Madurez · Protección de datos sensibles y criptografía avanzada

Este marco de referencia evalúa la manera en que una organización identifica, clasifica y protege sus datos sensibles, y la forma en que gestiona los mecanismos criptográficos que los protegen. Cubre la clasificación de los datos, el cifrado en reposo, en tránsito y en uso, la gestión del ciclo de vida de las claves y los secretos, las técnicas de anonimización y seudonimización, el intercambio seguro con terceros, así como la anticipación de las evoluciones criptográficas. No se trata de un control técnico de configuración, sino de una evaluación de las prácticas de gestión y de gobernanza.

En la práctica, estos temas son difíciles de pilotar porque el conocimiento está disperso. El cifrado lo deciden los equipos de infraestructura, la clasificación la deciden las áreas de negocio, las claves las gestionan administradores a veces externos. Tres preguntas bastan para revelar la brecha: ¿sabe usted qué bases de datos contienen datos sensibles, y desde cuándo no se ha revisado ese inventario? ¿Quién puede acceder técnicamente a una clave de producción, y ese acceso queda registrado? ¿Qué ocurre si un proveedor posee a la vez los datos cifrados y las claves?

Conviene señalar un punto de contexto. La transición hacia la criptografía postcuántica ya está en marcha: las autoridades de seguridad, entre ellas la ANSSI, recomiendan la hibridación de los mecanismos y la construcción de un inventario criptográfico para preparar las migraciones. Esto desplaza el tema del ámbito técnico al de un programa de transformación, con un inventario por constituir, dependencias de proveedores por cualificar y una trayectoria plurianual por financiar. Muchas organizaciones han tomado conocimiento del tema sin haber empezado el inventario, que es el requisito previo.

El diagnóstico de madurez responde a una pregunta distinta de una auditoría de cumplimiento. La auditoría concluye con una brecha o una conformidad respecto a un requisito. El diagnóstico sitúa cada práctica en una escala progresiva e indica la acción precisa que permite pasar al nivel superior: pasar de una clasificación documentada a una clasificación aplicada, de una rotación de claves manual a una rotación automatizada y registrada. El resultado no es un veredicto, es una trayectoria cuantificada, comparable entre unidades de negocio y en el tiempo.

En Datamensio, el marco de referencia está listo para usar y es modificable. La IA ajusta los ámbitos, reformula las preguntas según su vocabulario interno, afina los niveles siguiendo la lógica CMMI, o construye una variante a partir de su política de seguridad y de sus estándares criptográficos existentes.