¿Cifrado o enmascaramiento: cuál es la mejor forma de protección de datos? La única forma de responder a esta pregunta es haciendo otra: ¿Necesitan los usuarios los datos exactamente como estaban una vez que ya no están protegidos?
Si la respuesta es afirmativa, tu elección es el cifrado de datos. Lo único que el cifrado tiene en común con el enmascaramiento es que los datos resultan inútiles para cualquiera que los capture. Es lo que se necesita después del cifrado o enmascaramiento lo que determina qué proceso debes usar. Es necesario conocer la diferencia.
Dos definiciones simples
- Cifrado (Encryption): Protege tus datos transformándolos en información ilegible que resulta inútil para cualquiera que la robe. Se necesita la solución de cifrado para revertir los datos a su estado original. Los datos reales se conservan dentro de este formato ilegible.
- Enmascaramiento (Masking): Protege tus datos transformándolos en un formato legible pero que resulta inútil para cualquiera que lo robe. Los datos reales son reemplazados por información ficticia. No existe una solución de cifrado para revertir los datos a su estado original; los datos reales fueron reemplazados y han desaparecido para siempre.
Se cambiaron los nombres para proteger a los inocentes
Imagina que entras al sitio web de tu banco y pagas la factura de la luz. Los datos compartidos entre tú, tu banco y la compañía eléctrica deben ser ilegibles para cualquiera que los intercepte. Se cifran mientras están en tránsito. La información real sigue ahí, pero solo tú, tu banco y la compañía eléctrica tienen la clave de cifrado.
Ahora, tu banco quiere ofrecerte mejoras innovadoras en sus productos. Tienen empleados o empresas de desarrollo de software trabajando en la próxima generación de aplicaciones bancarias. Estos desarrolladores deben validar su código utilizando datos que saben que realmente han servido para realizar transacciones exitosas.
¿Cómo podrían comprobar su trabajo si no pueden leer la información? El cifrado en este entorno de desarrollo no funciona. Así que el banco enmascara estos datos. Los nombres reales, direcciones, saldos bancarios y cualquier otra información personal sensible se reemplazan con datos ficticios. Esto simulará a los clientes del banco, pero nunca podrán ser identificados por ello. Los desarrolladores pueden usar esta información para validar escenarios del mundo real.
No hay vuelta atrás
Esa es la forma más elemental de ver la diferencia entre el cifrado y el enmascaramiento. También determina qué método de protección de datos se debe utilizar en cada caso.
- El cifrado de datos protege la información a medida que se transfiere entre computadoras o redes. Sin importar cuántas veces viaje o a dónde vaya, en última instancia debe ser restaurada a su estado original. La información que tiene este requisito a menudo se denomina datos de producción.
- El enmascaramiento de datos no necesita ninguna protección. Es información falsa. No hay necesidad de restaurarla a su estado original. Al proceso de enmascaramiento para convertir datos personales sensibles también se le llama anonimización o desidentificación. La información que tiene este requisito a menudo se denomina datos de desarrollo.
¿Una pregunta injusta?
¿Qué proceso de datos ofrece la mejor protección? Hay una respuesta obvia, pero es como comparar un Tesla con un Toyota y preguntar qué vehículo tiene mejor rendimiento de gasolina. El criterio de comparación es irrelevante para uno de esos vehículos.
El enmascaramiento es claramente más seguro que el cifrado, pero hace que los datos sean inútiles. Los datos enmascarados no tienen valor para nadie que los intercepte o los robe. Esta información no se puede utilizar para otra cosa que no sea realizar pruebas en software que se encuentra en estado de desarrollo. A los hackers no les importan ni quieren los datos de desarrollo enmascarados, ya que no les da acceso a nada valioso. Ellos quieren datos de producción. Es una fuente de información auténtica, sensible y personal. Sin cifrar, por favor.