Opciones de encriptado de datos

Cloud Storage siempre encripta los datos del lado del servidor, antes de que se escriban en el disco, sin coste adicional. Además de este comportamiento estándar de Cloud Storage, hay otras formas de encriptar tus datos cuando usas Cloud Storage. A continuación, se muestra un resumen de las opciones de cifrado que tienes disponibles:

Cifrado del lado del servidor: cifrado que se produce después de que Cloud Storage reciba tus datos, pero antes de que se escriban en el disco y se almacenen.

• Claves de encriptado gestionadas por el cliente (CMEK): puedes crear y gestionar tus claves de encriptado a través de Cloud Key Management Service. Las CMEK se pueden almacenar como claves de software, en un clúster de HSM o externamente.

• Claves de encriptado proporcionadas por el cliente (CSEK): puedes crear y gestionar tus propias claves de encriptado. Estas claves actúan como una capa de cifrado adicional sobre el cifrado estándar de Cloud Storage.

Cifrado del lado del cliente: cifrado que se produce antes de que se envíen los datos a Cloud Storage. Estos datos llegan a Cloud Storage ya cifrados, pero también se cifran del lado del servidor.

Advertencia: Si usas claves de cifrado proporcionadas por el cliente o el cifrado del lado del cliente, debes gestionar tus claves de forma segura y asegurarte de que no se pierdan. Si pierdes tus llaves, ya no podrás leer tus datos y se te seguirá cobrando por el almacenamiento de tus objetos hasta que los elimines.

Comparación de opciones de cifrado

Método de encriptado	Gestión de claves	Caso práctico
Estándar (predeterminado)	Google gestiona las claves de cifrado.	Propósito general: el cifrado estándar de Cloud Storage es ideal para la mayoría de los usuarios que necesitan que sus datos se cifren en reposo sin querer gestionar las claves de cifrado. Cumple muchos requisitos de cumplimiento automáticamente.
CMEK	Las claves se gestionan mediante Cloud Key Management Service.	Cumplimiento y control: usa CMEK cuando necesites controlar el ciclo de vida de tus claves de cifrado para cumplir estándares específicos (por ejemplo, PCI-DSS o HIPAA). Puedes conceder, revocar y rotar claves según tu propia programación.
CSEK	Proporcionas tus propias claves de cifrado con cada solicitud a Cloud Storage.	Gestión de claves externas: las CSEK son la mejor opción en los casos en los que tienes un sistema de gestión de claves fuera de Google Cloud y quieres usar esas claves para cifrar tus datos de Cloud Storage. Googleno almacena la clave.
Encriptación por parte del cliente	Encriptas los datos y gestionas las claves por tu cuenta antes de enviarlos a Cloud Storage.	Máximo secreto: usa el cifrado del lado del cliente cuando necesites asegurarte de que Google no pueda acceder a los datos sin cifrar. De esta forma, se asegura de mantener el máximo nivel de control, pero también de asumir toda la responsabilidad de la gestión de claves y de los procesos de cifrado y descifrado.