Siento que nadie en el grupo en el que trabajo, incluido yo mismo, realmente cree que el cifrado y la seguridad, o las razones detrás de tomar ciertas decisiones. Por ejemplo, recientemente tuvimos una conversación sobre el cifrado de datos que manejamos para otro grupo con el que trabajamos: los datos terminan en una base de datos que está en nuestra red corporativa segura (trabajo en un grupo pequeño en una gran empresa de software, así que la integridad de la red corporativa es muy alta), junto con todo lo demás que manejamos. Por supuesto, las pautas estándar exigen el "cifrado" de estos datos.
Obviamente, eso podría significar muchas cosas: conexiones IPSec / cifradas, archivos compartidos cifrados, cifrado implementado en el DB (DB completo o columna), cifrado de los bits reales en el archivo, etc., y algunas personas en el grupo están bajo impresión de que el único tipo de encriptación que realmente cuenta es encriptar directamente los bits que están almacenados, el argumento es que todo lo demás es demasiado fácil de eludir: "si la base de datos está encriptada, aún podría iniciar sesión y ver los datos allí; si el recurso compartido de archivos está encriptado, siempre que tenga permisos para la carpeta, puedo tomar el archivo, pero si los bits están encriptados directamente, no podré leerlo ". Mi instinto dice que esa declaración se basa en una comprensión limitada: pueden verse a sí mismos iniciando sesión en SQL Server Management Studio para ver los datos, pero dado que no sabrían cómo tomar una secuencia o una matriz de datos cifrados y usar un certificado al que probablemente tengan acceso para descifrarlo, probablemente sea seguro. ¿Tienen razón? Estoy en lo cierto? Nadie parece saberlo realmente, por lo que las decisiones se basan en la opinión de la persona más ruidosa o mejor pagada.
De todos modos, es solo un ejemplo extenso de lo que estoy hablando. Siento que es el ciego guiando al ciego aquí, con decisiones basadas en una comprensión limitada, y es frustrante. No soy experto en los aspectos técnicos del cifrado, pero sé cómo usar las bibliotecas estándar para cifrar secuencias y matrices y similares, donde realmente necesito más conocimiento es sobre la arquitectura de la seguridad de los datos y la información en la que puedo basar decisiones como la encima. ¿Dónde puedo leer sobre este tipo de cosas?