3.11
IG2 IG3

Cifrar Datos Sensibles en Reposo

Grupo de Control: 3. Protección de Datos
Tipo de Activo: Datos
Función de Seguridad: Proteger

Descripción

Cifrar datos sensibles en reposo en servidores, aplicaciones y bases de datos que contengan datos sensibles. El cifrado en la capa de almacenamiento, también conocido como cifrado del lado del servidor, cumple con el requisito mínimo de esta Salvaguarda. Los métodos de cifrado adicionales pueden incluir cifrado en la capa de aplicación, también conocido como cifrado del lado del cliente, donde el acceso al dispositivo(s) de almacenamiento de datos no permite el acceso a los datos en texto claro.

Lista de Verificación de Implementación

1
Evaluar los controles de protección actualmente implementados
2
Configurar e implementar los controles de seguridad requeridos
3
Probar la efectividad de los controles en un entorno de no producción
4
Implementar en producción y verificar la funcionalidad
5
Documentar la configuración y los procedimientos operativos

Amenazas y Vulnerabilidades (CIS RAM)

Escenarios de Amenazas

Brecha de Base de Datos que Expone Registros en Texto Plano

Confidencialidad

Los atacantes que explotan inyección SQL o credenciales de base de datos comprometidas acceden a datos sensibles almacenados en texto plano, exfiltrando inmediatamente PII, PHI o registros financieros utilizables.

Robo de Medios de Respaldo con Datos Sin Cifrar

Confidencialidad

Los respaldos de servidores que contienen datos sensibles sin cifrar son robados o eliminados inadecuadamente, proporcionando a los atacantes acceso completo a registros sensibles históricos.

Vulnerabilidades (Cuando la Salvaguarda está Ausente)

Datos Sensibles Almacenados en Texto Plano en Servidores y Bases de Datos

Sin cifrado en reposo, comprometer un servidor, base de datos o sistema de almacenamiento otorga acceso directo a todos los datos sensibles sin ninguna barrera adicional.

Sin Cifrado a Nivel de Aplicación para Datos de Alto Valor

Depender solo del cifrado a nivel de almacenamiento significa que cualquiera con acceso legítimo al almacenamiento (administradores, cuentas de servicio comprometidas) puede leer los datos sensibles.

Requisitos de Evidencia

Tipo Elemento de Evidencia Frecuencia de Recolección
Técnico Capturas de pantalla o exportaciones de configuración que muestren los controles de protección habilitados Capturado trimestralmente
Documento Documentación de procedimientos para medidas de protección Revisado anualmente
Documento Documento de política vigente (actual, aprobado, comunicado) Revisado anualmente