Comparación entre seguridad y privacidad de datos

La seguridad y la privacidad de los datos son disciplinas relacionadas que a menudo se confunden, pero abordan problemas fundamentalmente diferentes. La seguridad de los datos protege la información del acceso y la modificación no autorizados mediante controles técnicos. La privacidad de los datos regula cómo se recopilan, utilizan y comparten los datos personales, de acuerdo con el consentimiento y los requisitos normativos. Una organización necesita ambas: la seguridad previene las filtraciones; la privacidad garantiza que incluso los datos debidamente protegidos se utilicen de forma adecuada. La acción recomendada es implementar controles de seguridad técnicos (cifrado, controles de acceso, tokenización) como base, y luego añadir la gobernanza de la privacidad (gestión del consentimiento, minimización de datos, limitación de la finalidad) sobre esa base.

Respuesta rápida: ¿En qué se diferencian la seguridad de los datos y la privacidad de los datos?

La seguridad de los datos plantea la siguiente pregunta: ¿quién puede acceder a estos datos y cómo prevenimos el acceso no autorizado? Se responde mediante controles técnicos: cifrado , cortafuegos, autenticación, controles de acceso y monitorización. La privacidad de los datos plantea la siguiente pregunta: ¿deberían recopilarse estos datos, con qué fin, con el consentimiento de quién y quién está autorizado a utilizarlos y cómo? Se responde mediante la gobernanza: marcos de consentimiento, clasificación de datos, políticas de limitación de finalidad y programas de cumplimiento normativo. La dependencia crítica es direccional: la privacidad requiere seguridad como requisito previo, ya que las obligaciones de privacidad sobre los datos personales carecen de sentido si estos no están protegidos contra el acceso no autorizado. Sin embargo, la seguridad no requiere privacidad: una organización puede implementar un cifrado robusto para los datos que no está legalmente autorizada a recopilar, lo que satisface los requisitos de seguridad pero vulnera los de privacidad.

Seguridad de los datos frente a privacidad de los datos: la distinción fundamental

La seguridad de los datos se centra principalmente en impedir el acceso no autorizado e ilegítimo a los datos mediante vulneraciones, brechas o filtraciones, independientemente de quién sea el responsable. Las empresas implementan la seguridad de los datos mediante controles de TI: cortafuegos, sistemas de control de acceso, autenticación e identificación de usuarios, control de acceso a la red, protección de endpoints y monitorización interna. Esto también incluye controles técnicos que impiden que terceros no autorizados accedan a los datos, como el cifrado , la tokenización y el enmascaramiento.

La privacidad de datos se refiere a cómo se consumen, ingieren, transmiten o procesan los datos personales sensibles, de conformidad con el consentimiento del titular de los datos y los requisitos legales aplicables. La privacidad implica informar a las personas de antemano qué datos se recopilarán, con qué finalidad y con quién se compartirán y en qué circunstancias. Una vez que una organización establece estas divulgaciones y el usuario las acepta, la organización puede utilizar los datos dentro de la finalidad indicada y los límites regulatorios aplicables.

La relación entre ambos conceptos es de dependencia unidireccional: la seguridad de los datos puede implementarse de forma independiente, mientras que la privacidad de los datos requiere la seguridad como pilar fundamental. En la práctica, la privacidad de los datos permite un acceso limitado y condicionado al consentimiento, mientras que la seguridad de los datos emplea los mecanismos técnicos que garantizan dicho acceso limitado.

Seguridad de los datos frente a privacidad de los datos: una comparación directa

Dimensión	Seguridad de los datos	Privacidad de datos
Pregunta principal	¿Quién puede acceder a estos datos y cómo evitamos el acceso no autorizado?	¿Deberían recopilarse estos datos, con qué finalidad y con el consentimiento de quién?
Contra qué protege	Acceso no autorizado, violaciones, exfiltración, modificación, destrucción	Uso indebido, intercambio no autorizado, recopilación no consentida, incumplimiento normativo.
Implementado a través de	Controles técnicos: cifrado, controles de acceso, autenticación, cortafuegos, monitorización	Gobernanza: gestión del consentimiento, minimización de datos, limitación de la finalidad, procesos de derechos del interesado.
Quién es responsable	Informática, ingeniería de seguridad, DevSecOps, CISO	Responsables jurídicos, de cumplimiento normativo y de privacidad, y responsable de protección de datos (obligatorio según el RGPD para algunas organizaciones).
Factor regulatorio determinante (ejemplos)	PCI DSS (controles de seguridad técnica para datos de titulares de tarjetas); Norma de seguridad HIPAA	RGPD (licitud del tratamiento, consentimiento, derechos del interesado); CCPA (derechos del consumidor); Norma de privacidad de HIPAA
¿Puede existir sin el otro?	Sí: una organización puede proteger datos que no debería haber recopilado.	No: la privacidad sin seguridad no tiene sentido; el consentimiento no protege los datos de las filtraciones.
Consecuencia del fracaso	Violación de datos, acceso no autorizado, exfiltración, ransomware	Multa regulatoria, medidas coercitivas, quejas de consumidores, daños a la reputación

Marcos de cumplimiento: cómo requieren tanto seguridad como privacidad.

1. PCI DSS: <font dir="auto" style="vertical-align: inherit;">las </font> Estándar de seguridad de datos de la industria de tarjetas de pago Es principalmente un estándar de seguridad que proporciona un marco para proteger la información de las tarjetas de pago y los datos de los titulares. Exige controles para el almacenamiento, procesamiento y transmisión de datos de pago, incluyendo el cifrado en reposo (Requisito 3) y en tránsito (Requisito 4), controles de acceso (Requisito 7) y registro de auditoría (Requisito 10). Se aplica a comercios, bancos, terceros y cualquier entidad que maneje datos de titulares de tarjetas. PCI DSS es un marco de seguridad, pero la tokenización de los datos de los titulares de tarjetas antes de su ingesta beneficia tanto la seguridad (reduce el valor de una filtración) como la privacidad (elimina los datos del alcance).
2. Ley de Protección al Consumidor de California (CCPA): La Ley de Privacidad del Consumidor de California (CCPA, por sus siglas en inglés) establece derechos para los consumidores californianos sobre su información personal, incluyendo el derecho a saber qué datos se recopilan y divulgan sobre ellos, el derecho a oponerse a la venta de su información personal, el derecho a recibir el mismo servicio y precio independientemente de sus preferencias de privacidad, y el derecho a que se elimine su información personal. La CCPA es principalmente un marco de privacidad, pero presupone que los controles de seguridad protegen los datos personales sobre los que otorga derechos.
3. HIPAA: <font dir="auto" style="vertical-align: inherit;">las </font> Ley de Responsabilidad y Portabilidad del Seguro de Salud Consta de dos componentes que se corresponden directamente con ambas disciplinas. La Regla de Seguridad exige medidas de protección administrativas, físicas y técnicas para la información sanitaria protegida (PHI), incluyendo controles de acceso, registro de auditoría y seguridad de la transmisión (seguridad de datos). La Regla de Privacidad establece los usos y divulgaciones permitidos de la PHI, los derechos de los pacientes sobre su información sanitaria y los estándares mínimos necesarios para el uso de la información (privacidad de datos). Ambas reglas se aplican a las entidades cubiertas que prestan tratamiento, aceptan pagos u operan en el sector sanitario, así como a sus socios comerciales.
4. GDPR: <font dir="auto" style="vertical-align: inherit;">las </font> Reglamento General de Protección de Datos Integra ambos aspectos de forma más directa. El artículo 32 exige medidas técnicas y organizativas, como el cifrado y la seudonimización, como controles de seguridad. Los artículos 5 a 7 establecen principios de privacidad, como la licitud, la limitación de la finalidad, la minimización de datos y el consentimiento como base para el tratamiento. El RGPD se aplica a todas las organizaciones que recopilan o tratan datos de residentes de la UE, independientemente de su ubicación. Las multas por infracciones graves alcanzan el 4 % de los ingresos anuales globales.
5. NYDFS: La normativa de ciberseguridad del Departamento de Servicios Financieros de Nueva York (NYDFS) se aplica a las instituciones financieras cubiertas y exige un programa integral de ciberseguridad que incluya un plan detallado diseñado por el CISO, la implementación de una política de ciberseguridad y un sistema continuo de mantenimiento e informes de incidentes de ciberseguridad. Si bien la normativa del NYDFS se centra en la seguridad, sus requisitos en materia de clasificación de datos y controles de acceso respaldan directamente los objetivos de privacidad.
6. DE ALTA TECNOLOGÍA: La Ley de Tecnología de la Información Sanitaria para la Salud Económica y Clínica amplía las obligaciones de la HIPAA al exigir a los proveedores de atención médica que demuestren el uso de tecnología de registros médicos electrónicos (EHR) certificada y al fortalecer la aplicación de la Regla de Seguridad y Privacidad de la HIPAA mediante auditorías de seguridad obligatorias a los proveedores de atención médica.

Controles técnicos que sirven tanto a la seguridad como a la privacidad.

Cifrado

El cifrado protege la seguridad de los datos al impedir que terceros no autorizados puedan leerlos. AES-256-GCM es el estándar actual para datos en reposo; TLS 1.3 protege los datos en tránsito. En cuanto a la privacidad, el cifrado admite la seudonimización según el artículo 4(5) del RGPD: cuando los datos se cifran con controles de acceso a la clave de descifrado, las personas no pueden ser identificadas sin la clave, lo que significa que los datos cifrados se tratan como seudonimizados en lugar de identificar directamente a las personas.

Sin embargo, el cifrado por sí solo no satisface los requisitos de privacidad de datos. Protege los datos del acceso no autorizado, pero no aborda el consentimiento, la limitación de la finalidad, la minimización de datos ni los derechos de los interesados. Una organización que cifra los datos recopilados sin consentimiento ha protegido esos datos, pero no ha respetado la privacidad de las personas a las que pertenecen. La gobernanza de la privacidad debe ir acompañada de controles de seguridad técnicos.

Tokenization

La tokenización reemplaza un valor sensible con un sustituto no sensible (un token) que conserva el formato pero no guarda ninguna relación que pueda ser explotada con el valor original. Esto garantiza tanto la seguridad como la privacidad.

Para la seguridad de los datos, la tokenización reduce el valor de los datos robados. Incluso si un atacante extrae información de una base de datos tokenizada, los tokens carecen de valor sin acceso al repositorio de tokens que los vincula con sus valores originales. En cuanto a la privacidad de los datos, la tokenización proporciona seudonimización: los análisis y los procesos de negocio trabajan con tokens en lugar de identificadores personales reales, por lo que los datos personales reales no se exponen al proceso de análisis, a sistemas de terceros ni al personal que no los necesita. La reducción del alcance de PCI DSS mediante la tokenización de números de tarjetas de pago es uno de los ejemplos más extendidos: al sustituir el PAN por un token, los sistemas y procesos asociados quedan excluidos del alcance del entorno de datos del titular de la tarjeta según PCI DSS.

Enmascaramiento de datos

El enmascaramiento de datos reemplaza la información confidencial con datos ficticios pero realistas. Se utiliza en situaciones donde el destinatario no necesita los valores reales de los datos, como en entornos de desarrollo y pruebas, equipos de análisis que trabajan con datos que no son de producción o destinatarios de datos externos que necesitan formatos de datos realistas pero no deben ver información personal real.

El enmascaramiento (también llamado ofuscación o seudonimización de datos) utiliza mecanismos como la sustitución y la reordenación de caracteres, así como la generación de datos sintéticos. El enmascaramiento estático modifica permanentemente los datos almacenados en las copias que no se utilizan para producción. El enmascaramiento dinámico proporciona valores enmascarados en el momento de la consulta sin alterar los datos almacenados, de modo que la misma base de datos puede mostrar datos reales a los usuarios autorizados y datos enmascarados a otros, según su rol.

El enmascaramiento contribuye directamente a la privacidad al garantizar que las vías de acceso no esenciales, como los procesos analíticos, los entornos de desarrollo y las integraciones con terceros, nunca accedan a datos personales reales. Esto reduce el riesgo de violaciones de la privacidad, independientemente de si dichas vías de acceso están protegidas técnicamente.

Tabla de decisiones: Cómo alinear los controles técnicos con los objetivos de seguridad y privacidad.

Objetivo	Control primario	controles secundarios	Relevancia del cumplimiento
Impedir el acceso no autorizado a los datos almacenados.	Cifrado AES-256-GCM en reposo; cifrado a nivel de campo para campos sensibles.	Controles de acceso (RBAC); registro de auditoría; gestión de claves HSM	Requisito 3 de PCI DSS; Norma de seguridad de HIPAA; Artículo 32 del RGPD
Evitar la interceptación de datos en tránsito	TLS 1.3 para todas las comunicaciones de red.	mTLS para comunicación de servicio interno; grapado OCSP	Requisito 4 de PCI DSS; seguridad de transmisión HIPAA; artículo 32 del RGPD
Reducir el valor de la violación de seguridad de los registros confidenciales	Tokenización de PII, PHI y números de tarjetas de pago	Cifrado de la bóveda de tokens; controles de acceso en la destokenización.	Reducción del alcance de PCI DSS; anonimización de HIPAA (45 CFR §164.514); seudonimización de GDPR
Habilitar el análisis sin exponer datos personales	Tokenización antes de que los datos entren en el proceso de análisis; privacidad diferencial para los resultados de las consultas agregadas.	Enmascaramiento dinámico de datos para la sustitución en tiempo de consulta	Minimización de datos según el RGPD (Art. 5(1)(c)); HIPAA: mínimo necesario; CCPA: limitación de la finalidad
Proteja los datos en entornos que no sean de producción.	Enmascaramiento de datos estáticos de los datos de producción para copias de desarrollo/prueba	Generación de datos sintéticos	RGPD; HIPAA; política interna
Demostrar el uso de seudonimización (RGPD, art. 4(5)).	Tokenización o cifrado con controles de acceso en el mecanismo de reversión.	Registro de auditoría de todos los eventos de destokenización o descifrado.	RGPD Art. 4(5) y 32; considerando 26 del RGPD (no identifica directamente)
Garantizar el derecho del interesado a la supresión de sus datos (RGPD, art. 17).	Inventario de datos exhaustivo que asigna datos personales a individuos; flujo de trabajo de eliminación	Tokenización (eliminar la asignación para cumplir sin reestructurar todos los sistemas)	Artículo 17 del RGPD; derecho de supresión según la CCPA.

Ejemplo de implementación: Organización de servicios financieros

Una organización de servicios financieros que maneja datos de tarjetas de pago, información personal identificable de clientes e historial de transacciones debe cumplir con las normas PCI DSS (seguridad) y GDPR/CCPA (privacidad). A continuación, se explica cómo se abordan ambas en una arquitectura compatible:

1. En el punto de recogida: Se obtiene y registra el consentimiento (privacidad). Los datos se clasifican por nivel de sensibilidad al ser procesados ​​(requisito previo de seguridad y privacidad).
2. Números de tarjetas de pago: La tokenización se realiza inmediatamente en el momento de la captura. El token se almacena en los sistemas de transacciones; el PAN original se guarda únicamente en la bóveda de tokens, cifrado con AES-256-GCM y accesible solo para los procesos de liquidación autorizados. Esto cumple con el requisito 3 de PCI DSS (cifrado/tokenización) y reduce el alcance de PCI DSS para los sistemas posteriores.
3. Información personal identificable (nombre, dirección, fecha de nacimiento): almacenado cifrado en reposo. Cifrado a nivel de columna con claves separadas por clasificación de datos, todo gestionado en un HSM como servicioLos controles de acceso aplicados a nivel de base de datos restringen qué roles pueden consultar los campos de identificación.
4. Análisis e informes: Los analistas reciben registros tokenizados o enmascarados. El enmascaramiento dinámico sustituye los valores reales por valores ficticios realistas para los roles sin privilegios. El análisis del comportamiento del cliente utiliza tokens como identificadores, por lo que los clientes individuales no son identificables en el entorno de análisis.
5. Solicitudes de los interesados: Un inventario de datos mapea los registros de cada cliente en todos los sistemas mediante un token. Una solicitud de eliminación activa la eliminación del mapeo de token a PAN y de los registros de información personal identificable (PII) en todos los sistemas, anonimizando así todos los registros restantes de ese cliente.
6. Seguridad en tránsito: Toda la comunicación API utiliza TLS 1.3. La comunicación interna de servicio a servicio utiliza mTLS con certificados gestionados a través de Administrador de CertSecure.

Limitaciones: Por qué ninguna tecnología por sí sola satisface plenamente ambas necesidades.

• El cifrado satisface las necesidades de seguridad, pero no las de privacidad: El cifrado impide que terceros no autorizados accedan a los datos, pero no aborda el consentimiento, la limitación de la finalidad ni los derechos del titular de los datos. Una organización puede cifrar datos que no tenía derecho a recopilar, garantizando así la seguridad pero vulnerando la privacidad.
• La tokenización reduce el riesgo de filtraciones, pero requiere seguridad de bóveda: La seguridad que ofrece la tokenización depende de la seguridad del repositorio de tokens que los vincula con sus valores originales. Una brecha en la seguridad del repositorio invalida por completo el enfoque de tokenización. La seguridad del repositorio debe tratarse con el mismo rigor que la de los datos originales.
• El enmascaramiento es irreversible en su forma estática y, por lo tanto, no es adecuado cuando se necesitan los originales: Los datos enmascarados estáticamente no se pueden revertir para recuperar los valores originales. Si un proceso que recibió datos enmascarados necesita posteriormente los originales, se debe definir un nuevo proceso con los controles de acceso adecuados para proporcionárselos.
• El cumplimiento normativo no equivale a seguridad ni a privacidad: Cumplir con los requisitos mínimos de un marco regulatorio no garantiza una seguridad sólida ni una protección de la privacidad efectiva. Los mínimos regulatorios son límites inferiores, no límites superiores. Tanto los programas de seguridad como los de privacidad deben basarse en la respuesta a las amenazas, no solo en el cumplimiento normativo, para protegerse contra los riesgos actuales.

Cómo puede ayudar la consultoría de cifrado

• Servicios de asesoramiento sobre cifrado: nuestro mapa de Servicios de asesoramiento sobre cifrado Evalúe la cobertura de cifrado en todo su entorno, identifique los datos confidenciales desprotegidos, evalúe las prácticas de gestión de claves y elabore una hoja de ruta de remediación que aborde tanto los requisitos de seguridad (NIST, PCI DSS, HIPAA) como los requisitos de seudonimización que permiten la privacidad (Artículo 32 del RGPD).
• Servicios de asesoramiento en materia de cumplimiento normativo: nuestro mapa de Servicios de asesoramiento sobre cumplimiento Ayudamos a las organizaciones a alinear sus controles de seguridad técnica con los requisitos de cumplimiento de privacidad del RGPD, HIPAA, CCPA, PCI DSS y NYDFS, creando la documentación y los marcos de gobernanza que satisfacen las auditorías regulatorias tanto en materia de seguridad como de privacidad.
• CBOM Seguro: CBOM seguro Descubre todos los activos criptográficos y los almacenes de datos confidenciales en su entorno, proporcionando el inventario de dónde se cifran, tokenizan o desprotegen los datos personales, información que tanto las evaluaciones de seguridad como las evaluaciones de impacto en la privacidad requieren como punto de partida.
• HSM como servicio: HSM como servicio Proporciona gestión de claves de hardware validada según FIPS 140-3 para las claves de cifrado y tokenización que protegen los datos personales confidenciales, garantizando que no se produzcan simultáneamente vulneraciones de claves y datos.

Conclusión

La seguridad y la privacidad de los datos son dos enfoques distintos para el manejo de datos personales sensibles. Son complementarios, no intercambiables, y confundirlos genera deficiencias en ambos. Una organización que se centra únicamente en la seguridad puede proteger datos a los que no tiene permitido acceder. Una organización que se centra únicamente en el cumplimiento de la privacidad, descuidando los controles de seguridad técnicos, verá cómo sus obligaciones de privacidad resultan inútiles cuando una brecha de seguridad expone los datos personales de los que era responsable.

Los controles técnicos que sirven para ambos fines —cifrado, tokenización y enmascaramiento— no son alternativas entre sí. El cifrado protege los datos tanto en reposo como en tránsito; la tokenización reduce el valor de una posible filtración y permite la seudonimización; el enmascaramiento garantiza que los entornos que no son de producción nunca tengan acceso a datos personales reales. Los tres controles trabajan en conjunto para proteger los datos personales sensibles a lo largo de su ciclo de vida, satisfaciendo tanto los requisitos de seguridad técnica que previenen las filtraciones como los requisitos de gobernanza de la privacidad que garantizan el uso adecuado de los datos.

Si desea evaluar su postura actual sobre el cifrado y la protección de datos, tanto en materia de seguridad como de privacidad, póngase en contacto con Encryption Consulting para hablar sobre por dónde empezar.

Preguntas frecuentes

¿Cuál es la diferencia entre seguridad de datos y privacidad de datos?

La seguridad de los datos protege la información del acceso no autorizado mediante controles técnicos. La privacidad de los datos rige la forma en que se recopilan, utilizan y comparten los datos personales, de acuerdo con el consentimiento y los requisitos normativos. La seguridad puede existir sin privacidad (proteger datos que no se deberían haber recopilado). La privacidad requiere seguridad como requisito previo.

¿Qué papel desempeña el cifrado en la seguridad y la privacidad de los datos?

El cifrado garantiza la seguridad de los datos al hacerlos ilegibles sin la clave de descifrado (AES-256-GCM en reposo, TLS 1.3 en tránsito). Para la privacidad, el cifrado con controles de acceso a la clave permite la seudonimización conforme al artículo 4(5) del RGPD. El cifrado por sí solo no aborda el consentimiento, la limitación de la finalidad ni los derechos del interesado.

¿Qué es la tokenización y cómo admite ambas cosas?

La tokenización reemplaza los valores confidenciales con sustitutos que conservan el formato y que no guardan ninguna relación explotable con el original. En términos de seguridad, reduce el valor de una brecha de seguridad. En cuanto a la privacidad, proporciona seudonimización, de modo que los análisis y los procesos de terceros trabajan con tokens en lugar de identificadores personales. La reducción del alcance de PCI DSS es un ejemplo ampliamente utilizado.

¿Qué marcos de cumplimiento normativo requieren controles tanto de seguridad como de privacidad?

El RGPD exige ambos: el artículo 32 para medidas de seguridad técnicas y los artículos 5 a 7 para principios de privacidad. La HIPAA exige ambos: la Regla de Seguridad para salvaguardas técnicas de la información de salud protegida (PHI) y la Regla de Privacidad para usos permitidos de la PHI. La PCI DSS se centra en la seguridad; la CCPA se centra en la privacidad. Todas asumen que ambas disciplinas se implementan conjuntamente.

¿Puede existir la seguridad de los datos sin la privacidad de los datos?

Sí. Una organización puede implementar un cifrado robusto, controles de acceso y monitorización de datos que no estaba legalmente autorizada a recopilar o utilizar. En ese caso, la seguridad de los datos está presente, pero se vulnera la privacidad. El RGPD puede imponer multas por infracciones de privacidad incluso cuando no se ha producido ninguna brecha de seguridad.

¿Qué es el enmascaramiento de datos y cuándo se utiliza en lugar del cifrado?

El enmascaramiento de datos reemplaza los datos reales con sustitutos ficticios y realistas. Se utiliza cuando no se necesitan los valores reales de los datos (desarrollo, pruebas, análisis de terceros), cuando los datos de producción no deben aparecer en entornos que no sean de producción, o cuando los destinatarios necesitan formatos realistas pero no deben ver datos personales reales. A diferencia del cifrado, el enmascaramiento estático es irreversible.

www.gartner.com/es/documents/3153926