El significado de rotar dependerá de la política de seguridad del propietario de los datos.
Puede ayudar a comprender cómo se administran las claves con frecuencia mediante un gráfico de estado del ciclo de vida de las claves. Un ciclo de vida clave típico es el siguiente:
- Generado (nuevo, no se utilizará todavía)
- Activo (cifrar / descifrar)
- Inactivo (solo descifrar)
- Retirado (clave destruida irrevocablemente)
Además, se pueden definir estados para claves que son "sospechosas", "perdidas" y / o "comprometidas".
Las reglas se definen con respecto a cómo y cuándo una clave pasará de un estado a otro, qué transiciones son legales y cuándo. También verás una regla de que si se compromete una clave, será necesario volver a cifrar todos los datos con una nueva clave (entre muchas otras tareas de recuperación de desastres).
En algunas organizaciones, una rotación de clave requerirá que una clave girada se cambie a un estado inactivo, y será necesario generar una nueva versión de la clave para cifrar nuevos datos. Cuando la nueva clave se activa, la antigua clave se desactiva. Los datos antiguos permanecen cifrados con su misma clave antigua hasta que la clave se retira, y luego se destruye la clave antigua. De esta manera, los datos antiguos no tienen que ser descifrados y luego re-cifrados con la nueva clave. La aplicación que consume los datos debe utilizar la misma versión de la clave que se utilizó cuando se cifraron los datos.
Otras organizaciones pueden no tener un estado inactivo, y una rotación de clave requerirá que se retire la clave antigua y que todos los datos previamente encriptados se vuelvan a cifrar.