El cifrado AES-256 no es suficiente: por qué la seguridad de archivos empresariales exige protección multinivel

El cifrado AES-256 protege los archivos almacenados en servidores y bases de datos al convertir los datos en texto cifrado ilegible. Sin embargo, los datos existen en tres estados distintos a lo largo de su ciclo de vida: en reposo, en tránsito y en uso. Cada estado requiere tecnologías de cifrado específicas para mantener la protección. Si no se cubren los tres estados con cifrado, la información confidencial queda vulnerable durante las transferencias entre sistemas, mientras se procesa en la memoria de aplicaciones o cuando las claves de cifrado se almacenan de forma insegura.

En este artículo, exploraremos los tres tipos de cifrado para entender mejor en qué se diferencian pero, sobre todo, por qué son fundamentales para proteger toda tu información confidencial, sin importar dónde esté almacenada, con quién la compartas o cómo la utilices.

Resumen Ejecutivo

Idea principal: El cifrado AES-256 protege los datos en reposo, pero deja los datos vulnerables durante la transmisión en red, el procesamiento activo y a lo largo del ciclo de vida de las claves de cifrado si no se implementan tecnologías adicionales.

Por qué te interesa: Las organizaciones que solo cifran los datos en reposo exponen archivos confidenciales a la interceptación durante transferencias, a compromisos durante el procesamiento y al robo por almacenamiento inseguro de claves, incluso cuando los archivos permanecen cifrados en disco.

5 puntos clave

1. Los datos existen en tres estados que requieren cifrado: en reposo en sistemas de almacenamiento, en tránsito por redes y en uso durante el procesamiento activo. El cifrado AES 256 solo cubre el primer estado, dejando dos ventanas críticas de vulnerabilidad sin protección.

2. Los protocolos TLS 1.2 o superiores cifran los datos en tránsito usando los mismos conjuntos de cifrado AES que protegen los datos en reposo. Las organizaciones necesitan ambas tecnologías trabajando en conjunto para mantener la protección mientras los archivos se mueven entre sistemas.

3. El cifrado en uso protege los datos mientras las aplicaciones los procesan activamente en memoria o los muestran en pantalla. Tecnologías como Intel SGX, ARM TrustZone y la computación confidencial evitan que volcados de memoria y ataques de canal lateral expongan datos descifrados.

4. Los Módulos de Seguridad de Hardware almacenan y gestionan las claves de cifrado en dispositivos resistentes a manipulaciones que previenen el robo de claves incluso si los servidores se ven comprometidos. Los HSM ofrecen cifrado validado FIPS 140-3 Nivel 1 o superior para las claves criptográficas que desbloquean los datos cifrados.

5. La gestión de claves de cifrado determina si la protección de tus datos se mantiene segura o se convierte en el eslabón más débil de tu arquitectura de seguridad. Un almacenamiento deficiente de claves, políticas de rotación inadecuadas y la falta de procedimientos de recuperación debilitan incluso los algoritmos de cifrado más robustos.

Qué protege realmente el cifrado AES-256

AES-256 es un algoritmo de cifrado simétrico que utiliza claves de 256 bits para cifrar datos en reposo en dispositivos de almacenamiento, bases de datos y sistemas de respaldo.

El algoritmo transforma archivos legibles en texto cifrado que parece una secuencia aleatoria de caracteres para cualquiera que no tenga la clave de descifrado. Cuando se implementa correctamente, el cifrado AES-256 protege los datos almacenados en discos duros, unidades de estado sólido y redes de almacenamiento contra accesos no autorizados. El NIST aprobó AES para proteger información clasificada hasta el nivel Secreto, y el algoritmo ha resistido décadas de análisis criptográfico sin ataques exitosos a su diseño central.

Sin embargo, el cifrado AES-256 en reposo no ofrece protección una vez que los datos salen de los sistemas de almacenamiento. Los archivos deben descifrarse antes de poder transmitirse a otros sistemas, mostrarse a los usuarios o ser procesados por aplicaciones. Estos puntos de transición crean ventanas de vulnerabilidad donde los datos existen en forma no cifrada, a menos que se apliquen prácticas adicionales de cifrado.

Qué protege el cifrado AES-256 de datos en reposo:

• Archivos almacenados en servidores, bases de datos y arreglos de almacenamiento
• Datos en cintas de respaldo y medios archivados
• Información en dispositivos perdidos o robados

Qué no protege el cifrado AES-256 de datos en reposo:

• Datos que se mueven por redes entre sistemas
• Archivos procesados en la memoria de aplicaciones
• Información mostrada en pantallas de usuario o transmitida por correo electrónico

Entendiendo los tres estados de los datos

¿Cuáles son los tres estados donde los datos necesitan cifrado?

Los datos pasan por tres estados distintos durante su ciclo de vida, y cada uno presenta desafíos de seguridad diferentes que requieren enfoques de cifrado específicos.

Datos en reposo se refiere a la información almacenada en medios físicos o virtuales, como discos duros, bases de datos, servidores de archivos y sistemas de respaldo. El cifrado AES-256 protege los datos en reposo cifrando discos completos, archivos individuales o campos de bases de datos, evitando que el robo físico o el acceso no autorizado a sistemas exponga información confidencial.

Datos en tránsito es la información que se mueve activamente por redes, ya sea entre centros de datos, de servidores a dispositivos de usuario o a través de sistemas de correo electrónico. Durante la transmisión, los datos pasan por routers, switches, firewalls y otra infraestructura de red donde podrían ser interceptados. Los protocolos de cifrado a nivel de red protegen los datos en tránsito creando túneles cifrados que impiden la interceptación.

Datos en uso representa la información que está siendo procesada activamente por aplicaciones, cargada en la memoria del sistema o mostrada en pantallas de usuario. Las aplicaciones deben descifrar los datos para procesarlos, lo que crea una ventana donde la información existe en texto plano en la RAM. Tecnologías de cifrado especializadas protegen los datos en uso creando entornos informáticos seguros que aíslan el procesamiento confidencial del resto del sistema.

Requisitos de cifrado para cada estado:

• Datos en reposo: cifrado de archivos o discos con AES-256 y almacenamiento seguro de claves
• Datos en tránsito: TLS 1.2 o superior con conjuntos de cifrado robustos
• Datos en uso: computación confidencial, enclaves seguros o cifrado de memoria

Cifrado para datos en tránsito

¿Cómo protege el cifrado TLS los datos que se mueven por redes?

Transport Layer Security (TLS) cifra los datos mientras se mueven por las redes entre clientes y servidores, creando canales de comunicación cifrados que previenen la interceptación y manipulación.

TLS 1.2 y TLS 1.3 utilizan conjuntos de cifrado AES para proteger el tráfico de red, ofreciendo la misma fortaleza criptográfica para los datos en tránsito que AES-256 proporciona para los datos en reposo. Cuando un cliente se conecta a un servidor, ambos sistemas negocian parámetros de cifrado, se autentican mutuamente mediante certificados digitales y establecen claves de sesión que cifran todas las comunicaciones posteriores.

Las implementaciones modernas de TLS admiten confidencialidad directa perfecta, que genera claves de sesión únicas para cada conexión. Así, si los atacantes comprometen la clave privada de un servidor, no pueden descifrar el tráfico de red capturado previamente.

Las organizaciones deben deshabilitar protocolos antiguos como SSL 3.0, TLS 1.0 y TLS 1.1, que tienen vulnerabilidades conocidas. El NIST recomienda TLS 1.2 como versión mínima aceptable, y TLS 1.3 es preferible para nuevas implementaciones.

Requisitos críticos de configuración TLS:

• TLS 1.2 o superior con conjuntos de cifrado robustos (preferentemente AES-GCM)
• Certificados digitales válidos de autoridades certificadoras confiables
• Confidencialidad directa perfecta habilitada

¿Qué otros protocolos cifran datos en tránsito?

Los protocolos de cifrado de correo electrónico protegen mensajes y archivos adjuntos durante la transmisión entre servidores de correo y cuando se almacenan en los buzones de los destinatarios.

S/MIME (Secure/Multipurpose Internet Mail Extensions) cifra los mensajes de correo electrónico usando claves públicas del destinatario y firma los mensajes con claves privadas del remitente. Así se logra cifrado de extremo a extremo, donde solo el destinatario puede descifrar los mensajes, junto con firmas digitales que verifican la autenticidad del remitente.

Los protocolos de transferencia segura de archivos cifran los archivos durante cargas, descargas y transferencias entre servidores. SFTP (SSH File Transfer Protocol) utiliza cifrado SSH para proteger las transferencias, mientras que FTPS (FTP Secure) ejecuta comandos FTP sobre conexiones TLS.

Opciones de cifrado para correo electrónico y transferencia de archivos:

• S/MIME o PGP para cifrado de correo electrónico de extremo a extremo
• SFTP o FTPS para transferencias de archivos cifradas
• Protocolos AS2 o AS4 para intercambio de documentos B2B

Cifrado para datos en uso

¿Cómo cifran las organizaciones los datos mientras se procesan?

El cifrado de datos en uso protege la información mientras las aplicaciones la procesan activamente en la memoria del sistema, evitando que los atacantes accedan a los datos descifrados incluso si comprometen el sistema operativo o el hipervisor subyacente.

Intel Software Guard Extensions (SGX) crea entornos de ejecución aislados llamados enclaves donde las aplicaciones procesan datos confidenciales. El código y los datos dentro de los enclaves permanecen cifrados en memoria, y el procesador solo descifra instrucciones dentro del enclave seguro. Esta separación impide que malware privilegiado, sistemas operativos comprometidos e incluso ataques físicos a la memoria accedan a los datos procesados dentro del enclave.

ARM TrustZone ofrece capacidades similares al dividir los recursos del procesador en mundos seguro y normal. Las operaciones sensibles se ejecutan en el mundo seguro, donde permanecen aisladas de las aplicaciones que corren en el mundo normal.

AMD Secure Encrypted Virtualization (SEV) cifra la memoria de las máquinas virtuales con claves gestionadas por el procesador y no por el hipervisor. Esto protege las cargas de trabajo en entornos en la nube donde las organizaciones no controlan la infraestructura subyacente.

Tecnologías que protegen los datos en uso:

• Enclaves Intel SGX para entornos de procesamiento aislados
• Particionamiento seguro de ARM TrustZone
• AMD SEV para cifrado de memoria de máquinas virtuales
• Frameworks de computación confidencial que combinan estas tecnologías

¿Qué es la computación confidencial?

La computación confidencial protege los datos durante el procesamiento al realizar cálculos dentro de entornos de ejecución confiables basados en hardware, que aíslan los datos del sistema operativo, el hipervisor y otros programas del sistema.

Estas tecnologías resuelven escenarios donde los datos deben descifrarse para su procesamiento, pero el entorno de procesamiento puede estar comprometido o bajo control de partes potencialmente no confiables. Las instituciones financieras usan computación confidencial para procesar transacciones en la nube, las organizaciones de salud analizan datos de pacientes sin exponerlos a proveedores cloud y las agencias gubernamentales gestionan información clasificada en infraestructuras compartidas.

Casos de uso de computación confidencial:

• Procesamiento de datos regulados en entornos cloud públicos
• Cálculo multipartito donde ninguna parte debe ver todos los datos
• Análisis de conjuntos de datos cifrados sin descifrarlos en sistemas no confiables

Módulos de Seguridad de Hardware y gestión de claves

¿Por qué las claves de cifrado necesitan protección hardware dedicada?

Los Módulos de Seguridad de Hardware son dispositivos físicos resistentes a manipulaciones que generan, almacenan y gestionan claves criptográficas en un entorno seguro, separado de los servidores convencionales.

Los HSM protegen las claves mediante controles físicos que detectan y responden a intentos de manipulación. Los HSM FIPS 140-2 Nivel 3 destruyen las claves si alguien intenta abrir físicamente el dispositivo, mientras que los de Nivel 4 incluyen detección activa de manipulación que borra las claves si cambian las condiciones ambientales.

Estos dispositivos realizan operaciones criptográficas internamente sin exponer las claves a la memoria del servidor, donde el malware podría capturarlas. Cuando una aplicación necesita cifrar o descifrar datos, envía la solicitud al HSM, que realiza la operación y solo devuelve el resultado. Las claves nunca salen del entorno hardware protegido.

Las organizaciones sujetas a requisitos de cumplimiento a menudo deben usar HSM validados FIPS 140-2 para la gestión de claves. PCI DSS exige HSM para proteger claves de cifrado de tarjetas de pago, y CMMC nivel 3 y superiores requieren HSM para la protección de información clasificada.

Capacidades de seguridad de los HSM:

• Hardware resistente a manipulaciones FIPS 140-2 Nivel 3 o 4
• Generación segura de claves mediante generadores hardware de números aleatorios
• Aceleración de operaciones criptográficas
• Procedimientos de respaldo y recuperación de claves

¿Qué ocurre cuando las organizaciones gestionan mal las claves?

Los fallos en la gestión de claves de cifrado debilitan incluso los algoritmos más robustos. Un almacenamiento deficiente de claves, políticas de rotación inadecuadas y la ausencia de procedimientos de recuperación crean vulnerabilidades que los atacantes aprovechan para acceder a los datos cifrados.

Almacenar las claves en los mismos servidores que los datos cifrados elimina la protección que ofrece el cifrado. Si un atacante compromete el servidor, obtiene acceso tanto a los archivos cifrados como a las claves necesarias para descifrarlos.

No rotar las claves de cifrado regularmente aumenta el impacto si se ven comprometidas. Si una organización usa la misma clave durante años y esta se roba, los atacantes pueden descifrar todos los datos históricos protegidos por esa clave.

La falta de procedimientos de recuperación de claves genera riesgos de continuidad de negocio. Si el personal de gestión de claves abandona la organización sin documentar la ubicación de las claves o los métodos de recuperación, los datos cifrados pueden quedar inaccesibles de forma permanente.

Fallos de gestión de claves que comprometen el cifrado:

• Almacenar las claves junto a los datos cifrados
• No rotar nunca las claves de cifrado
• Ausencia de procedimientos de respaldo y recuperación de claves
• Controles de acceso insuficientes para los sistemas de gestión de claves

Cómo funcionan juntas estas tecnologías de cifrado

¿Cómo es una cobertura de cifrado completa?

Una cobertura de cifrado completa protege los datos durante todo su ciclo de vida aplicando las tecnologías adecuadas en cada estado y punto de transición.

Un archivo creado en el portátil de un usuario comienza protegido en reposo en el disco local. Cuando el usuario sube el archivo a un servidor corporativo, el cifrado TLS lo protege en tránsito por la red. El archivo llega al servidor, donde vuelve a cifrarse en reposo con AES-256 y las claves almacenadas en un HSM. Cuando otro usuario accede al archivo, el cifrado TLS protege la descarga y el dispositivo receptor aplica cifrado en reposo en su almacenamiento local.

Este enfoque por capas asegura que los datos permanezcan cifrados en todo momento, salvo en las mínimas ventanas de procesamiento donde el descifrado es absolutamente necesario.

Cobertura de cifrado de extremo a extremo:

• Datos en reposo cifrados con AES-256 en todos los sistemas de almacenamiento
• Datos en tránsito protegidos por TLS 1.2 o superior en todas las comunicaciones de red
• Datos en uso procesados en enclaves seguros al tratar información extremadamente sensible
• Claves de cifrado gestionadas por HSM validados FIPS 140-2

¿Dónde suelen existir más brechas de cifrado en las organizaciones?

Los sistemas de intercambio de archivos y colaboración suelen carecer de cifrado en tránsito cuando los usuarios comparten archivos mediante servicios de consumo o envían adjuntos por correo electrónico sin protección S/MIME.

Las organizaciones pueden cifrar los datos en reposo en servidores pero no protegerlos durante la transmisión por correo electrónico, permitiendo que cualquiera que monitorice el tráfico de red intercepte archivos confidenciales. Asimismo, los servicios de intercambio de archivos en la nube pueden usar HTTPS para cargas web pero carecer de cifrado en transferencias API o sincronización en apps móviles.

Los sistemas de respaldo y archivo representan otra brecha habitual. Las organizaciones cifran los datos de producción pero almacenan los respaldos sin cifrar, o cifran los archivos de respaldo pero guardan las claves junto a los respaldos en el mismo medio.

Escenarios comunes de brechas de cifrado:

• Adjuntos de correo transmitidos sin S/MIME o TLS
• Sistemas de respaldo que cifran de forma inconsistente o almacenan claves de manera insegura
• Aplicaciones heredadas que no cumplen los requisitos modernos de cifrado
• Dispositivos móviles sin cifrado completo de disco

Tecnologías complementarias que trabajan junto al cifrado

¿Cómo protegen los sistemas de autenticación las claves de cifrado?

Los sistemas de gestión de identidades y accesos (IAM) controlan qué usuarios y aplicaciones pueden acceder a las claves de cifrado y descifrar datos protegidos.

La autenticación multifactor (MFA) exige que los usuarios proporcionen varias formas de verificación antes de acceder a sistemas que contienen claves de cifrado. Incluso si los atacantes roban contraseñas, no pueden descifrar los datos sin el segundo factor. El NIST recomienda MFA para todos los sistemas que acceden a información confidencial, y marcos de cumplimiento como CMMC nivel 2 y la Ley HIPAA exigen MFA en sistemas con datos regulados.

Controles de autenticación para sistemas de cifrado:

• Autenticación multifactor para todo acceso a la gestión de claves
• Controles de acceso basados en roles que limiten los permisos de claves
• Acceso just-in-time que otorga derechos de descifrado temporales

¿Qué es la gestión de derechos digitales para archivos cifrados?

Los controles de gestión de derechos digitales mantienen la protección de los archivos incluso después de que los usuarios se autentiquen y descifren el contenido para verlo o editarlo.

Las funciones safeVIEW y safeEDIT de Kiteworks impiden que los usuarios descarguen archivos cifrados en dispositivos locales, permitiendo solo visualizar o editar el contenido en un entorno controlado del navegador. Así, la información confidencial permanece en servidores seguros y no se distribuye a endpoints potencialmente no gestionados, donde podría copiarse, reenviarse o exponerse por robo de dispositivos.

Capacidades DRM que amplían la protección del cifrado:

• Acceso solo de visualización que impide descargas
• Edición segura sin copias locales de archivos
• Acceso temporal a contenido compartido

¿Cómo mantiene la protección de correo electrónico la cobertura de cifrado?

El correo electrónico representa una brecha de cifrado importante para muchas organizaciones porque la transmisión SMTP estándar no incluye cifrado, y los usuarios suelen enviar archivos confidenciales como adjuntos por canales no protegidos.

La puerta de enlace de protección de correo electrónico de Kiteworks cifra automáticamente todos los correos salientes y adjuntos antes de la transmisión, aplicando cifrado S/MIME o TLS sin que los usuarios tengan que gestionar certificados o claves. La puerta de enlace analiza los mensajes en busca de contenido sensible y puede aplicar políticas que exijan cifrado para mensajes con datos regulados.

Capacidades de protección de correo electrónico:

• Cifrado automático S/MIME o PGP para mensajes salientes
• Aplicación de TLS en la transmisión de correo entre servidores
• Análisis de contenido antes del cifrado para aplicar políticas de protección de datos

Cómo implementa Kiteworks el cifrado multinivel

Kiteworks ofrece cobertura de cifrado en los tres estados de los datos mediante tecnologías integradas que protegen los archivos durante todo su ciclo de vida.

Cifrado AES-256 en reposo protege todos los archivos almacenados en el sistema Kiteworks, con claves gestionadas mediante soporte HSM integrado o sistemas de gestión de claves controlados por el cliente. Las organizaciones pueden implementar cifrado validado FIPS 140-3 Nivel 1 para cumplir requisitos gubernamentales y regulatorios.

Cifrado TLS 1.2 y 1.3 para datos en tránsito protege los archivos durante operaciones de carga, descarga y uso compartido. La plataforma aplica conjuntos de cifrado robustos y confidencialidad directa perfecta en todas las comunicaciones de red.

Integración con Módulos de Seguridad de Hardware proporciona protección FIPS 140-2 Nivel 3 para las claves de cifrado, compatible tanto con servicios HSM en la nube como con dispositivos HSM locales. Las organizaciones mantienen el control de la gestión de claves y se benefician de la protección hardware resistente a manipulaciones.

La arquitectura de Red de Contenido Privado unifica correo electrónico, intercambio de archivos, transferencia gestionada de archivos y formularios web en un entorno cifrado único. Así se eliminan las brechas de cifrado que surgen al usar soluciones puntuales separadas para distintos canales de comunicación.

Cifrado de correo electrónico S/MIME y PGP protege mensajes y adjuntos mediante la puerta de enlace de protección de correo electrónico de Kiteworks, cifrando automáticamente el contenido sensible sin que los usuarios tengan que gestionar certificados ni configurar opciones de cifrado.

Las capacidades safeVIEW y safeEDIT impiden la descarga de archivos, permitiendo ver y editar el contenido en sesiones seguras del navegador, manteniendo los archivos cifrados en servidores protegidos en lugar de distribuirlos a dispositivos endpoint.

Cómo gestiona Kiteworks la transferencia cifrada de datos

El cifrado AES-256 ofrece protección esencial para los datos en reposo, pero solo cubre uno de los tres estados en los que los datos requieren protección. Las organizaciones necesitan cifrado TLS para los datos en tránsito, tecnologías de computación confidencial para los datos en uso y Módulos de Seguridad de Hardware para la gestión de claves, garantizando la protección durante todo el ciclo de vida de la información.

Las brechas de cifrado en los puntos de transición entre estados crean vulnerabilidades que los atacantes aprovechan para acceder a información confidencial. Los archivos pueden estar cifrados en servidores pero quedar expuestos durante la transmisión, protegidos durante la transferencia pero comprometidos durante el procesamiento, o asegurados con algoritmos robustos pero debilitados por una mala gestión de claves.

Una cobertura de cifrado integral requiere tecnologías adecuadas para cada estado de los datos trabajando juntas como un sistema unificado. Los controles de autenticación determinan quién puede descifrar los datos, mientras que la gestión de derechos digitales amplía la protección más allá del punto de descifrado para evitar la distribución no autorizada.

Kiteworks implementa este enfoque de cifrado multinivel a través de una Red de Contenido Privado que protege los datos en reposo con AES-256, asegura los datos en tránsito con TLS 1.3, gestiona las claves mediante integración HSM y mantiene el control sobre el contenido descifrado con las capacidades safeVIEW y safeEDIT. La plataforma unifica el correo seguro, el intercambio seguro de archivos, la transferencia gestionada de archivos segura, SFTP y los formularios de datos seguros en un solo entorno cifrado que elimina las brechas creadas por soluciones puntuales dispersas.

Si quieres saber más sobre cifrado y cómo proteger la información confidencial que procesas, almacenas y compartes, agenda una demo personalizada hoy mismo.

Recursos adicionales

• Artículo del Blog Cifrado de clave pública vs. clave privada: explicación detallada
• Artículo del Blog Prácticas esenciales para el cifrado de datos
• eBook
  Las 10 principales tendencias en cifrado de datos: análisis en profundidad de AES-256
• Artículo del Blog Explorando E2EE: ejemplos reales de cifrado de extremo a extremo
• Artículo del Blog Guía definitiva sobre cifrado AES 256: refuerza la protección de datos para una seguridad inquebrantable