¿Cómo usas cifrado en sistemas cloud?

Respuesta directa

Qué debe cubrir una buena respuesta

Cómo funciona

El cifrado en tránsito significa TLS en todas partes, incluido entre servicios internos, con certificados emitidos y rotados automáticamente. El cifrado en reposo usa el cifrado gestionado del proveedor con claves en un KMS, donde el cifrado por sobre separa las claves de datos que cifran objetos de las claves de cifrado de claves que nunca salen del servicio. Las políticas de clave restringen qué identidades pueden usar cada clave para qué operaciones, cada uso se registra, la rotación ocurre según calendario sin recifrar los datos gracias al cifrado por sobre, las copias se cifran con claves que sobreviven a la pérdida de la primaria, y el diseño prevé la revocación, de modo que borrar una clave hace sus datos irrecuperables a propósito.

Ejemplo

Los documentos de clientes se guardan en S3 con SSE-KMS bajo una clave gestionada por cliente por tenant; la política de clave permite descifrar solo al rol del servicio de documentos, y CloudTrail muestra cada llamada de descifrado con el tenant. Eliminar un tenant programa el borrado de su clave, lo que vuelve ilegibles sus objetos incluso en copias. El tráfico gRPC interno usa mTLS con certificados de la malla, rotados cada 24 horas.

Errores frecuentes

• Fiarse del cifrado por defecto mientras se concede kms:Decrypt a todos los roles sobre todas las claves.
• Guardar copias cifradas con una clave que vive en la misma región que podría perderse.
• Terminar TLS en el borde y enviar texto plano por la red interna.

Una estructura útil para responder

Responde desde tu propia experiencia.

No memorices un guion: usa solo ejemplos que puedas explicar con honestidad en preguntas posteriores.