Gestión del cifrado con claves gestionadas por el cliente

De forma predeterminada, los datos de los clientes en Event Notifications se cifran en reposo mediante una clave generada aleatoriamente. Si su solución requiere un mayor nivel de control, puede gestionar su propio cifrado mediante la integración con IBM® Key Protect for IBM Cloud® o Hyper Protect Crypto Services. Debes estar utilizando el plan de precios estándar para aportar tu propia clave.

Si su solución requiere que gestione sus propias claves para los datos en reposo, o que tenga un control explícito sobre todo el ciclo de vida de los datos, incluidos los datos en reposo, entonces podría plantearse utilizar claves gestionadas por el cliente. Tanto Key Protect como Hyper Protect Crypto Services están diseñados para permitir el uso de una clave proporcionada por el cliente para controlar el cifrado. Para comparar los servicios y determinar cuál es el más adecuado para su solución, consulte ¿Qué servicio de seguridad de datos es el más adecuado para mí?.

Si elimina una clave gestionada de forma personalizada sin seguir el proceso adecuado, podría perder el acceso a los datos almacenados en su instancia de Event Notifications.

Lo que no está cubierto por el cifrado gestionado por el cliente

Si habilitas el cifrado gestionado por el cliente, ten en cuenta que este cifrado solo cubre los datos del cliente. Event Notifications cifra otros datos relacionados con el uso del servicio en reposo.

No utilices información confidencial en los metadatos de los clientes.

¿Cómo funciona el cifrado gestionado por el cliente?

Event Notifications utiliza un concepto denominado cifrado de sobre para implementar las claves gestionadas por el cliente.

El cifrado de sobre es la práctica de cifrar una clave de cifrado con otra clave de cifrado. La clave utilizada para cifrar los propios datos se conoce como una clave de cifrado de datos (DEK). El DEK en sí nunca se almacena, sino que lo envuelve una segunda clave que se muestra como clave de cifrado de claves (KEK - key encryption key) para crear una DEK envuelta.

Para descifrar datos, la DEK envuelta se debe desenvolver en primer lugar para obtener la DEK. Este proceso solo es posible accediendo a la KEK, que en este caso es tu clave raíz almacenada en Key Protect o en Hyper Protect Crypto Services.

El usuario es propietario de la KEK, que crea como clave root en el servicio Hyper Protect Crypto Services o Key Protect. El servicio Event Notifications no ve nunca la clave raíz (KEK). El almacenamiento, la gestión y el uso para encapsular y desencapsular la DEK se realiza por completo en el servicio de gestión de claves. Si inhabilita o suprime la clave, los datos ya no se pueden descifrar.

Habilitación de una clave gestionada por el cliente para Event Notifications

Lleve a cabo los pasos siguientes para suministrar la instancia de Event Notifications con el fin de utilizar una clave gestionada por el cliente:

Suministre una instancia de Key Protect o Hyper Protect Crypto Services.
Cree una política de autorización para permitir que el servicio de Event Notifications acceda a la instancia de servicio de gestión de claves como lector. Para obtener más información, consulte Uso de autorizaciones para conceder acceso entre servicios.
Cree o importe una clave raíz en la instancia de servicio de gestión de claves.
Recupere el nombre de recursos de nube (CRN) de la clave utilizando la opción Ver el CRN en la GUI de la instancia de servicio de gestión de claves.
Suministre una instancia de Event Notifications. Esta función solo está disponible en el plan Estándar.

Utilización de una clave gestionada por el cliente

Después de habilitar una clave gestionada por el cliente, el clúster funcional con normalidad pero con las siguientes prestaciones adicionales:

Cómo evitar el acceso a los datos

Para impedir temporalmente el acceso, puede inhabilitar la clave raíz. Como consecuencia, Event Notifications ya no puede acceder a los datos porque ya no tiene acceso a la clave.

Para eliminar de forma permanente el acceso, puede suprimir la clave. Sin embargo, debe tener una precaución extrema porque esta operación no se puede recuperar. Perderá el acceso a los datos almacenados en la instancia de Event Notifications. No hay forma de recuperar estos datos.

En ambos casos, la instancia de Event Notifications concluye y yo no se aceptan o se procesan las conexiones. Se genera un evento de registro en la nube para informar de la acción. Para obtener más información, consulte Sucesos de Event Notifications.

La autorización debe mantenerse en vigor en todo momento entre su Event Notifications y la instancia del servicio de gestión de claves. Aunque al retirar esta autorización se impide que Event Notifications acceda a sus datos en el futuro, los datos que ya estén en uso seguirán estando disponibles durante un tiempo.

Se le cobrará por su instancia de Event Notifications hasta que la desactive mediante la consola de IBM Cloud o la CLI. Estos cargos se siguen aplicando aunque haya elegido impedir el acceso a los datos.

Restauración del acceso a los datos

El acceso se puede restaurar solamente si no se ha suprimido la clave. Para restaurar el acceso, vuelva a habilitar la clave raíz. Después de un breve periodo de inicialización, se reinicia la instancia de Event Notifications y se empiezan a aceptar de nuevo las conexiones. Se conservan todos los datos, sujetos a los límites de retención normales configurados en la instancia.

Se genera un evento de registro en la nube para informar de la acción. Para obtener más información, consulte Sucesos de Activity Tracker.

Rotación de la clave

Key Protect y Hyper Protect Crypto Services dan soporte a la rotación de claves raíz, ya sea bajo demanda o en una planificación. Cuando esto ocurre, Event Notifications adopta la nueva clave volviendo a envolver el DEK tal y como se describe en el funcionamiento del cifrado gestionado por el cliente.

Se genera un evento de registro en la nube para informar de la acción. Para obtener más información, consulte Sucesos de Activity Tracker.

Inhabilitación del cifrado gestionado por el cliente

Después de habilitar el cifrado gestionado por el cliente, no es posible inhabilitarlo. En lugar de ello, debe suprimir la instancia de servicio y crear una instancia nueva.

Como alternativa, puede utilizar módulos Terraform IBM (TIM) preconfigurados, de código abierto y listos para la empresa, para aprovisionar su infraestructura a través de un módulo Terraform Event Notifications consulte el ejemplo completo que muestra la creación de una instancia de Key Protect con una clave raíz, el aprovisionamiento de una instancia de Event Notifications con cifrado BYOK (traiga su propia clave) y la configuración de la política de autorización entre servicios.