Implemente la protección de datos en cada paso del uso
Los datos estáticos, los enlaces de transmisión y las claves de cifrado deben gestionarse juntos. Planificamos acuerdos de cifrado, control de acceso y respaldo basados en productos específicos y escenarios de implementación, y aclaramos los límites de responsabilidad, los requisitos de configuración y los mecanismos de recuperación en el momento de la entrega. Las capacidades de cifrado específicas están sujetas a la documentación técnica del servicio correspondiente.
Datos en reposo
La protección de datos en reposo puede utilizar tecnologías como AES-256, combinando gestión de claves, control de acceso y copias de seguridad según el despliegue real.
Datos en tránsito
La protección del transporte utiliza protocolos como TLS e IPsec según lo configurado por el servicio. La especificación actual de TLS 1.3 se refiere a RFC 9846; la versión del protocolo, el conjunto de algoritmos y la configuración del certificado están sujetos al punto final real y a los documentos técnicos.
Claves de cifrado
Las claves y otros secretos deben gestionarse según permisos, acceso restringido y organizar su almacenamiento, rotación y recuperación de acuerdo con los acuerdos de servicio. Las claves administradas por el cliente y administradas por el servicio deben tener un control y responsabilidades claros, respectivamente.
Principios de procesamiento de solicitudes de datos
Cuando los gobiernos u otras agencias realizan solicitudes de datos, revisamos la identidad de la parte solicitante, la base legal, la jurisdicción y el alcance de la solicitud. En la medida en que lo permita la ley aplicable, se da prioridad a exigir a las partes solicitantes que soliciten información directamente a los clientes y que limiten la divulgación a lo que sea legal y necesario. Solicitar aclaraciones o plantear objeciones legales a solicitudes que no tengan una base suficiente, un alcance poco claro o sean demasiado amplias.
Nuestros compromisos:
- 1. No proporcione puertas traseras generales ni claves maestras con el fin de eludir la autenticación normal y el control de acceso. Las solicitudes gubernamentales o policiales están sujetas a revisión caso por caso a través de los procedimientos legales aplicables.
- 2. Mejorar continuamente los procesos de divulgación de información, control de acceso y respuesta, y promover el procesamiento de datos transparente y rastreable.
- 3. Revisar la identidad, autoridad, base legal y necesidad de las solicitudes de datos; no proporciona acceso ilimitado a los datos del cliente. Cuando lo permita la ley y sea razonablemente posible, dirigir las solicitudes a los clientes y manejar las disputas de acuerdo con el contrato y los procedimientos aplicables.
Ante una solicitud de las autoridades:Después de recibir una solicitud válida que involucre datos del cliente, notificar al cliente de inmediato en la medida permitida por la ley y razonablemente factible, explicando la naturaleza de la solicitud y el contenido que puede divulgarse. No se realizará ninguna divulgación relevante sin instrucciones del cliente o base legal válida; cuando la divulgación sea requerida por ley, el alcance se limitará a la información necesaria.
Principios de transparenciaValoramos la transparencia al gestionar solicitudes de datos y divulgamos información agregada apropiada cuando la ley lo permite, protegiendo la privacidad, los secretos comerciales y la confidencialidad legal de las investigaciones.
Genere confianza a largo plazo con estándares claros
Cloudlung planifica la gobernanza de seguridad, la protección de datos y las responsabilidades según la ubicación, los tipos de datos y el alcance del despliegue. Las normas internacionales y la regulación aplicable orientan las medidas técnicas y organizativas. Las certificaciones, evaluaciones y responsabilidades se definen en los certificados, documentos técnicos y contratos correspondientes.
Normas de seguridad y marcos de evaluaciónEsta sección presenta normas y marcos de evaluación para servicios cloud, privacidad y aplicaciones criptográficas. Cada proyecto selecciona los requisitos según el uso, los límites del sistema y la región de despliegue. Los certificados, registros oficiales y documentos técnicos definen el alcance de certificaciones y autorizaciones.
Seleccionar estándares aplicables según escenariosLos sistemas de gestión, la seguridad cloud, los datos personales, los módulos criptográficos y las autorizaciones sectoriales abarcan límites distintos. La planificación parte del uso para definir objetivos de evaluación, alcance de implantación y requisitos de entrega.
Referencia estándar de productos y servicios.
FIPS 140-3 · Verificación del módulo de contraseña
FIPS 140-3 es la norma actual del Programa de Validación de Módulos Criptográficos (CMVP), gestionado por NIST y el Centro Canadiense de Ciberseguridad. Define cuatro niveles, con el nivel 4 como máximo. La validación cubre un módulo, versión y entorno concretos. Las validaciones FIPS 140-2 pasaron a la lista histórica el 22 de septiembre de 2026; su uso en sistemas existentes depende de la política aplicable.ITAR · Reglamento de Control Comercial de Defensa
ITAR es una regulación de control comercial de defensa de EE. UU. contenida en 22 CFR Partes 120-130, administrada por la Oficina de Controles Comerciales de Defensa del Departamento de Estado de EE. UU. Implica el control de las exportaciones de artículos, datos técnicos y servicios de defensa específicos. No es una certificación general de seguridad en la nube, ni se puede afirmar que cumple con todos los requisitos solo porque utiliza una determinada tecnología.FedRAMP · Evaluación y autorización de servicios en la nube
FedRAMP proporciona un marco de evaluación de seguridad, autorización y monitoreo continuo para el uso de servicios en la nube por parte de las agencias federales de EE. UU. El estado relevante corresponde al servicio en la nube específico y su límite de autorización, y debe estar sujeto a los registros vigentes y los materiales aplicables en el Mercado oficial.FIPS 199 establece la categorización de seguridad de información y sistemas; NIST SP 800-53 aporta un catálogo de controles de seguridad y privacidad. El estado FedRAMP corresponde a un servicio cloud y a un límite de autorización concretos, según su registro.
Departamento de Defensa · Requisitos de seguridad en la nube específicos de la misión
Los requisitos cloud del Departamento de Defensa de Estados Unidos distinguen niveles de impacto según la sensibilidad de los datos y la misión. IL2 e IL5 se aplican a escenarios concretos; cada proyecto evalúa el alcance del servicio, la autorización y los requisitos de la misión.GB/T 39786-2021 · Aplicación de contraseña del sistema de información
Esta norma nacional vigente define requisitos criptográficos según el nivel de seguridad del sistema: entorno físico, redes, equipos, computación, aplicaciones, datos y gestión. Orienta el diseño, la implantación y la evaluación de aplicaciones criptográficas.Productos criptográficos comerciales y protocolos de red.
Para conocer la versión actual relacionada con la red y la puerta de enlace, consulte: GM/T 0022-2023 "Especificaciones técnicas de VPN IPSec". Los siguientes campos técnicos y versiones alternativas verificadas se enumeran a continuación. Los requisitos aplicables están sujetos a la convocatoria de la Administración Estatal de Criptozoología, productos específicos y alcance de evaluación:
GM/T 0023-2023 · Especificaciones del producto Puerta de enlace VPN IPSecGM/T 0024-2023 · Especificaciones técnicas de VPN SSL
GM/T 0025-2023 · Especificaciones del producto de puerta de enlace VPN SSL
GM/T 0026-2023 · Especificaciones del producto de puerta de enlace de autenticación de seguridad
Clave de contraseña inteligente: evaluada según las especificaciones del producto aplicables y los requisitos de la interfaz de la aplicación de contraseña GM/T 0016-2023.
GM/T 0028-2024 · Requisitos de seguridad para módulos criptográficos
Servidor de verificación de firmas: verifique las especificaciones aplicables y los materiales de prueba de acuerdo con los límites específicos del producto.
Máquina criptográfica del servidor: Verifique el modelo del producto, la certificación válida y el entorno operativo real.
Firma electrónica: Distinguir entre tecnología criptográfica, interfaz de aplicación y efecto jurídico. La interfaz se refiere a GM/T 0131-2023.
Autorización y control de acceso: Diseñe y verifique por identidad, rol, privilegios mínimos y requisitos de auditoría.
GM/T 0033-2023 · Especificación de interfaz de marca de tiempo
Sistema de autenticación de certificados: verificado según el algoritmo SM2 aplicable, el formato del certificado digital y los requisitos del protocolo.
Sistema de identificación por radiofrecuencia: seleccione los requisitos de contraseña aplicables según las etiquetas, los dispositivos de lectura y escritura y los entornos de aplicaciones.
Acceso con tarjeta sin contacto: combinación de medios, gestión de claves y evaluación del alcance de la integración del sistema.
Pruebas del sistema de certificación de certificados: Verifique las especificaciones de prueba y los informes de prueba aplicables.
Gestión de claves de autenticación de certificados: Verifique la gestión del ciclo de vida de las claves y el alcance de detección.
Detección de contraseñas e interoperabilidad
Las siguientes ediciones, actualizadas por el anuncio n.º 50 de la Administración Estatal de Criptografía, entraron en vigor el 1 de julio de 2025 para las pruebas de seguridad y evaluaciones de interoperabilidad correspondientes:
GM/T 0039-2024·Requisitos de pruebas de seguridad para módulos criptográficosGM/T 0040-2024 · Especificación de detección de contraseña del módulo de etiqueta RFID
GM/T 0041-2024 · Especificaciones de detección de contraseña de tarjeta IC inteligente
Protocolo ternario de seguridad de contraseña de igual a igual: verifique las especificaciones de prueba aplicables y el alcance de los informes de acuerdo con el protocolo específico.
GM/T 0043-2024 · Especificación de detección de interoperabilidad de certificados digitales
Referencias normativas vigentes
Versiones de normas actualizadas el 18 de octubre de 2026.
La gestión de seguridad, la seguridad cloud y la privacidad tienen enfoques diferentes. Los controles técnicos y organizativos conectan las normas con los casos de uso reales.
ISO/IEC 27001:2022 (incluida Amd 1:2024) · Sistema de gestión de seguridad de la información
Un marco para gestionar la seguridad de la información mediante la evaluación de riesgos, las responsabilidades y la mejora continua.
Ver información estándar oficial ↗ISO/IEC 27017:2026 · Control de seguridad del servicio en la nube
Controles específicos del entorno cloud que aclaran las responsabilidades de seguridad de clientes y proveedores.
Ver información estándar oficial ↗ISO/IEC 27018:2025 · Protección de información personal en la nube pública
Directrices de privacidad para servicios de nube pública que actúan como encargados del tratamiento de datos personales.
Ver información estándar oficial ↗ISO/IEC 27701:2025 · Sistema de gestión de información de privacidad
Un sistema de gestión de la privacidad que aborda la gobernanza, la responsabilidad y la mejora continua.
Ver información estándar oficial ↗TLS 1.3 · RFC 9846
TLS 1.3 protege el transporte de datos a nivel de protocolo. La seguridad también depende de certificados, conjuntos criptográficos y despliegue de los extremos.
Ver información estándar oficial ↗FIPS 203/204/205 · Estándar de criptografía post-cuántica
ML-KEM, ML-DSA y SLH-DSA abordan encapsulación de claves y firmas digitales, como base normativa para la migración criptográfica a largo plazo y la selección de tecnologías.
Ver información estándar oficial ↗GB/T 22239-2019 · Requisitos básicos para la protección del nivel de seguridad de la red
La protección graduada de ciberseguridad se organiza por sistema de información, combinando clasificación, registro, mejoras y evaluación con medidas acordes a su nivel.
Ver información estándar oficial ↗Uptime Tier IV · Referencia del nivel de tolerancia a fallas del centro de datos
Tier IV es el máximo de los cuatro niveles Uptime y destaca la tolerancia a fallos. Las certificaciones de diseño, instalación construida y operación tienen alcances distintos; el nivel de cada centro se determina por su certificado.
Ver información estándar oficial ↗