c6.2 Cifra los datos del usuario y aísla las sesiones
Cifra las entradas del usuario, el historial de conversación y las salidas generadas por la IA con una clave gestionada por el cliente, y aísla las sesiones para que el contexto de un usuario no pueda alcanzar el de otro.
Guía de implementación
Cómo implementarlo en AWS
Cifra las entradas, el historial de conversación y las salidas en tránsito (TLS 1.2+) y en reposo con una clave KMS gestionada por el cliente (Q Developer, Quick y Kiro soportan claves gestionadas por el cliente). Aísla las sesiones de usuario y fija políticas de retención/memoria alineadas a tus obligaciones de cumplimiento.
Criterios de aceptación
Los datos del usuario se cifran con CMK en tránsito y en reposo; las sesiones se aíslan por usuario; las políticas de retención se aplican.
Implementación práctica
Cómo se implementa este control en cada arquitectura de referencia:
Las entradas del usuario, el historial de conversación y las salidas se cifran con CMK en tránsito y en reposo, las sesiones se aíslan por usuario y la retención se alinea a las obligaciones de cumplimiento.
- Cifra las entradas, el historial de conversación y las salidas en tránsito (TLS 1.2+) y en reposo con una clave KMS gestionada por el cliente (Q Developer, Quick y Kiro soportan CMKs).Cuenta de aplicación
AWS KMS - Aísla las sesiones de usuario para que el contexto de uno no pueda alcanzar el de otro.Cuenta de aplicación
IAM Identity Center - Fija políticas de retención y memoria alineadas a tus obligaciones de cumplimiento, y mantén la clave KMS acotada a los roles de la app.Cuenta de aplicación AWS KMS
IAM
Cómo validar: Los datos del usuario se cifran con CMK en tránsito y en reposo; las sesiones se aíslan por usuario; las políticas de retención se aplican.
Evita: Persistir el historial de conversación con claves por defecto y sin límite de retención. Cifra con tu propia clave y acota cuánto viven los datos del usuario.
Cifrado CMK en tránsito y en reposo, aislamiento de sesión por usuario y retención impuesta protegen los datos del usuario dentro de la cuenta.
- Cifra las entradas, el historial y las salidas en tránsito (TLS 1.2+) y en reposo con una clave KMS gestionada por el cliente.Capa de aplicación (rol IAM) AWS KMS
- Aísla las sesiones de usuario para evitar la fuga de contexto entre usuarios.Capa de aplicación (rol IAM) IAM Identity Center
- Impón políticas de retención/memoria alineadas al cumplimiento.Capa de aplicación (rol IAM) AWS KMS
Cómo validar: Los datos del usuario se cifran con CMK en tránsito y en reposo; las sesiones se aíslan; la retención se aplica.
Evita: Guardar todo el historial del usuario para siempre con una clave compartida. Acota el cifrado y la retención a lo que el cumplimiento requiere.
Amenazas que atiende
- Entradas de usuario o salidas de IA sensibles legibles si las claves por defecto o el almacenamiento se comprometen.
- Fuga de datos entre sesiones de usuario o entre aplicaciones de IA.
Servicios AWS
AWS KMS AWS IAM Identity Center Mapeos de frameworks
OWASP GenAI/LLM Top 10 (2026)
- LLM02 Sensitive Information Disclosure
NIST AI Risk Management Framework (AI 100-1)
- MANAGE.1 AI risks are prioritized, responded to and managed
AWS Well-Architected Generative AI Lens (Security)
- GENSEC01-BP03 Implement least privilege access to data stores
Recursos de aprendizaje
Referencias
- AWS SRA para IA — Capacidad 6, Protección de datos