¿Para qué me sirve esta actividad? 📚
Esta actividad te ayudará a establecer el proceso que debe seguir tu empresa para solicitar, revisar, autorizar, generar y monitorear las claves públicas y privadas utilizadas en sus sistemas, aplicaciones o infraestructura tecnológica, las cuales pueden utilizarse para autenticación, cifrado de información, transferencias de archivos, conexiones seguras o acceso a repositorios de desarrollo.
Una gestión inadecuada de ellas puede facilitar accesos no autorizados a sistemas que contienen información confidencial o datos personales.
¿Qué tengo que hacer? 🚀
💡Este documento debe reflejar la realidad operativa y técnica de tu empresa, y considerar los mecanismos de cifrado reales que utilicen.
Al trabajar en el template, te recomendamos primero leerlo en su totalidad para así comprender la información que deberás documentar posteriormente. Y para completarlo de forma adecuada, te recomendamos considerar lo siguiente:
Objetivo y alcance del procedimiento.
Verifica que el objetivo del documento se enfoque en establecer las actividades necesarias para gestionar adecuadamente las claves (llaves) públicas y privadas.
El alcance debe cubrir todo el ciclo de vida de las claves, desde su creación hasta su eventual baja, revocación o destrucción.
Formalización de la solicitud.
Define qué perfiles o áreas pueden solicitar claves y cuál será el canal oficial para hacerlo, como un sistema de tickets, formulario o herramienta interna. Esto te permitirá consolidar la información correctamente en un solo lugar y así, poder tener la evidencia pertinente de trazabilidad y cumplimiento.
La solicitud debe indicar el sistema o plataforma involucrada y justificar la necesidad de la clave.
Establece los usos de las claves que se ajusten a tu operación. Pueden ser por ejemplo, autenticación, cifrado, transferencia de archivos, conexiones SSH/SFTP o acceso a repositorios de desarrollo.
Revisión y autorización de la solicitud.
El perfil o área responsable debe verificar que la solicitud esté completa y que el uso de la clave sea coherente con las funciones del solicitante.
Cuando corresponda, considera consultar al Oficial de Protección de Datos Personales, Comité de Privacidad o rol equivalente dentro de tu empresa para validar que la solicitud sea compatible con las políticas establecidas.
Si la solicitud se rechaza, deben comunicarse las causas y solicitarse las correcciones necesarias. Pero si se aprueba, debe quedar evidencia de la autorización antes de continuar con la generación de las claves.
⚖️ Recomendación legal: Una clave no necesariamente contiene datos personales, pero puede permitir el acceso a sistemas que sí los tratan. Por eso, la revisión debe considerar el alcance real del acceso que habilitará, especialmente cuando se trate de ambientes productivos, información sensible o cuentas con privilegios elevados.
Generación de las claves y notificación.
Una vez autorizada la solicitud, el perfil técnico responsable debe generar o gestionar las claves en el sistema o plataforma correspondiente y notificar al solicitante. Para ello, también se debe definir en este procedimiento cómo se hará esta notificación, confirmando que la clave fue generada e incluyendo toda la información operativa relevante.
La notificación debe limitarse a confirmar la gestión realizada y orientar sobre el canal seguro para utilizar la clave, sin exponer información sensible innecesariamente.
Monitoreo del uso de las claves.
Define la frecuencia con la que se revisará el uso de las claves, procurando que sea realista para la capacidad de tu equipo.
Si se detectan claves sin uso, asociadas a sistemas deshabilitados o con comportamientos irregulares, debe escalarse la situación al responsable definido. Considera notificar también al Oficial de Protección de Datos Personales y/o al Comité de Privacidad, si hay datos personales involucrados.
Registra la revisión realizada y las acciones adoptadas en la herramienta o medio interno que utilice la empresa.
Completa el versionado del documento.
Al finalizar, completa la tabla de versionado indicando quién elaboró el procedimiento, quién lo aprobó, la fecha de aprobación y la clasificación de la información.
Nuestro template está estructurado para guiarte en la solicitud, revisión, autorización, generación y monitoreo de claves públicas y privadas pero recuerda ajustarlo a las herramientas y prácticas reales de tu empresa.
💡 Los pasos a seguir para terminar la actividad dentro de la plataforma son los siguientes:
Una vez que nuestro equipo haya aprobado la actividad, debes subir el documento final en versión PDF (no editable).
Posteriormente, debes subir la evidencia de su aprobación.
Recomendamos que esta evidencia sea a través de una minuta de sesión de comité (en ese caso, debes subir el documento en PDF de la minuta), o con una captura de pantalla de la respuesta explícita de quién o quiénes lo aprobaron.
Esto debe realizarse por algún medio de comunicación interno de la empresa, como Slack, Teams o el correo electrónico organizacional.
O también puedes utilizar la funcionalidad de aprobación que tiene la plataforma Hackmetrix.
Y por último, debes subir la evidencia de su comunicación.
Al igual que la aprobación, la comunicación del documento puede ser por cualquier medio formal interno de la empresa. Y para esto, debes subir una captura de pantalla donde se muestre que el documento fue comunicado a todos los colaboradores interesados.
O también puedes utilizar la funcionalidad de comunicación que tiene la plataforma Hackmetrix.
Recomendaciones ✅
Nunca incluyas claves privadas, contraseñas, tokens o material criptográfico sensible dentro de tickets, correos, capturas de pantalla o documentos de evidencia. Registra únicamente el identificador, propósito, sistema asociado y responsable de la clave, según corresponda.
Utiliza mecanismos seguros para almacenar y compartir claves privadas, como bóvedas de secretos, gestores de contraseñas corporativos o servicios de gestión de claves.
Alinea este procedimiento con el Procedimiento de Gestión de Accesos y con el proceso de baja de personal. Cuando una persona deje la empresa, cambie de rol o pierda la necesidad de acceso, las claves asociadas deben revisarse, revocarse o rotarse oportunamente.
Define una acción inmediata para casos de sospecha de pérdida, exposición o uso indebido de una clave privada. Este tipo de situación debe analizarse dentro del Procedimiento de Gestión de Incidentes, especialmente si pudo habilitar accesos no autorizados a datos personales.
¡Califica este artículo 👇, esto nos ayudará a mejorar nuestro contenido para ti! También puedes contactarnos por correo electrónico o a través de la plataforma, y te brindaremos la atención que necesites.