Política de criptografía: qué cifrar sin convertirlo en un tratado
La política de criptografía es el documento que más se escribe «para crecer»: 15 páginas sobre algoritmos que nadie elige a mano. Lo que la norma quiere es otra cosa: que la empresa decida conscientemente qué cifra, con qué, y quién gestiona las claves.
Qué debe cubrir
- Datos en reposo: discos de portátiles, bases de datos, backups, object storage — qué se cifra obligatoriamente (ligado a la clasificación);
- datos en tránsito: TLS para todo el tráfico externo, VPN o equivalente para administración;
- gestión de claves: dónde viven claves y secretos (KMS, gestor de secretos), quién accede, cómo rotan;
- prohibiciones: criptografía casera, protocolos obsoletos, claves en el código y los repositorios.
Las claves son el mayor dolor
El cifrado vale lo que vale la protección de la clave. En auditorías he encontrado claves en repositorios git, documentos compartidos y chats. Higiene mínima: secretos solo en el gestor de secretos, acceso por roles, rotación por calendario y en la baja de personas con acceso, escáner de secretos en el CI.
El formato
Dos páginas: principios + tabla «tipo de datos → requisito de cifrado → herramienta». Los algoritmos concretos van a un estándar técnico gestionado por ingeniería — actualizable sin reaprobación. El mismo principio de «documentación viva» del artículo sobre el mínimo documental.
Lea también
Autor — Kyrylo Proskurnya, Auditor Jefe ISO y experto internacional en sistemas de gestión. Realizo auditorías de certificación y auditorías internas ISO 27001, ISO 9001, ISO 27701 e ISO 42001 para empresas de España, Europa y EE. UU. Sobre mí · Solicitar una consulta