Cifrado de datos PII: mejores prácticas

La información de identificación personal (PII) es cualquier dato que pueda usarse para identificar de forma única a un individuo: nombre, correo electrónico, número de teléfono, números de cuentas financieras, registros médicos y atributos similares. La exposición no autorizada de PII desencadena tres riesgos compuestos: pérdida de la confianza del consumidor, impacto financiero directo (el informe de IBM/Ponemon sobre el costo de una filtración de datos de 2023 situó el costo promedio mundial de una filtración de datos en 4.45 millones de dólares) y sanciones legales y regulatorias bajo el RGPD , HIPAA , CCPA y PCI DSS . La acción recomendada es: clasificar toda la PII por sensibilidad y categoría regulatoria, cifrar los datos en reposo con AES-256-GCM, aplicar TLS 1.3 para todos los datos en tránsito, gestionar las claves por separado de los datos cifrados mediante un sistema de gestión de claves validado por FIPS y aplicar la tokenización para la PII que no necesite ser procesada posteriormente.

Respuesta rápida: ¿Cuáles son las mejores prácticas para el cifrado de datos de identificación personal (PII)?

Las mejores prácticas de cifrado de datos PII abarcan tres fases del ciclo de vida de los datos. En reposo: utilice AES-256-GCM para el cifrado de bases de datos y archivos; almacene las claves de cifrado separadas de los datos cifrados en un HSM o KMS FIPS 140-2 Nivel 2 o superior; rote las claves según un calendario definido (de uno a tres años para las claves de cifrado de datos según NIST SP 800-57); y aplique la tokenización para los valores PII (como los números de tarjetas de pago) a los que los sistemas posteriores necesiten hacer referencia sin procesar el valor real. En tránsito: aplique TLS 1.3 para todos los PII transmitidos entre sistemas; valide los certificados del servidor de CA de confianza; utilice TLS mutuo (mTLS) para la comunicación de servicio a servicio en entornos internos. En uso: aplique el enmascaramiento de datos para entornos que no sean de producción; aplique controles de acceso para que solo los sistemas y usuarios con una necesidad legítima puedan acceder a los PII descifrados; y registre todo el acceso a los almacenes de datos PII con suficiente detalle para la investigación forense y la demostración del cumplimiento.

¿Qué es la información de identificación personal (PII)?

La información de identificación personal (PII) es cualquier dato que pueda utilizarse para identificar, contactar o localizar de forma unívoca a una persona, ya sea individualmente o en combinación con otra información. La mayoría de las normativas de privacidad definen dos niveles:

• Información personal identificable directa: Datos que identifican a una persona por sí solos. Algunos ejemplos son el nombre completo, la dirección de correo electrónico, el número de teléfono, la dirección física, el número de identificación nacional (número de la Seguridad Social, documento nacional de identidad), el número de pasaporte, el número de licencia de conducir y los números de cuentas financieras.
• Información personal sensible: Datos que requieren mayor protección debido a que su exposición causa daños más graves. Algunos ejemplos son la información médica y de salud, los datos biométricos, los números de cuentas financieras, el origen racial o étnico, la orientación sexual y las creencias religiosas. La información personal sensible está sujeta a los requisitos de protección más estrictos del RGPD, la HIPAA, la PCI DSS y normativas similares.

El primer paso en el cifrado de datos de identificación personal (PII) es la clasificación de datos: identificar qué datos en los sistemas de la organización califican como PII, a qué categoría pertenecen y qué requisitos normativos se les aplican. Esta clasificación determina los requisitos de protección. La información de salud se rige por la HIPAA; los datos de tarjetas de pago por la PCI DSS; los datos personales europeos por el RGPD; y la información personal de los consumidores de California por la CCPA. Algunos datos se rigen por múltiples normativas simultáneamente.

Localización de información de identificación personal: Descubrimiento de datos

Una vez definidas las categorías de información de identificación personal (PII), el siguiente paso es localizar toda la PII en la empresa. Los datos de PII rara vez se encuentran en un solo lugar: se acumulan en bases de datos de producción, registros de aplicaciones, sistemas de respaldo, almacenes de datos analíticos, entornos de desarrollo y prueba, archivos de correo electrónico y almacenamiento en la nube. El descubrimiento de datos implica evaluar dónde se almacena y procesa cada categoría de PII en todos estos entornos. Las herramientas de descubrimiento de datos automatizan el escaneo de patrones consistentes con la PII (nombres, direcciones de correo electrónico, números de tarjetas de crédito, formatos de número de seguro social) en bases de datos estructuradas y almacenes de archivos no estructurados. El resultado del descubrimiento de datos es un mapa de datos de PII: un registro de dónde se encuentra cada categoría de PII, qué sistemas la procesan y qué controles están implementados.

Tecnologías de cifrado y selección de algoritmos

Caso de uso	Algoritmo recomendado	Tamaño clave	Qué evitar	Referencias
Información personal identificable en reposo (base de datos, sistema de archivos, almacenamiento en la nube)	AES-256-GCM	256 bits	DES, 3DES, RC4, AES-ECB (sin protección de integridad)	NIST SP 800-111; FIPS 140-3
Información personal identificable en tránsito (cliente-servidor, servicio a servicio)	TLS 1.3 (intercambio de claves ECDHE, AES-GCM o ChaCha20-Poly1305)	P-256 o X25519 para intercambio de claves	SSL 3.0, TLS 1.0, TLS 1.1; RC4; MD5; hashes de certificados SHA-1	NIST SP 800-52 Rev. 2; PCI DSS Req. 4.2.1
Información de identificación personal que requiere capacidad de búsqueda (búsqueda cifrada)	Cifrado que preserva el formato (FPE, NIST SP 800-38G) o AES-SIV determinista	256 bits	Cifrado aleatorio para campos que deben consultarse directamente.	NIST SP 800-38G
Números de tarjetas de pago y fichas	Se prefiere la tokenización (token aleatorio + bóveda segura); el cifrado AES-256 como control secundario.	Clave de cifrado de 256 bits para la bóveda	Almacenar números PAN sin procesar en registros de aplicaciones o campos no cifrados.	Requisitos PCI DSS 3.3-3.5
Cifrado de claves (encapsulación de claves de cifrado de datos)	AES-256-GCM (clave de cifrado de clave) o RSA-3072/ECDSA P-256 para cifrado de clave asimétrico.	Simétrico de 256 bits o RSA de 3072 bits	RSA-1024; almacenamiento de DEK junto con los datos cifrados	NIST SP 800-57 Parte 1

Cifrado vs. Tokenización vs. Enmascaramiento de datos

Existen tres técnicas distintas para proteger la información de identificación personal (PII), cada una con diferentes casos de uso y propiedades:

• Encriptación: Transforma la información de identificación personal (PII) en texto cifrado mediante una clave. El valor original se puede recuperar mediante el descifrado. Úselo cuando el sistema que recibe o almacena los datos pueda necesitar legítimamente acceder al valor original (por ejemplo, para mostrar la dirección de un cliente a un representante de atención al cliente o para procesar un pago y verificar un número de cuenta bancaria).
• Tokenización: Sustituye la información de identificación personal (PII) por un token generado aleatoriamente sin relación matemática con el valor original. El valor original se almacena en una bóveda de tokens segura; solo los sistemas con acceso a la bóveda pueden recuperarlo. Úselo cuando los sistemas posteriores necesiten consultar los datos sin procesar el valor real de la PII (por ejemplo, la tokenización de tarjetas de pago en el comercio minorista: el token viaja a través de la cadena de procesamiento de pagos, mientras que el número de tarjeta real permanece en la bóveda).
• Enmascaramiento de datos: Reemplaza la información personal identificable (PII) con valores ofuscados que conservan el formato, pero no son el valor real y no se pueden revertir. Úselo en entornos que no sean de producción (desarrollo, pruebas, análisis) donde la PII real sería accesible para desarrolladores o analistas que no tienen una necesidad legítima de conocer los valores reales.

Modelo de amenazas de cifrado de datos PII

Interna	Escenario de ataque	Control de cifrado	Por qué reduce el impacto
violación de la base de datos	Un atacante obtiene acceso de lectura no autorizado a una base de datos de producción que contiene información de identificación personal (mediante inyección SQL, credenciales robadas o controles de acceso mal configurados).	Cifrado AES-256-GCM en reposo con claves almacenadas en un KMS/HSM independiente.	El texto cifrado robado sin la clave de cifrado no tiene valor para el atacante; la información de identificación personal no se puede leer ni utilizar.
Intercepción de red (MITM)	El atacante intercepta información de identificación personal (PII) en tránsito entre un cliente y un servidor, o entre servicios internos.	TLS 1.3 con validación de certificado de servidor; mTLS para comunicación de servicio a servicio.	El tránsito cifrado garantiza que los paquetes interceptados no puedan ser leídos; la validación del certificado evita la suplantación de identidad.
Exfiltración de respaldo	El atacante obtiene acceso a archivos de copia de seguridad no cifrados almacenados en dispositivos de almacenamiento de copias de seguridad o en medios enviados fuera de las instalaciones.	Cifrado AES-256-GCM de los archivos de copia de seguridad antes de su almacenamiento; las claves de cifrado no se almacenan en la copia de seguridad.	El acceso físico o lógico a los medios de copia de seguridad no expone la información de identificación personal sin la clave de cifrado.
Amenaza interna	Un empleado privilegiado con acceso a la base de datos exporta o exfiltra información personal identificable (PII).	Cifrado a nivel de campo para los campos de información personal identificable (PII) de mayor sensibilidad; registro de acceso; controles de acceso basados ​​en la necesidad de saber.	El cifrado limita el acceso de un usuario privilegiado; el registro de actividad proporciona un rastro forense para la detección y la atribución.
Mala configuración de la nube	La información de identificación personal almacenada en el almacenamiento de objetos en la nube (S3, Azure Blob) se hace accesible públicamente por accidente.	Cifrado del lado del servidor o del cliente con claves gestionadas por el cliente antes de la carga.	El acceso público a objetos de almacenamiento cifrados no expone información de identificación personal sin la clave de cifrado.
Compromiso clave	La clave de cifrado es robada o filtrada, lo que permite el descifrado de la información personal identificable (PII) cifrada.	Almacenamiento HSM de claves de cifrado; programa de rotación de claves; controles de acceso que limitan el uso de claves a sistemas autorizados.	HSM impide la exportación de claves; la rotación limita el volumen de datos expuestos si una clave anterior se ve comprometida; los controles de acceso limitan qué sistemas pueden descifrar.

Mejores prácticas de gestión de claves para el cifrado de información de identificación personal (PII)

La eficacia final del cifrado de información personal identificable (PII) no depende del algoritmo, sino de la correcta gestión de las claves de cifrado. Un atacante que obtenga la clave de cifrado puede descifrar toda la PII cifrada con esa clave, independientemente de la robustez del algoritmo. Requisitos de gestión de claves para el cifrado de PII:

1. Separe los datos cifrados de las claves de cifrado: Las claves de cifrado deben almacenarse en una ubicación separada de los datos que protegen. Una base de datos cifrada con claves almacenadas en la misma base de datos ofrece una protección mínima contra una violación de seguridad. Las claves deben almacenarse en un sistema de gestión de claves (KMS) o módulo de seguridad de hardware (HSM) dedicado.
2. Utilice almacenamiento de claves respaldado por HSM para información de identificación personal sensible: Un HSM con certificación FIPS 140-2 Nivel 2 o superior almacena las claves en hardware a prueba de manipulaciones e impide su exportación. Todas las operaciones criptográficas que utilizan la clave (cifrado, descifrado) se realizan dentro del HSM. Un atacante que comprometa el servidor de aplicaciones no podrá extraer la clave del HSM. Véase HSM como servicio para la gestión de claves basada en hardware sin infraestructura HSM local.
3. Implementar la rotación de teclas: Las claves de cifrado de datos (DEK) deben rotarse según un calendario definido por la sensibilidad de los datos y el volumen de datos cifrados. La norma NIST SP 800-57 recomienda periodos criptográficos de dos a tres años para las claves de cifrado de contenido simétrico. La rotación requiere volver a cifrar todos los datos con la nueva clave, razón por la cual el cifrado de sobre (que consiste en encapsular una DEK con una clave de cifrado de clave, o KEK) se utiliza en la mayoría de las implementaciones de producción: rotar la KEK es operativamente mucho más sencillo que volver a cifrar todo el conjunto de datos.
4. Implementar controles de acceso al uso de claves: El acceso para invocar operaciones clave (cifrado, descifrado) debe otorgarse únicamente a sistemas y procesos autorizados mediante controles de acceso basados ​​en la identidad. Todos los eventos de uso de claves deben registrarse con marcas de tiempo, la identidad del sistema solicitante y el identificador de la clave utilizada.
5. Plan para la gestión de claves post-cuánticas: AES-256 no es vulnerable a la computación cuántica (los algoritmos simétricos no se ven afectados por el algoritmo de Shor). Sin embargo, los mecanismos de cifrado e intercambio de claves RSA y ECC utilizados en algunos sistemas de gestión de claves son vulnerables a la computación cuántica. Las organizaciones deben evaluar su infraestructura de gestión de claves para detectar vulnerabilidades cuánticas como parte de Planificación de la migración de PQC.

Mapeo de cumplimiento

Regulación	Categoría de PII cubierta	Requisito de cifrado	Requisito clave de gestión
RGPD (artículo 32)	Todos los datos personales de los residentes de la UE	El cifrado figura como medida técnica apropiada; se exime de la notificación obligatoria en caso de filtraciones de datos cifradas.	Basado en el riesgo; la guía de ENISA recomienda AES-256 y TLS 1.3.
Regla de seguridad de HIPAA	Información sanitaria electrónica protegida (ePHI)	Especificación direccionable (implementar o documentar por qué no); la aplicación de OCR trata consistentemente el no cifrado como una violación.	Las claves deben gestionarse por separado de la información médica electrónica cifrada (ePHI); la guía del NIST (NIST SP 800-111) es la referencia estándar.
PCI DSS v4.0	Datos del titular de la tarjeta (PAN, SAD)	Requisito 3.5: criptografía robusta para el PAN almacenado; Requisito 4.2.1: TLS para el PAN en tránsito.	Requisito 3.7: Procedimientos documentados de gestión de claves, incluyendo generación, distribución, almacenamiento, retiro, rotación y control de acceso.
CCPA	Información personal de consumidores de California	No hay obligación de cifrado; protección frente a acciones legales privadas cuando los datos vulnerados están cifrados.	No se requieren requisitos específicos de gestión de claves; se aplican las mejores prácticas de cifrado.
Reglamento de Ciberseguridad del NYDFS (23 NYCRR 500)	Información no pública de clientes de servicios financieros de Nueva York	Se requiere cifrado para la información no pública, tanto en reposo como en tránsito.	Se requiere un programa de gestión de claves; las claves deben estar protegidas contra el acceso no autorizado.

Ejemplo de implementación: Cifrado de información personal identificable (PII) de proveedores de atención médica

Un proveedor de atención médica que almacena registros de pacientes que incluyen nombres, fechas de nacimiento, códigos de diagnóstico e información del seguro implementa el cifrado de información de identificación personal (PII) en seis pasos:

1. Clasificación y descubrimiento de datos: Los campos de información personal identificable (PII) en la base de datos de registros de pacientes se clasifican según su sensibilidad (nombre e información de contacto como PII directa; códigos de diagnóstico y números de seguro como PII/ePHI sensibles). Un análisis de descubrimiento de datos identifica dónde se almacenan también los datos del paciente en los registros de aplicaciones, los sistemas de respaldo y una base de datos de informes utilizada por el equipo de análisis.
2. Cifrado a nivel de campo para información médica electrónica protegida (ePHI): Los códigos de diagnóstico, los números de seguro y otros campos de información médica electrónica (ePHI) en la base de datos de producción se cifran a nivel de campo mediante AES-256-GCM. Las claves de cifrado se almacenan en un sistema de gestión de claves (KMS) con soporte de HSM, no en la base de datos ni en el servidor de aplicaciones.
3. Cifrado completo de la base de datos para copias de seguridad: Las copias de seguridad de la base de datos se cifran en reposo mediante AES-256-GCM antes de escribirse en el almacenamiento de copias de seguridad. La clave de cifrado de la copia de seguridad es independiente de las claves de cifrado a nivel de campo y se gestiona a través del mismo KMS con una política de acceso diferente, restringida al sistema de copias de seguridad.
4. TLS 1.3 para todas las comunicaciones dirigidas a pacientes y entre servicios: El portal del paciente, la aplicación móvil y todas las llamadas de servicio internas que manejan datos de pacientes están configurados para usar TLS 1.3 como versión mínima del protocolo. Los certificados TLS se administran mediante un proceso de gestión del ciclo de vida de los certificados con renovación automatizada.
5. Enmascaramiento de datos para entornos analíticos: La base de datos de informes que utiliza el equipo de análisis contiene copias enmascaradas de datos de pacientes: se conservan los códigos de diagnóstico reales y los patrones de admisión para el análisis estadístico, pero los nombres, las fechas de nacimiento y los números de seguro se reemplazan con valores sintéticos. Los analistas pueden realizar análisis de salud poblacional sin acceder a la información personal identificable real de los pacientes.
6. Registro y auditoría de accesos: Se registra todo acceso al KMS para operaciones de descifrado. Los registros se revisan trimestralmente para detectar anomalías (sistemas inesperados que solicitan descifrado, acceso fuera del horario laboral, acceso a claves para almacenes de datos dados de baja) y se conservan durante el período requerido por la HIPAA (seis años).

Limitaciones del cifrado de información de identificación personal

• El cifrado no protege la información de identificación personal (PII) durante su uso activo: Cuando una aplicación descifra información personal identificable (PII) para procesarla (mostrarla a un usuario, incluirla en un correo electrónico, registrarla para depuración), el texto sin cifrar queda expuesto brevemente en la memoria de la aplicación y, potencialmente, en los registros. El diseño de la aplicación debe minimizar el tiempo que la PII en texto sin cifrar permanece en la memoria, evitar que aparezca en los registros y evitar transmitirla a sistemas posteriores que no la necesiten.
• La gestión de las llaves es el eslabón más débil: La seguridad de la información personal identificable (PII) cifrada depende directamente de la seguridad de las claves de cifrado. Una clave mal gestionada (almacenada en un archivo de configuración junto a la base de datos, accesible a todos los desarrolladores y sin rotación) ofrece una protección mínima. En la práctica, la mayoría de los fallos de cifrado de PII se deben a fallos en la gestión de claves, más que a debilidades en los algoritmos.
• La información personal identificable encriptada no se anonimiza: La información personal identificable (PII) encriptada sigue siendo información personal según el RGPD y otras normativas de privacidad, ya que el responsable del tratamiento posee la clave y puede descifrarla. La anonimización total (de modo que el interesado no pueda ser identificado ni siquiera por la propia organización) excluye los datos del ámbito de aplicación de la mayoría de las normativas de privacidad, pero resulta difícil de lograr en la práctica sin perder la utilidad de los datos.
• Sobrecarga de rendimiento para el cifrado de alto volumen a nivel de campo: El cifrado y descifrado de campos individuales de información personal identificable (PII) en una base de datos añade latencia a las operaciones de lectura y escritura. Para aplicaciones de alto rendimiento, el cifrado AES acelerado por hardware (AES-NI) reduce significativamente esta sobrecarga, pero el cifrado a nivel de campo aún puede afectar el rendimiento de las consultas analíticas a gran escala sobre campos cifrados.

Cómo puede ayudar la consultoría de cifrado

• Servicios de asesoramiento sobre cifrado: nuestro mapa de Servicios de asesoramiento sobre cifrado Evaluar la postura actual de su organización en materia de protección de datos personales, identificar deficiencias en la cobertura de cifrado (campos de datos personales sin cifrar, copias de seguridad no cifradas en reposo, protocolos obsoletos para datos en tránsito) y recomendar un plan de remediación alineado con el RGPD, la HIPAA, la PCI DSS y las directrices del NIST.
• HSM como servicio: HSM como servicio Proporciona almacenamiento respaldado por hardware con validación FIPS 140-3 para las claves de cifrado que protegen su información de identificación personal (PII), lo que garantiza que las claves no se puedan exportar desde el HSM y que todas las operaciones con claves se registren y sean auditables.
• Servicios de asesoramiento en materia de cumplimiento normativo: nuestro mapa de Servicios de asesoramiento sobre cumplimiento Ayudamos a las organizaciones a diseñar programas de cifrado de información de identificación personal que cumplan con los requisitos específicos de sus normativas aplicables, incluidos los requisitos de documentación y evidencia de auditoría que exigen los reguladores y evaluadores.
• CBOM Seguro: CBOM seguro Descubre todas las implementaciones criptográficas en su entorno, incluyendo dónde se aplica el cifrado de información de identificación personal (PII), qué algoritmos y tamaños de clave se utilizan, y dónde los almacenes de datos PII carecen de controles de cifrado, proporcionando el inventario necesario para subsanar deficiencias y planificar la migración a PQC para la infraestructura de gestión de claves.

Conclusión

Toda empresa que maneje información personal identificable (PII) es responsable de protegerla contra filtraciones, accesos no autorizados e incumplimiento normativo. El cifrado es el control técnico más directo: cuando se roba PII cifrada, los datos robados carecen de valor para el atacante sin la clave de cifrado. Los tres riesgos de una filtración de PII (pérdida de confianza del consumidor, impacto financiero directo y sanciones regulatorias) se reducen considerablemente cuando la filtración involucra datos debidamente cifrados.

El cifrado eficaz de la información de identificación personal (PII) requiere la elección correcta del algoritmo (AES-256-GCM para datos en reposo, TLS 1.3 para datos en tránsito), una gestión rigurosa de claves (almacenamiento con HSM, programación de rotación, controles de acceso de mínimo privilegio), detección de datos para garantizar la cobertura en todos los entornos y controles complementarios (tokenización para datos de pago, enmascaramiento para entornos de desarrollo). El modo de fallo más común no es un algoritmo débil, sino una gestión deficiente de las claves: claves almacenadas junto con los datos, nunca rotadas o accesibles a sistemas que no las necesitan. Si su organización desea evaluar su postura de cifrado de PII en función de los requisitos normativos y las mejores prácticas del sector, póngase en contacto con Encryption Consulting.

Preguntas frecuentes

¿Qué es la información de identificación personal (PII)?

La información de identificación personal (IIP) es cualquier dato que pueda identificar a una persona, ya sea por sí solo o en combinación con otra información. La IIP directa incluye nombre, correo electrónico, número de teléfono y número de identificación nacional. La IIP sensible incluye datos de salud, números de cuentas financieras y datos biométricos. La mayoría de las normativas de privacidad definen las categorías de IIP que abarcan e imponen obligaciones de protección específicas para cada una.

¿Qué algoritmo de cifrado se debe utilizar para los datos de identificación personal (PII) en reposo?

AES-256-GCM es el algoritmo recomendado. Ofrece una seguridad de 256 bits (suficiente para datos que requieren protección a largo plazo), cifrado autenticado (que detecta manipulaciones) y compatibilidad con aceleración por hardware. Está recomendado o exigido por las directrices de NIST, PCI DSS y HIPAA. El modo de fallo más común reside en la gestión de claves, no en la debilidad del algoritmo.

¿Cuál es la diferencia entre cifrado, tokenización y enmascaramiento de datos para información de identificación personal (PII)?

El cifrado transforma la información de identificación personal (PII) en texto cifrado que puede recuperarse con la clave correcta. Úselo cuando los sistemas autorizados puedan necesitar el valor original. La tokenización reemplaza la PII con un token aleatorio almacenado en una bóveda segura; úselo cuando los sistemas posteriores hagan referencia a la PII real, pero no la procesen. El enmascaramiento de datos reemplaza la PII con valores ofuscados que no se pueden revertir; úselo en entornos que no sean de producción donde no se necesite la PII real.

¿Qué normativas exigen el cifrado de la información de identificación personal (PII)?

El RGPD enumera el cifrado como una medida técnica apropiada y exime de la notificación individual de la violación de datos cifrados. La HIPAA designa el cifrado como una especificación direccionable (implementar o documentar por qué no); la aplicación de la OCR trata sistemáticamente la falta de cifrado de la información médica electrónica protegida (ePHI) como una violación. La PCI DSS exige un cifrado robusto de los datos almacenados del titular de la tarjeta y TLS para los datos en tránsito. La CCPA proporciona un puerto seguro frente al derecho de acción privada para las violaciones de cifrado. La NYDFS 23 NYCRR 500 exige el cifrado en reposo y en tránsito para la información no pública.

¿Cómo deben gestionarse las claves de cifrado para la información de identificación personal (PII)?

Las claves deben almacenarse por separado de los datos que protegen, en un HSM con certificación FIPS 140-2 Nivel 2 o superior, o en un KMS dedicado. El acceso debe restringirse únicamente a sistemas autorizados. Las claves deben rotarse según un calendario definido (de uno a tres años para las DEK, según NIST SP 800-57). Se debe registrar todo el uso de las claves. Utilice el cifrado de sobre (encapsulando las DEK con una KEK) para que la rotación sea viable operativamente sin tener que volver a cifrar conjuntos de datos completos.

¿Es diferente el cifrado de la información personal identificable (PII) en reposo del cifrado de la PII en tránsito?

Sí. El cifrado en reposo protege la información personal almacenada contra el acceso no autorizado a los medios de almacenamiento. El cifrado en tránsito (TLS 1.3) protege la información personal que se transmite entre sistemas contra la interceptación de la red. Ambos son necesarios: el cifrado en reposo no protege los datos durante su transmisión, y el cifrado en tránsito no protege los datos almacenados. Todas las principales normativas de privacidad exigen ambos.