Cifrado y gestión de claves: qué cifrar, con qué criterio y quién guarda las llaves
Cifrar los datos es como guardarlos en una caja fuerte. Pero una caja fuerte con la llave pegada con celo no protege nada. Lo importante, y lo que casi nadie tiene documentado, es qué se cifra, con qué criterio y quién custodia las llaves.
Cifrado en tránsito y en reposo
- En tránsito: cuando los datos viajan (web, correo, APIs, conexiones entre sistemas). Usa siempre conexiones cifradas con versiones vigentes de TLS.
- En reposo: cuando los datos están guardados (bases de datos, discos, copias de seguridad, almacenamiento en la nube). Actívalo en los servicios que lo ofrecen y verifica que cubre también las copias.
Cifrar protege frente a pérdida o robo del soporte o acceso indebido a la infraestructura, pero no frente a alguien con permisos legítimos. Por eso va junto al control de acceso.
Qué cifrar: decídelo por la clasificación
No hace falta cifrarlo todo con el mismo rigor. Parte de tu clasificación de datos:
- Públicos: sin requisito específico de cifrado en reposo.
- Internos: cifrado en tránsito y, preferiblemente, en reposo.
- Confidenciales y restringidos (datos personales, financieros, secretos comerciales): cifrado en tránsito y en reposo, y copias cifradas.
La gestión de claves: donde se gana o se pierde
- Separa las claves de los datos. Guárdalas en un servicio de gestión de claves o un módulo específico, no junto a la base de datos.
- Limita quién accede. Pocas personas, con registro de cada uso, y sin cuentas compartidas.
- Rota las claves con una periodicidad definida y siempre que haya sospecha de compromiso.
- Guarda copias seguras de las claves. Perder una clave puede significar perder los datos para siempre.
- Define el ciclo de vida: generación, uso, rotación, retirada y destrucción.
Cifrado, pseudonimización y anonimización: no son lo mismo
Los datos cifrados siguen siendo datos personales para el RGPD si se pueden descifrar. La pseudonimización reduce el riesgo, pero tampoco los saca del RGPD. Solo la anonimización real los saca. Si quieres profundizar, lee anonimización frente a seudonimización.
Con IA: puntos a vigilar
- Datos que envías a proveedores de IA: comprueba que viajan cifrados y qué hace el proveedor con ellos.
- Conjuntos de entrenamiento y bases de embeddings: guárdalos cifrados, igual que los datos de origen.
- Claves y credenciales de API que usan los agentes: no las dejes en código ni en documentos.
Qué dicen las normas
El RGPD (Art. 32) menciona el cifrado y la seudonimización como ejemplos de medidas técnicas adecuadas. NIS2 (Art. 21) incluye entre las medidas mínimas las políticas y procedimientos sobre el uso de criptografía y, cuando proceda, cifrado. Ninguna norma fija un algoritmo concreto: pide medidas proporcionadas al riesgo y al estado de la técnica.
Preguntas frecuentes
¿Qué estándar de cifrado debo usar?
Los de uso común y vigentes, como AES-256 para datos en reposo y TLS 1.2 o 1.3 para tránsito. Revisa la política cada año porque lo que hoy es adecuado puede dejar de serlo.
¿Hace falta un servicio de gestión de claves si soy una pyme?
La mayoría de proveedores de nube incluyen uno. Usarlo es más seguro y más barato que improvisar con ficheros de claves.
¿Cada cuánto se rotan las claves?
No hay un plazo único; lo habitual es entre 90 días y un año según la sensibilidad. Lo importante es fijarlo y cumplirlo.
Contenido informativo, no asesoramiento jurídico. La regulación de la IA cambia con rapidez: comprueba siempre el texto oficial vigente antes de decidir. Información revisada a 15 de octubre de 2026.
Esto te da el método. Si prefieres el documento ya hecho: Política de Cifrado y Gestión de Claves.
¿En qué punto está tu Data Governance?
Diagnóstico gratis con tus gaps prioritarios, más el autodiagnóstico y la calculadora de ahorro del camino de Data Governance.