Curso AWS Cloud Practitioner CLF-C02

La protección de datos en AWS no va solo de “activar cifrado” y olvidarse. En el examen CLF-C02 necesitas entender varias piezas que trabajan juntas: cifrado en reposo, cifrado en tránsito, gestión de claves, secretos, certificados, clasificación de datos y control de acceso.

La parte importante es aprender a reconocer qué servicio encaja con cada necesidad. Si la pregunta habla de claves de cifrado integradas con servicios AWS, piensa en KMS. Si habla de HSM dedicado, CloudHSM. Si habla de rotar credenciales, Secrets Manager. Si habla de certificados TLS, ACM.

1. Qué significa proteger datos en AWS

Cuando hablamos de protección de datos, normalmente hablamos de tres preguntas:

• ¿Dónde están los datos? En S3, EBS, RDS, DynamoDB, EFS, backups, logs, snapshots o servicios gestionados.
• ¿Quién puede acceder? Usuarios, roles, aplicaciones, cuentas o servicios autorizados mediante IAM y políticas.
• ¿Cómo se protegen? Con cifrado, claves, TLS, secretos, certificados, controles de acceso y auditoría.

2. Cifrado en reposo: proteger datos almacenados

El cifrado en reposo protege datos cuando están almacenados. Por ejemplo, objetos en Amazon S3, volúmenes EBS, snapshots, bases de datos RDS, tablas DynamoDB, sistemas de archivos EFS o backups.

En muchos servicios de AWS puedes activar cifrado gestionado, usar claves administradas por AWS o usar claves gestionadas por el cliente mediante AWS KMS. Para CLF-C02 no necesitas saber configurar cada opción, pero sí entender la idea:

• Los datos se cifran mientras están guardados.
• Las claves pueden ser gestionadas por AWS o por el cliente mediante KMS.
• El acceso a los datos debe seguir controlándose con permisos.
• Cifrar no significa que cualquiera pueda acceder sin riesgo.

3. Cifrado en tránsito: proteger datos en movimiento

El cifrado en tránsito protege datos mientras viajan entre cliente y servicio, entre aplicaciones o entre componentes de una arquitectura. Normalmente se asocia a TLS/HTTPS.

Ejemplos sencillos:

• Un usuario accede a una web mediante HTTPS.
• Una aplicación llama a una API usando TLS.
• Un cliente se conecta a un endpoint seguro.
• Una carga necesita proteger datos que viajan por la red.

En el examen, si aparece “proteger datos mientras se transmiten”, la respuesta conceptual suele ser cifrado en tránsito, TLS o certificados gestionados con ACM en servicios compatibles.

4. AWS KMS: gestión de claves de cifrado

AWS Key Management Service (KMS) es uno de los servicios clave para CLF-C02. Permite crear, gestionar y controlar claves criptográficas que se integran con muchos servicios de AWS.

Piensa en KMS cuando una pregunta hable de:

• Claves de cifrado.
• Controlar acceso a claves.
• Cifrado integrado con S3, EBS, RDS, DynamoDB, EFS u otros servicios.
• Claves administradas por AWS o por el cliente.
• Auditoría de uso de claves.

5. Tipos de claves en KMS a nivel CLF-C02

No necesitas profundizar como en una certificación de seguridad avanzada, pero sí conviene conocer la idea general:

• Claves administradas por AWS: AWS las gestiona para servicios concretos. Son sencillas para muchos escenarios.
• Claves gestionadas por el cliente: el cliente tiene más control sobre políticas, rotación, uso y permisos.
• Claves administradas por el servicio: algunos servicios ofrecen cifrado gestionado de forma muy integrada.

El punto importante: más control suele implicar más responsabilidad. Si gestionas claves, debes controlar quién puede usarlas, administrarlas, rotarlas o eliminarlas.

6. AWS CloudHSM: HSM dedicado

AWS CloudHSM proporciona módulos de seguridad hardware dedicados. Es más específico que KMS y normalmente aparece cuando el escenario exige más control sobre el hardware criptográfico o requisitos de cumplimiento estrictos.

Para CLF-C02, la diferencia mental es sencilla:

7. Secrets Manager: secretos y rotación

AWS Secrets Manager ayuda a almacenar, recuperar y rotar secretos como credenciales de base de datos, claves de API, tokens o contraseñas de aplicación.

La palabra clave más importante es rotación. Si una pregunta dice que una aplicación necesita guardar credenciales de forma segura y rotarlas automáticamente, Secrets Manager suele ser la mejor opción.

• Almacena secretos de forma segura.
• Permite rotación de secretos.
• Se integra con servicios como bases de datos.
• Evita hardcodear credenciales en código o ficheros.

8. Systems Manager Parameter Store

AWS Systems Manager Parameter Store permite almacenar parámetros de configuración y valores sensibles. Puede usarse para centralizar configuraciones, variables y algunos secretos, con opción de cifrado.

En CLF-C02, la diferencia más útil es esta:

• Parameter Store: parámetros de configuración y valores centralizados.
• Secrets Manager: secretos con foco claro en credenciales y rotación.

Si la pregunta insiste en “rotación de secretos”, normalmente elige Secrets Manager.

9. AWS Certificate Manager: certificados TLS/SSL

AWS Certificate Manager (ACM) ayuda a aprovisionar, gestionar y renovar certificados TLS/SSL para servicios compatibles como Elastic Load Balancing, CloudFront o API Gateway.

Piensa en ACM cuando el escenario hable de:

• HTTPS.
• Certificados TLS/SSL.
• Proteger comunicaciones web.
• Certificados para balanceadores o CloudFront.
• Renovación y gestión de certificados.

10. Amazon Macie: descubrir datos sensibles

Amazon Macie ayuda a descubrir y proteger datos sensibles, especialmente en Amazon S3. Puede identificar información como datos personales o información sensible en buckets.

No lo confundas con KMS. KMS cifra con claves. Macie ayuda a descubrir datos sensibles. Son problemas distintos.

• KMS: claves y cifrado.
• Macie: descubrimiento de datos sensibles.
• Secrets Manager: secretos y rotación.
• ACM: certificados TLS/SSL.

11. Clasificación y control de acceso

La protección de datos no termina al activar cifrado. También necesitas saber qué tipo de datos tienes, dónde están, quién puede acceder y qué controles aplican.

En un escenario real, proteger datos implica combinar:

• Clasificación: saber si los datos son públicos, internos, confidenciales o sensibles.
• IAM: conceder permisos mínimos necesarios.
• Cifrado: proteger datos en reposo y en tránsito.
• Auditoría: registrar quién accede o usa claves.
• Gobierno: aplicar políticas y controles consistentes.

12. Comparativa para examen

13. Diferencias que suelen confundir

• KMS vs Secrets Manager: KMS gestiona claves criptográficas; Secrets Manager almacena y rota secretos.
• KMS vs CloudHSM: KMS es gestionado e integrado; CloudHSM ofrece HSM dedicado y más control.
• Secrets Manager vs Parameter Store: Secrets Manager destaca por secretos y rotación; Parameter Store destaca por parámetros de configuración.
• ACM vs KMS: ACM gestiona certificados TLS/SSL; KMS gestiona claves de cifrado.
• Macie vs KMS: Macie descubre datos sensibles; KMS ayuda a cifrarlos.
• Cifrado en reposo vs cifrado en tránsito: reposo es dato almacenado; tránsito es dato viajando por red.

14. Errores típicos

• Confundir KMS con Secrets Manager.
• Olvidar que el cifrado en tránsito suele implicar TLS/HTTPS.
• Elegir CloudHSM cuando basta con KMS.
• Pensar que cifrar datos elimina la necesidad de IAM y control de acceso.
• Guardar secretos en código, variables sin proteger o repositorios.
• Elegir ACM cuando la pregunta pide gestión de claves de cifrado.
• Elegir KMS cuando la pregunta pide descubrir datos sensibles en S3.
• No diferenciar entre datos almacenados y datos en movimiento.

15. Cómo pensar preguntas de protección de datos

Cuando veas una pregunta de este tema, busca primero el verbo o la necesidad principal:

• Cifrar datos almacenados: cifrado en reposo y, normalmente, KMS integrado con el servicio.
• Proteger comunicaciones: cifrado en tránsito, TLS/HTTPS y ACM si habla de certificados.
• Gestionar claves: AWS KMS.
• Usar HSM dedicado: AWS CloudHSM.
• Guardar y rotar contraseñas: AWS Secrets Manager.
• Guardar parámetros de aplicación: Systems Manager Parameter Store.
• Encontrar datos sensibles en S3: Amazon Macie.
• Controlar quién puede acceder: IAM, políticas y mínimo privilegio.

16. Cómo saber si dominas este módulo

Vas bien si puedes responder sin mirar apuntes:

• Qué diferencia hay entre cifrado en reposo y en tránsito.
• Cuándo usar AWS KMS.
• Cuándo CloudHSM tiene más sentido que KMS.
• Qué problema resuelve Secrets Manager.
• Qué diferencia hay entre Secrets Manager y Parameter Store.
• Qué servicio usarías para certificados TLS/SSL.
• Qué servicio ayuda a descubrir datos sensibles en S3.
• Por qué cifrado no sustituye a IAM.

Resumen final

Para CLF-C02, recuerda las asociaciones principales: cifrado en reposo protege datos almacenados; cifrado en tránsito protege datos en movimiento; KMS gestiona claves; CloudHSM proporciona HSM dedicado; Secrets Manager almacena y rota secretos; Parameter Store guarda parámetros; ACM gestiona certificados TLS; Macie ayuda a descubrir datos sensibles en S3.

La clave del examen es no mezclar servicios: no uses KMS para rotar contraseñas, no uses ACM para claves de cifrado, no uses CloudHSM si solo piden cifrado gestionado estándar y no olvides que el control de acceso sigue siendo necesario aunque los datos estén cifrados.