Cómo documentar las claves necesarias para recuperar una copia cifrada

Relaciona datos y material criptográfico

Anota producto, repositorio, identificador de clave o certificado, versión y periodo de copias al que corresponde. Distingue cifrado del respaldo, cifrado de discos y cifrado propio de la base de datos si coinciden en el servicio. Puede haber varias capas con procedimientos diferentes. Registra también qué credencial y permisos hacen falta para acceder al almacén de claves; conocer el nombre de una clave no equivale a poder utilizarla.

Custodia fuera del mismo punto de fallo

Guarda el material según las capacidades y recomendaciones del producto en un medio protegido. Limita acceso a personas designadas y prevé un suplente. Evita dejar la única copia de la clave dentro de la máquina o del repositorio cuya recuperación depende de ella. No publiques secretos en el informe ni los adjuntes a un ticket general. Mantén localización e instrucciones suficientemente accesibles para una emergencia autorizada.

Trata la rotación como un cambio de recuperación

Antes de retirar una clave antigua, determina qué puntos conservados siguen necesitándola. Actualiza la relación entre versiones y copias y comprueba el procedimiento después de rotar. En Azure Key Vault existen restricciones de copia y restauración y posibles desajustes si los secretos cambian durante el respaldo; es un ejemplo de por qué debes revisar el mecanismo concreto. No presupongas que exportar una clave está permitido o que sirve en cualquier entorno.

Prueba una copia antigua y otra reciente

En un entorno controlado, verifica que el custodio autorizado localiza la referencia, obtiene el acceso y puede descifrar los puntos elegidos. Incluye una versión anterior relevante si sigue dentro de retención. Registra identificadores y resultado, nunca el valor secreto. Si el procedimiento depende de un servicio externo, documenta cómo actuar ante su indisponibilidad. Al cerrar, retira permisos temporales y confirma la custodia; probar una restauración no justifica conservar accesos extraordinarios de forma permanente.

Fuentes y documentación

• Microsoft Learn: copia de objetos de Azure Key Vault — La copia de claves tiene restricciones y debe coordinarse con la versión usada por los datos cifrados.
• Microsoft Learn: cifrado de Azure Backup con claves propias — El soporte y la recuperación con claves propias dependen de la carga y de la configuración del almacén.