Cifrado de mensajes para garantizar el cumplimiento de la normativa

Algunas normas reglamentarias, como PCI DSS, exigen que los datos sensibles de los mensajes (como la información de los titulares de tarjetas) se cifren durante todo su ciclo de vida: en reposo, en movimiento y en uso.

Los sistemas de archivos utilizados por Event Streams para almacenar los datos de los mensajes están encriptados, lo que los protege de accesos no autorizados. Sin embargo, cuando los mensajes pasan a través de la capa de transporte, Event Streams debe descifrar estos sistemas de archivos para procesar los mensajes. Aunque esto significa que las cargas útiles de los mensajes no están cifradas de extremo a extremo, el cifrado en tránsito y en reposo garantiza una sólida protección durante todo el ciclo de vida del mensaje, en línea con las mejores prácticas del sector.

Para garantizar que los datos confidenciales permanezcan ilegibles para cualquiera que no sean los destinatarios previstos, los clientes deben cifrar el propio mensaje a nivel de aplicación antes de enviarlo a Event Streams, una práctica conocida como cifrado a nivel de mensaje.

Lo que no está cubierto por el cifrado gestionado por el cliente

Si se selecciona la función de encriptación gestionada por el cliente, tenga en cuenta que esta encriptación sólo cubre los datos de la carga útil del mensaje. Event Streams encripta en reposo otros datos relacionados con el uso del servicio. Sin embargo, aunque estén encriptados, los datos de la carga útil que no son mensajes no se encriptan con la encriptación gestionada por el cliente. Algunos ejemplos son los metadatos del cliente, como los nombres de los temas, los datos de configuración de los temas, los esquemas almacenados en el registro de esquemas y los metadatos que se almacenan en relación con la configuración de la instancia Enterprise.

Por lo tanto, no utilice información confidencial en dichos metadatos de cliente.

¿Cómo funciona el cifrado gestionado por el cliente?

Event Streams utiliza un concepto denominado cifrado de sobres para aplicar claves gestionadas por el cliente.

El cifrado de sobre es la práctica de cifrar una clave de cifrado con otra clave de cifrado. La clave utilizada para cifrar los propios datos se conoce como una clave de cifrado de datos (DEK). La DEK propiamente dicha nunca se almacena, sino que se envuelve con una segunda clave que se conoce como clave de cifrado (KEK) para crear una DEK envuelta.

Para descifrar datos, la DEK envuelta se debe desenvolver en primer lugar para obtener la DEK. Este proceso sólo es posible accediendo a la KEK, que en este caso es la clave raíz que se almacena en Key Protect o Hyper Protect Crypto Services.

El usuario es propietario de la KEK, que crea como clave root en el servicio Hyper Protect Crypto Services o Key Protect. El servicio Event Streams no ve nunca la clave raíz (KEK). El almacenamiento, la gestión y el uso para encapsular y desencapsular la DEK se realiza por completo en el servicio de gestión de claves. Si inhabilita o suprime la clave, los datos ya no se pueden descifrar.

Habilitación de una clave gestionada por el cliente para Event Streams

Lleve a cabo los pasos siguientes para suministrar la instancia de Event Streams con el fin de utilizar una clave gestionada por el cliente:

1. Suministre una instancia de Key Protect o Hyper Protect Crypto Services.
2. Cree una política de autorización para permitir que el servicio de Event Streams acceda a la instancia de servicio de gestión de claves como lector. Para obtener más información, consulte Uso de autorizaciones para conceder acceso entre servicios.
3. Cree o importe una clave raíz en la instancia de servicio de gestión de claves.
4. Recupere el Nombre del Recurso en la Nube (CRN) de la clave utilizando la opción Ver CRN en la GUI de la instancia del servicio de gestión de claves.
5. Suministre una instancia de Event Streams. Esta característica se admite solamente en el plan Empresa.

Si suministra a través de la consola de IBM Cloud®, seleccione una instancia de servicio de gestión de claves y, a continuación, seleccione una clave raíz desde la instancia.

Si suministra a través de CLI, utilice el mandato siguiente:

ibmcloud resource service-instance-create EVENT-STREAMS-INSTANCE-NAME messagehub ibm.message.hub.enterprise.3nodes.2tb REGION -p '{"kms_key_crn":"KMS_KEY_CRN"}'

Un clúster existente sin una clave gestionada por el cliente no se puede actualizar porque se trata de una operación destructiva que provocará la pérdida de todas las definiciones de mensajes y temas. Debe eliminar y volver a crear su instancia con una clave de cifrado.

Utilización de una clave gestionada por el cliente

Después de aprovisionar una instancia de Event Streams con una clave gestionada por el cliente, funciona con las siguientes capacidades adicionales.

Inhabilitación del cifrado gestionado por el cliente

Después de activar el cifrado gestionado por el cliente, no es posible desactivarlo. En lugar de ello, debe suprimir la instancia de servicio y crear una instancia nueva.

Migración de Hyper Protect Crypto Services (HPCS) a Key Protect Dedicado (KP-ST)

Durante la migración de Hyper Protect Crypto Services (HPCS) a Key Protect Dedicated (KP-ST), ocurre lo siguiente:

• Cada instancia KMS mantiene sus propias claves raíz únicas. La migración implica volver a asociar el servicio con una nueva clave raíz dedicada de IBM® Key Protect.
• Las claves de cifrado de datos (DEK) existentes se envuelven de nuevo de forma segura.
• Durante la transición, deben mantenerse las políticas de acceso tanto de Hyper Protect Crypto Services a Service como de Key Protect a Service.
• Los datos cifrados no se vuelven a cifrar ni se mueven.
• Se mantiene la disponibilidad del servicio.