Aplicación del cifrado predeterminado en todas partes

Confiar en que las personas recuerden habilitar el cifrado garantiza que habrá brechas. El enfoque sólido consiste en hacer que el cifrado sea el valor predeterminado y bloquear todo lo que no esté cifrado.

Así se pasa de esperar que se cumpla la normativa a hacerla cumplir de forma estructural en toda la cuenta.

Ahora, cada bucket de S3 aplica cifrado predeterminado; los objetos se cifran en el servidor aunque quien los cargue no lo solicite.

Puede establecer SSE-KMS como valor predeterminado con una clave específica, de modo que todos los objetos nuevos estén protegidos y puedan auditarse sin configurar cada carga individualmente.

Para ir un paso más allá, una política de bucket puede denegar cualquier PutObject que no solicite el cifrado requerido.

Esto rechaza las escrituras que intentan eludir el cifrado y garantiza que nada se almacene sin protección. Es un patrón habitual para los buckets que contienen datos confidenciales.

Puede habilitar el cifrado predeterminado de EBS por región.

Una vez habilitado, cada volumen y snapshot de EBS nuevo de esa región se cifra automáticamente con la clave de KMS que elija. Esto elimina el riesgo de iniciar accidentalmente volúmenes sin cifrar.

Las Service Control Policies (SCP) aplican el cifrado en toda una organización completa.

Una SCP puede denegar acciones como crear una instancia o un volumen de RDS sin cifrar en cualquier cuenta miembro. Como las SCP limitan los permisos, nadie, ni siquiera un administrador, puede eludirlas.

Las reglas de AWS Config comprueban continuamente si los recursos están cifrados.

• Las reglas señalan los volúmenes, buckets y bases de datos sin cifrar.
• Combinadas con la corrección automática, pueden corregir o informar automáticamente de las desviaciones.

Esto proporciona una garantía continua, más allá de la configuración en un momento concreto.

Los valores predeterminados pueden exigir no solo «cualquier cifrado», sino una clave de KMS específica.

Las políticas utilizan condiciones para exigir un ARN de clave concreto, lo que garantiza que los datos se cifren con una clave que su equipo controla y audita, en lugar de una clave administrada por AWS predeterminada.

La postura más sólida combina ambos tipos:

• Los controles preventivos (SCP, políticas de bucket y configuraciones predeterminadas) impiden que se creen recursos sin cifrar.
• Los controles de detección (Config y Security Hub) capturan cualquier recurso que se escape.

La defensa en profundidad también se aplica al cifrado.

Adelante la aplicación de controles mediante el enfoque shift left, comprobando las plantillas de infraestructura como código antes del despliegue.

Las herramientas y comprobaciones de políticas personalizadas verifican que CloudFormation o Terraform configuren el cifrado, de modo que los recursos que no cumplan los requisitos se bloqueen en el pipeline y no en producción.

El cifrado predeterminado normalmente significa cifrado en reposo, pero también debe aplicar el cifrado en tránsito.

Una política de bucket de S3 que utilice la condición aws:SecureTransport deniega cualquier solicitud que no se realice mediante TLS. Combinar esto con el cifrado predeterminado en reposo garantiza que los datos estén protegidos tanto cuando están almacenados como cuando se transfieren.

Una estrategia completa consiste en activar el cifrado predeterminado para S3 y EBS, denegar la creación de recursos sin cifrar mediante SCP y políticas de bucket y verificarlo con Config y Security Hub.

El cifrado pasa a estar garantizado en lugar de ser opcional.

Elija la aplicación de controles más sólida.

Ha aprendido a aplicar el cifrado predeterminado.

• El cifrado predeterminado en S3 y EBS hace que la protección sea automática.
• Las SCP y las políticas de bucket deniegan la creación de recursos sin cifrar en toda la organización.
• Config y Security Hub detectan cualquier recurso que se escape.