Fuerza TLS moderno en cada salto, incluido el tráfico interno entre servicios, y usa certificados gestionados para que la renovación sea automática. Cifra en reposo todos los almacenes de datos con claves de un servicio gestionado de claves, usando tus propias claves gestionadas por el cliente donde necesites control de acceso separado, auditoría o la capacidad de revocar. Controla el acceso mediante políticas de clave, activa la rotación y registra cada uso de clave. Cifra los campos sensibles en el cliente cuando ni siquiera la plataforma deba poder leerlos.
Por qué lo preguntan los entrevistadores
El entrevistador quiere ver si piensas en el control de claves en vez de solo marcar la casilla del cifrado, ya que las claves por defecto de la plataforma te dan cifrado con casi ninguna separación de funciones. También escuchan si mencionas el tráfico interno, porque muchos entornos tienen TLS en el borde y texto plano por detrás. Mencionar políticas de clave y registros de auditoría demuestra que entiendes que el punto de control real es la clave.
Cómo estructurar tu respuesta
- Cubre primero el tránsito, incluidos los saltos internos.
- Cubre el reposo y por qué importan las claves gestionadas por el cliente.
- Explica la política de clave, la rotación y la auditoría como el control real.
- Añade cifrado en el cliente o a nivel de campo para lo más sensible.
Ejemplo de respuesta
En tránsito, TLS moderno en todas partes, y me refiero también al tráfico interno, no solo al borde, porque asumir que la red privada es segura dejó de ser defendible hace mucho. Certificados gestionados para todo lo público, para que la renovación no sea una tarea manual que alguien olvida. En reposo, todos los almacenes cifrados, y la decisión importante es de quién es la clave. Las claves por defecto de la plataforma te dan el cifrado pero casi ninguna separación de funciones, así que para cualquier cosa sensible uso claves gestionadas por el cliente, una por dominio de datos, porque entonces la política de clave es un control de acceso de verdad: puedo darle a un rol concreto derechos de descifrado, auditar cada uso de la clave y revocar el acceso a un conjunto de datos entero cambiando una política en vez de perseguir permisos. La rotación está activada y los logs de uso de clave van al mismo sitio que todo lo demás. Para los campos más sensibles, cosas como tokens o identificadores personales, cifro en el cliente antes de escribirlos, así el servicio de almacenamiento solo ve texto cifrado. Eso te cuesta poder consultarlo, así que es deliberadamente estrecho, aplicado a campos concretos y no a todo.
¿Tienes esta entrevista a la vuelta de la esquina? GhostPilot escucha tu llamada en vivo, detecta la pregunta en cuanto la hacen y pone una respuesta estructurada en tu pantalla en tiempo real. Pruébalo en tu próxima entrevista de práctica, o coge un Session Pass de $29, sin suscripción, para la de verdad.
Mira cómo funcionaPreguntas de seguimiento que puedes esperar
- ¿Cuál es el beneficio práctico de una clave gestionada por el cliente frente a una por defecto?
- ¿Cómo revocarías el acceso a un conjunto de datos de inmediato?
- ¿Cómo manejas la rotación de claves para datos ya cifrados?
Más preguntas para Ingeniero de nube
Tu entrevistador hará su propia versión de esta. Pega la descripción real del puesto en el Question Predictor gratuito y obtén las 20 preguntas que ese puesto tiene más probabilidades de hacerte, con lo que cada una busca en realidad.
Predecir mis preguntas