Requisitos técnicos para el etiquetado de datos en redes: utilizar protocolos de transporte seguros como HTTPS para la transmisión cifrada
Se ha publicado la «Guía práctica de estándares de ciberseguridad: requisitos técnicos para el etiquetado de datos en redes», que exige que el remitente de datos utilice protocolos de transporte seguros como HTTPS para la transmisión cifrada y refuerce la gestión de trazabilidad durante todo el ciclo de vida de los datos.
La «Guía de prácticas estándar de ciberseguridad: requisitos técnicos para el etiquetado de datos en red» establece los términos y definiciones, el formato de atributos, las reglas de generación, las reglas de marcado, las reglas de verificación, los requisitos de conservación de registros y los requisitos de protección de seguridad de la tecnología de etiquetado de datos en red; exige que el remitente de los datos utilice protocolos de transmisión seguros como HTTPS para cifrar la transmisión.
Recientemente se publicó formalmente la «Guía de prácticas estándar de ciberseguridad: requisitos técnicos para el etiquetado de datos en red» (en adelante, la «Guía de prácticas»), elaborada bajo la organización de la Secretaría del Comité Técnico Nacional de Normalización de Ciberseguridad. Esta «Guía de prácticas» se ha formulado conforme a los requisitos de leyes y reglamentos como la Ley de Ciberseguridad, la Ley de Seguridad de los Datos, la Ley de Protección de la Información Personal y el Reglamento de Gestión de la Seguridad de los Datos en Red, con el fin de orientar a los responsables del tratamiento de datos en red en el uso de la tecnología de etiquetado de datos para mejorar el nivel de gestión de la seguridad de los datos en red.
La «Guía de prácticas» establece los términos y definiciones, el formato de atributos, las reglas de generación, las reglas de marcado, las reglas de verificación, los requisitos de conservación de registros y los requisitos de protección de seguridad de la tecnología de etiquetado de datos en red; puede utilizarse para ayudar a los responsables del tratamiento de datos en red a etiquetar los datos y, sobre esta base, se centra en la protección clasificada y jerarquizada de los datos importantes y la información personal, reforzando la gestión de trazabilidad de los datos durante todo su ciclo y proceso. En los requisitos de protección de seguridad se menciona que el remitente de los datos debe utilizar protocolos de transmisión seguros como HTTPS para cifrar la transmisión. El contenido pertinente es el siguiente:
7.2.2 Datos estructurados: modo síncrono
Cuando los procesadores de datos en red etiquetan datos estructurados en escenarios dinámicos de forma síncrona, deben cumplir los siguientes requisitos:
- a) El emisor de datos debe encapsular automáticamente el identificador de etiqueta dinámica generado en la cabecera del protocolo de capa de aplicación, vincularlo con el objeto de datos y transmitirlo sincrónicamente junto con el objeto de datos.
- b) El receptor de datos debe analizar, extraer e identificar automáticamente el identificador de etiqueta dinámica.
Ejemplo: Los datos estructurados generalmente se transmiten mediante interfaces API, y el protocolo de capa de aplicación suele ser HTTPS. La implementación concreta consiste en añadir lógica de vinculación de etiquetas en el módulo unificado de llamadas HTTP del sistema, de modo que el programa genere automáticamente el identificador de etiqueta dinámica antes del envío de datos y lo escriba en el nuevo atributo de identificador de etiqueta dinámica creado en la cabecera del protocolo HTTP, transmitiéndolo con el objeto de datos mediante cifrado TLS. Para más detalles, véase el Anexo B.4.
En el sistema del receptor de datos, es necesario añadir una función de procesamiento del identificador de etiqueta dinámica durante el manejo del protocolo HTTPS, para identificar, analizar y extraer automáticamente el identificador de etiqueta dinámica de la cabecera de la solicitud. Para la implementación concreta, puede consultarse el Anexo C.
7.2.3 Datos estructurados: modo asíncrono
Los procesadores de datos de red que realizan etiquetado estructurado de datos en escenarios dinámicos de forma asíncrona cumplen los siguientes requisitos:
- El remitente de datos debe generar un identificador de etiqueta dinámica antes de transmitir el objeto de datos y completar el enlace lógico entre el identificador de etiqueta dinámica y el objeto de datos.
- El remitente de datos debe transmitir por separado el objeto de datos y el identificador de etiqueta dinámica de la manera acordada con el receptor de datos, incluyendo, entre otros, la transmisión a través de diferentes interfaces API o en diferentes secuencias.
Ejemplo: En el etiquetado asíncrono de datos, el remitente y el receptor de datos acuerdan que tanto la interfaz API de transmisión del objeto de datos como la interfaz de transmisión del identificador de etiqueta dinámica utilicen el protocolo HTTPS. Por ejemplo, la interfaz de transmisión del objeto de datos es https://xxx/data y la interfaz de transmisión del identificador de etiqueta dinámica es https://xxx/label.
10.1 Transmisión cifrada
El remitente de datos debe utilizar un protocolo de transmisión seguro como HTTPS para cifrar la transmisión de los identificadores de etiquetas de datos de red, pudiendo consultarse GB/T 38636, entre otros.
Fuente: Comité Técnico Nacional de Normalización de Seguridad de Redes