Cifrado de datos en tránsito y reposo: guía práctica

Cifrar suena a checkbox de compliance, pero mal implementado da falsa sensación de seguridad: datos legibles en logs, llaves en el mismo servidor que los archivos, o TLS obsoleto que un proxy puede interceptar. Esta guía separa tránsito (datos moviéndose) y reposo (datos almacenados) con acciones concretas para equipos de producto y ops.

Cifrado en tránsito: TLS bien hecho

Todo tráfico entre navegador y API, entre microservicios y hacia bases de datos remotas debe usar TLS 1.2+ (idealmente 1.3). Deshabilita protocolos y ciphers débiles. Renueva certificados con alertas automáticas 30 días antes.

• HSTS en dominios públicos para evitar downgrade a HTTP.
• Certificate pinning solo si entiendes el costo operativo de rotación.
• mTLS entre servicios internos críticos cuando el tráfico cruza redes compartidas.
• Verifica que APIs de terceros (pagos, SMS) también usen TLS válido.

Cifrado en reposo: qué cifrar primero

No todo necesita el mismo nivel. Prioriza: credenciales, tokens, datos de pago, identificadores gubernamentales (RFC, CURP en contextos permitidos), historiales médicos o financieros, y respaldos. Campos de marketing genéricos pueden quedar fuera del primer sprint de cifrado.

1. Cifrado a nivel de volumen/disco en servidores y laptops.
2. Cifrado en base de datos (column-level) para campos sensibles.
3. Cifrado de objetos en S3/Azure Blob con políticas de acceso mínimas.
4. Cifrado de backups antes de enviarlos offsite.

Cifrar el disco pero dejar la llave en un .env en GitHub no es cifrado: es teatro.

Gestión de llaves (KMS)

Usa un KMS o HSM gestionado (AWS KMS, Azure Key Vault, Google Cloud KMS) en lugar de llaves hardcodeadas. Define rotación anual o ante incidente, separación de entornos (dev/staging/prod nunca comparten master keys), y auditoría de quién descifró qué.

Errores frecuentes en software mexicano

• Logs que imprimen payloads completos con datos personales.
• Cifrado simétrico casero en lugar de librerías estándar (AES-GCM).
• Exponer IDs secuenciales sin capa de autorización aunque el transporte sea TLS.
• Olvidar cifrar colas (SQS, Rabbit) que llevan PII entre servicios.

Cifrado y LFPDPPP

La ley no exige un algoritmo específico, pero sí medidas técnicas acordes al riesgo. Demostrar cifrado en tránsito y reposo para datos sensibles, más control de acceso, es baseline en auditorías. Documenta decisiones: qué cifras, con qué, quién administra llaves.

Checklist de implementación

Semana 1: inventario de datos sensibles y flujos. Semana 2: TLS y secretos fuera del código. Semana 3–4: cifrado en reposo en DB y backups. Mes 2: revisión de logs y prueba de restauración de datos cifrados.

Cifrado en aplicaciones móviles

Si tu equipo usa apps propias en campo, valida almacenamiento local cifrado (Keychain/Keystore), no guardes tokens en AsyncStorage plano, y fuerza re-autenticación tras inactividad. Móviles robados son vector común en ventas y logística mexicana.

Rotación y ciclo de vida de llaves

Define eventos que disparan rotación inmediata: baja de empleado con acceso a vault, sospecha de filtración en repo, fin de contrato con proveedor que tenía clave API. Automatiza rotación donde el proveedor lo permita (KMS, secretos de base de datos gestionados). Documenta dependencias: qué servicio deja de funcionar si rotas hoy.

¿Construyes o mantienes software con datos de clientes mexicanos? En Devson Labs diseñamos arquitectura segura y revisamos implementaciones de cifrado en sistemas en producción. Agenda una consulta o empieza con una Radiografía de tu stack.