Cumplimiento normativo en la seguridad del correo electrónico para sectores regulados

Marcos como DORA, NIS2, el RGPD y KRITIS han convertido la seguridad de las comunicaciones empresariales en una responsabilidad del consejo de administración. El cifrado por sí solo ya no basta: las organizaciones deben poder demostrar cómo se protegen los mensajes, quién puede acceder a ellos, dónde se tratan los datos y cómo se gobiernan las claves, también en los intercambios transfronterizos.

Las plataformas de correo electrónico de uso general rara vez ofrecen ese nivel de evidencia. Un servicio de cifrado dedicado proporciona a los equipos de cumplimiento, seguridad y auditoría un único punto de control y un registro coherente.

CloudPGP ofrece capacidades de cifrado, control de acceso y auditoría que le ayudan a cumplir los requisitos de seguridad de las comunicaciones de estos marcos:

Ningún producto hace que una organización cumpla la normativa por sí solo. Que estas medidas sean suficientes depende de su sector, de su evaluación de riesgos, de su configuración y de sus contratos, como un acuerdo de asociado comercial (business associate agreement) conforme a HIPAA.

Dónde se procesa y almacena el correo electrónico cifrado es una decisión de gobernanza. La plataforma de Echoworx opera centros de datos seguros y de alto rendimiento en cinco regiones:

• Estados Unidos
• Canadá
• Reino Unido
• Irlanda
• Alemania

Esta presencia regional mantiene los datos cerca de donde operan las organizaciones y sus clientes, y respalda las obligaciones de residencia de los datos y de transferencias transfronterizas previstas en el RGPD y en las normas nacionales.

• Instalaciones diseñadas para la seguridad y la redundancia.
• Certificaciones SOC 2, PCI DSS e ISO que abarcan la seguridad física, de los sistemas y operativa.
• Controles de acceso estrictos con revisión continua.

Los reguladores y los auditores esperan evidencias, no garantías. CloudPGP aplica el cifrado mediante políticas gestionadas de forma centralizada y registra los eventos principales, como la generación de claves, la emisión de certificados, la activación de políticas y el estado de entrega de los mensajes.

Estos registros sirven de apoyo para la revisión interna, la investigación de incidentes y la obtención de evidencias para auditorías. Consulte Controles de seguridad para conocer en detalle los controles de administración, de inquilino y de registro.

Un cifrado robusto es el punto de partida. La plataforma se basa en estándares consolidados y ampliamente revisados:

• cifrado asimétrico RSA de 2048 bits;
• cifrado simétrico AES-256;
• funciones hash SHA-2 para la integridad de los mensajes;
• certificados ANSI X.509 y los protocolos de correo electrónico S/MIME.

La plataforma de Echoworx se integra con AWS Key Management Service (AWS KMS), que utiliza módulos de seguridad de hardware (HSM) resistentes a la manipulación y validados conforme a FIPS 140-3 Level 3. Las claves para el procesamiento del portal seguro, PGP y S/MIME se conservan en la memoria protegida de los HSM y nunca se exponen fuera de ella.

Este enfoque respaldado por hardware mantiene el material criptográfico sujeto a gobierno en todo momento y sirve de base a las opciones de control de claves por parte del cliente, como Manage Your Own Key (MYOK). Consulte Gestión de claves.

Las futuras computadoras cuánticas amenazan los algoritmos de clave pública actuales, por lo que la preparación debe empezar ya. Echoworx está desplegando criptografía poscuántica híbrida basada en algoritmos recomendados por el NIST. El despliegue abarca:

• algoritmos seguros frente a la computación cuántica para S/MIME, PGP y TLS, antes de su adopción generalizada en el sector;
• claves AES gestionadas en AWS KMS para reforzar los mensajes del portal seguro y los mensajes PDF;
• TLS poscuántico híbrido que protege las llamadas a la API de AWS KMS.

La resiliencia nace de la arquitectura. La plataforma de Echoworx está construida en capas protegidas:

• Zonas de red por capas, con el acceso público limitado a la zona más externa.
• Servicios de front-end aislados de los componentes operativos y de los activos más sensibles, como las claves privadas y las credenciales almacenadas en forma de hash.
• Varios cortafuegos que aplican políticas estrictas en cada segmento.
• Detección de intrusiones con alertas en tiempo real para una respuesta inmediata.

Para las instituciones reguladas, la resiliencia tiene que poder demostrarse. La plataforma ofrece:

• Redundancia regional completa, con datos replicados en tiempo real para la recuperación ante desastres.
• Planes de continuidad del negocio y de recuperación ante desastres que se prueban al menos una vez al año.
• Gobernanza continua mediante políticas documentadas, evaluaciones de riesgos anuales y auditorías externas.
• Controles de personal, como verificaciones de antecedentes, acuerdos de confidencialidad y formación según el puesto.

La verificación independiente importa tanto como los propios controles. La plataforma de Echoworx sobre la que opera CloudPGP cuenta con las siguientes certificaciones y acreditaciones: