

Mantenga las claves alejadas de los datos cifrados

Nunca guarde la clave en la misma base de datos que los datos cifrados. Si bien esta práctica simplifica la administración, mantener el contenido cifrado junto con la clave para descifrarlo permite a un pirata informático comprometer los datos con una sola infracción.

Prepare un plan sólido de recuperación ante desastres

No importa cuántas políticas y medidas establezcas, al final algo saldrá mal. Incluso si implementa todas las mejores prácticas de administración de claves de cifrado, es probable que se produzcan los siguientes incidentes:

• Un usuario perderá las credenciales de su clave.
• Alguien enviará accidentalmente las llaves a la persona equivocada.
• Un ex empleado descontento podría eliminar una clave.
• Los piratas informáticos podrían acceder al almacenamiento de claves.
• Los algoritmos de cifrado pueden tener un defecto.
• Un desarrollador podría publicar accidentalmente una clave privada en un repositorio público.

Los accidentes ocurren, por lo que estar preparado ayuda a mitigar el riesgo. Identifique todas las posibilidades y cree un plan sólido de recuperación ante desastres para garantizar que el equipo esté preparado para todos los escenarios. Lea sobre la recuperación ante desastres en la nube y los beneficios de realizar copias de seguridad de datos críticos en la nube.

Distribuir procesos de cifrado y descifrado

Una empresa puede ejecutar procesos de cifrado y descifrado:

• Localmente a nivel de archivo, campo de base de datos o aplicación.
• En un servidor de cifrado de propósito único.

Desde una perspectiva de seguridad, distribuir los procesos de codificación y descodificación es una mejor opción. Si configura la distribución segura de claves, separar el cifrado y el descifrado conduce a lo siguiente:

• Mejor interpretación.
• Menor ancho de banda.
• Mayor disponibilidad debido a menos puntos de falla.
• Mejores transmisiones de datos.

Ejecutar el cifrado y descifrado en un servidor central es más sencillo de configurar, pero es probable que surjan problemas de rendimiento. Además, si un atacante compromete el servidor central, toda su infraestructura de seguridad podría caer.

Las mejores prácticas de gestión de claves de cifrado mantienen la criptografía segura y saludable

La implementación de las prácticas enumeradas anteriormente garantizará que la gestión de claves no se convierta en una debilidad en su estrategia de seguridad. Utilice políticas sólidas, controles de acceso sólidos y centralización para proteger y mantener el control de sus claves de cifrado.