Controles de datos

La soberanía de datos es un concepto fundamental en la gobernanza y el cumplimiento de la nube. Se refiere a la autoridad legal y normativa que un país o región o organización tiene sobre los datos, especialmente en relación con dónde se almacenan y procesan esos datos. Este concepto da forma a cómo se diseñan, rigen y auditan las cargas de trabajo confidenciales en entornos en la nube. En este artículo, explorará los principios de soberanía de datos y cómo se aplican a los entornos en la nube.

¿Qué es la soberanía de datos?

La soberanía de datos es un concepto multifacético, que afirma que los datos están sujetos a las leyes y la gobernanza del país o región donde los datos se encuentran físicamente independientemente de quién posee o administra los datos. Esto significa que las naciones tienen derecho a ejercer autoridad jurídica sobre los datos almacenados dentro de sus fronteras.

Sin embargo, aunque Microsoft le permite elegir dónde residen los datos, los derechos del país o región de hospedaje están limitados en el contexto de acceder a esos datos. Los reguladores no pueden exigir acceso a los datos únicamente en función de su ubicación. En su lugar, el acceso se rige por procesos legales y medidas de seguridad controladas por el cliente.

Principios fundamentales

La soberanía de datos se basa en cuatro principios fundamentales:

Cifrado como control de soberanía

En entornos en la nube, el cifrado desempeña un papel central en la aplicación de la soberanía de los datos. Los datos se cifran de forma predeterminada, lo que garantiza que el acceso físico a la infraestructura no equivale al acceso a datos legibles. Solo el propietario o el sistema de datos contiene las claves de cifrado, lo que hace que el cifrado sea el mecanismo principal para mantener el control sobre los datos hospedados en la nube. Para proporcionar una protección completa en todo el ciclo de vida de los datos, el cifrado normalmente se aplica en tres estados distintos: en reposo, en tránsito y en uso, cada una de ellas aborda diferentes fases del control de datos y el riesgo de exposición.

De forma predeterminada, todos los servicios de Azure usan cifrado en tránsito, incluidas las comunicaciones de región a región. Los servicios suelen implementar el cifrado con certificados TLS, que se generan automáticamente cuando un servicio se aprovisiona y firma mediante una entidad de certificación pública de confianza. En algunos escenarios, los clientes pueden traer sus propios certificados importando un archivo PFX (con la clave privada) en un servicio o administrando el certificado a través de Azure Key Vault.

Todos los servicios de Azure usan el cifrado del lado servidor para los datos en reposo mediante claves administradas por la plataforma (PMK). La plataforma genera y mantiene estas claves. Muchos servicios también admiten claves administradas por el cliente (CMK). Dependiendo del servicio, estas claves pueden funcionar en combinación con los PMK para una mejor protección. Las claves administradas por el cliente se pueden almacenar en Azure Key Vault (estándar o Premium) o, en muchos casos, en HSM administrado por Azure Key Vault. Este último se recomienda para las cargas de trabajo soberanas más confidenciales, dado que este servicio garantiza que usted tiene control total sobre las claves de cifrado en un entorno de un solo inquilino. Sin embargo, este control total también incluye más responsabilidades. Usted es completamente responsable de proteger el dominio de seguridad, que debe ser descargado al activar su instancia de HSM administrada.

También puede considerar la administración de claves externas para cargas de trabajo reguladas específicas. Este servicio es una extensión de HSM administrado por Azure Key Vault y le permite poseer y administrar las claves fuera de Azure. La administración de claves externas es una funcionalidad que permite a los clientes usar sus propios módulos de seguridad de hardware (HSM) para admitir operaciones criptográficas para los servicios en la nube. Con la administración de claves externas, los clientes pueden almacenar sus claves en sus propios HSM, que están separados físicamente de los servicios en la nube. Esta funcionalidad, conocida como Hold Your Own Key (HYOK), garantiza que siempre se conserva el control total sobre las claves. Sin embargo, este control total incluye más responsabilidades, ya que es responsable de la disponibilidad, escalabilidad y copias de seguridad de todo el material clave.

Aunque la mayoría de las medidas de seguridad de datos se basan en el cifrado en reposo y en tránsito de los datos, Azure Confidential Computing también amplía esas funcionalidades al cifrado de los datos en uso. Esto significa que la instancia de proceso real que interactúa con los datos (descifrados) usa el cifrado en su espacio de memoria asignado. Azure cumple totalmente los estándares de Confidential Computing Consortium que están disponibles en hardware Intel, AMD y NVIDIA.

Residencia de datos

La residencia de datos se centra principalmente en dónde residen físicamente los datos y se da forma a consideraciones prácticas, como el rendimiento, el cumplimiento y la continuidad empresarial. En la tabla siguiente se describen los aspectos clave que influyen en las decisiones de residencia de datos:

Con Azure, Microsoft 365 y Dynamics 365, puede elegir dónde se almacenan los datos para satisfacer los requisitos de residencia de datos. Mediante el uso de regiones del centro de datos alineadas estratégicamente dentro de la misma geografía con la ayuda de los pares de regiones de Azure, puede mejorar la redundancia geográfica, garantizar la recuperación prioritaria y beneficiarse de las actualizaciones de plataforma escalonadas, todo ello al tiempo que mantiene el cumplimiento y mejora la resistencia de los datos.

Pasos siguientes

• Determine el ámbito de residencia requerido y las regiones de Azure permitidas por clasificación.
• Cobertura de cifrado del inventario (en reposo/ en tránsito/ en uso) frente a las cargas de trabajo actuales.
• Defina el modelo de propiedad de claves (PMK → CMK → HSM administrado → EKM) por capa de datos.

Consulte también

• Modelos de cifrado de datos
• Servicio de cifrado de Azure Rights Management
• Recuperación ante desastres de HSM administrado
• Soberanía digital
• Administración de claves
• Controles operativos
• Independencia tecnológica
• Computación confidencial