DATA VAULT / TECHNICAL DESIGN

Cifrado, gestión de claves y almacenamiento

Almacene los datos personales por separado y restrinja las rutas de descifrado. Diseñe el almacenamiento, el uso, la eliminación y la recuperación como un solo ciclo de vida.

DEEP DIVE

Comprender el mecanismo y su impacto.

El nombre de un algoritmo por sí solo no explica qué riesgos se reducen. Utilice ejemplos de almacenamiento y entrega de direcciones para explorar claves y flujos de datos.

Claves de cifrado y datos separadas

Un ejemplo de cifrado de sobre cifra datos personales con una DEK y protege la DEK con una KEK. Utilice cifrado autenticado y rechace los datos manipulados antes de su uso.

DEK / KEK: El acceso a la base de datos no debe otorgar también acceso a las claves administradas por KMS.
nonce / authentication tag: Evite la reutilización de nonce con AES-GCM y rechace las etiquetas de autenticación fallidas.
Datos autenticados adicionales (AAD): Vincule tenant_id, record_id y schema_version para detectar la sustitución de texto cifrado.
Rotación de claves: Distinga entre volver a empaquetar DEK durante la rotación de KEK y volver a cifrar datos durante la rotación de DEK.

CLOUD KEY MANAGEMENT

Servicios de claves en la nube para custodia de claves.

El Vault usa Azure Key Vault para su KEK. Separa el permiso de usar la clave que protege las claves de datos (DEK) del acceso a la base.

Azure: Utilice Azure Key Vault; Elija Azure Managed HSM cuando se requiera un entorno HSM dedicado.
AWS: El producto DEV actual es una API de direcciones en Azure. No incluye envío de correo, imágenes de identidad, OCR ni AWS KMS. Los ejemplos generales de arquitectura no son funciones incluidas. Confirma almacenamiento, operación e integraciones al iniciar.
El papel de OneNym: Combine la gestión de claves en la nube con reglas a nivel de flujo de trabajo que rigen quién puede recuperar qué datos, con qué propósito y hasta cuándo.

Almacene texto cifrado y DEK envueltas, no DEK de texto sin formato persistentes. Los permisos de uso de claves comprometidos pueden permitir el descifrado, por lo que se separan los datos, las claves y el acceso administrativo.

Minimizar las rutas de descifrado

Separe la conectividad de la base de datos de la autoridad de descifrado. Solo las operaciones autorizadas descifran los campos obligatorios, manteniendo los datos personales innecesarios fuera de las respuestas, registros y excepciones.

Respuestas a nivel de campo: Devuelva solo los campos permitidos, como la dirección necesaria para la entrega.
Acceso administrativo: Separe las operaciones de rutina y de emergencia con autenticación sólida, límites de tiempo y registros de auditoría.
Diseño de búsqueda: La búsqueda de campos cifrados requiere un diseño independiente. Los hashes de búsqueda también conllevan riesgos de coincidencia y adivinanzas.

Eliminación, copias de seguridad y recuperación

Definir la retención por finalidad. Realice un seguimiento de la eliminación en datos de origen, réplicas, copias de seguridad y socios. Vuelva a aplicar los registros de eliminación después de la restauración para evitar que regresen los datos eliminados.

Finalización de la eliminación: Registre la eliminación lógica, la eliminación física y la destrucción de claves por separado.
Destrucción de claves: Considere las claves dedicadas solo cuando se puedan eliminar todas las copias recuperables, incluidas las copias de seguridad. La destrucción de claves compartidas también afecta a otros registros.
Objetivos de recuperación: Defina RPO y RTO y pruebe la recuperación en la práctica.
Registros de auditoría: Registrar actor, operación, referencia objetivo, tiempo y resultado. No registre datos personales ni tokens sin procesar.

DATA / INTEGRATION EXAMPLE

Ejemplo de datos e integración

Estos ejemplos explican el diseño. Los nombres y valores de los campos son ilustrativos, no una referencia de API ejecutable.

{
  "operation": "Vault record metadata example",
  "record": {
    "tenant_id": "tenant_a",
    "record_id": "rec_example_01",
    "schema_version": 1,
    "ciphertext": "<encrypted bytes>",
    "wrapped_dek": "<wrapped key>",
    "kek_version": "key-version-2",
    "retention_until": "<agreed retention date>",
    "status": "active"
  }
}

Este ejemplo explica el diseño del almacenamiento. Siga el formato de la biblioteca criptográfica para etiquetas y nonces. El cifrado por sí solo no puede evitar el abuso de los permisos legítimos de descifrado.

Diseños técnicos relacionados

Volver a la descripción general de la plataforma de privacidad

Integración diseñada para sus flujos de trabajo.

Mapee los datos retenidos, los socios y las acciones requeridas para identificar formas de reducir la exposición.

Discutir la integración técnica