c2.17 Cifrar datos en reposo
Los servicios de almacenamiento de AWS ofrecen cifrado del lado del servidor con mínimo esfuerzo, así que cifre todo. Para datos sensibles, use sus propias claves de AWS KMS para controlar la clave, poder compartirla entre cuentas y ajustar la rotación a sus necesidades de cumplimiento.
Guía de implementación
Cifre todo y sea dueño de las claves sensibles
La mayoría de los servicios de almacenamiento de AWS soportan cifrado del lado del servidor que puede habilitar casi sin esfuerzo: actívelo ampliamente. Para datos sensibles, use una clave administrada por el cliente en AWS KMS en vez de una clave propiedad de AWS, porque le permite:
- deshabilitar la clave para cortar el acceso,
- compartirla entre cuentas (útil para entregar snapshots a un equipo de respuesta a incidentes),
- y establecer un intervalo de rotación acorde a sus requisitos de cumplimiento.
Verifique el cifrado a escala
Use controles de AWS Security Hub CSPM para encontrar recursos sin cifrar en toda la organización —por ejemplo volúmenes EBS e instancias RDS sin cifrado en reposo— además de controles que cubren DynamoDB, OpenSearch, secretos de EKS y más.
KMS vs. CloudHSM
Prefiera KMS: es más rentable, altamente disponible entre AZs y respaldado por HSMs resistentes a manipulación. Elija AWS CloudHSM solo cuando necesite específicamente un HSM dedicado de un solo tenant; y si lo hace, ejecute un cluster en múltiples zonas de disponibilidad para alta disponibilidad.
Material de clave
A menos que tenga una razón fuerte, evite importar material de clave externo o usar un almacén de claves externo: ambos conllevan compromisos de seguridad y durabilidad frente a las claves generadas por KMS.
Activa el cifrado de EBS por defecto
Habilita el cifrado por defecto a nivel de cuenta para los nuevos volúmenes de EBS (por Región). Confirma que está activo:
aws ec2 enable-ebs-encryption-by-default
aws ec2 get-ebs-encryption-by-defaultCómo validar
- ¿Todos los datos críticos y sensibles están cifrados en reposo?
- ¿Usa claves KMS administradas por el cliente para datos sensibles, con rotación acorde a sus necesidades?
- ¿Usa controles de Security Hub CSPM para detectar recursos sin cifrar en toda la organización?
Amenazas que atiende
- Los datos sin cifrar en reposo son legibles por cualquiera que obtenga el almacenamiento subyacente (un snapshot compartido, un volumen robado, un bucket mal configurado), convirtiendo una exposición de almacenamiento en una filtración de datos.
Servicios AWS
AWS KMS 
Amazon EBS 
AWS Security Hub Precios
La capa gratuita de AWS incluye 20,000 solicitudes gratuitas de KMS al mes. Vea precios de AWS KMS.