¿Qué es la seguridad en la nube?

La seguridad en la nube es una responsabilidad compartida entre los proveedores de servicios en la nube y sus clientes. La responsabilidad varía dependiendo del tipo de servicios ofrecidos:

Infraestructura como servicio. En este modelo, los proveedores de servicios en la nube ofrecen recursos informáticos, de red y de almacenamiento a petición. El proveedor es responsable de la seguridad de los servicios informáticos básicos. Los clientes deben proteger el sistema operativo y todo lo que se le agrega, por ejemplo, las aplicaciones, los datos, los entornos de ejecución y el middleware.

Plataforma como servicio. Muchos proveedores también ofrecen un entorno de desarrollo e implementación completo en la nube. Son responsables de proteger el entorno de ejecución, el middleware y el sistema operativo, además de los servicios informáticos básicos. Los clientes deben proteger sus aplicaciones, los datos, el acceso de los usuarios, los dispositivos de usuario final y las redes de usuario final.

Software como servicio. Las organizaciones también pueden acceder al software con un modelo de pago por uso como, por ejemplo, Microsoft Office 365 o Google Drive. En este modelo, los clientes también tienen que proporcionar seguridad para sus datos, usuarios y dispositivos.

Cuatro herramientas ayudan a las empresas a proteger sus recursos en la nube:

• Una plataforma de protección de cargas de trabajo en la nube permite proteger los recursos informáticos, de red y de almacenamiento que necesitan las aplicaciones en la nube. Funciona mediante la identificación de cargas de trabajo en entornos de nube pública, privada e híbrida, y su examen en busca de vulnerabilidades. Si se descubren vulnerabilidades, la solución recomendará controles para corregir los problemas.
• Los agentes de seguridad de aplicaciones en la nube ofrecen a los equipos de TI visibilidad sobre el uso de las aplicaciones en la nube y proporcionan una evaluación de riesgos de cada aplicación. Estas soluciones también permiten proteger los datos y satisfacer los objetivos de cumplimiento con herramientas que muestran cómo se mueven los datos en la nube. Las organizaciones también usan los agentes de seguridad de aplicaciones en la nube para detectar comportamientos inusuales de los usuarios y corregir amenazas.
• Una solución de administración de la posición de seguridad en la nube permite reducir el riesgo mediante la búsqueda continua de errores de configuración que pueden provocar una vulneración. Al automatizar el proceso, estas soluciones reducen el riesgo de errores en los procesos manuales y aumentan la visibilidad de los entornos con miles de servicios y cuentas. Una vez detectadas las vulnerabilidades, estas soluciones proporcionan recomendaciones guidas para ayudar a los desarrolladores a corregir el problema.
• Las soluciones de administración de identidad y acceso proporcionan herramientas para administrar identidades y aplicar directivas de acceso. Las organizaciones usan estas soluciones para limitar el acceso a recursos confidenciales y aplicar un acceso con privilegios mínimos y la autenticación multifactor.
• Una plataforma de protección de aplicación nativa en la nube (CNAPP) ayuda a los equipos de seguridad a incorporar la seguridad desde el código a la nube. La CNAPP unifica las capacidades de cumplimiento y seguridad para prevenir, detectar y responder a las amenazas de seguridad en la nube, desde el desarrollo hasta el entorno de ejecución.
• La administración de seguridad unificada de DevOps permite a los equipos de seguridad unificar, reforzar y administrar la seguridad de varias canalizaciones; probar la seguridad desde las etapas más tempranas para incorporarla en el propio código; y dar soporte a las protecciones desde el código a la nube en una única consola.

Hay cuatro áreas que las organizaciones deben tener en cuenta cuando implementan procedimientos y directivas para proteger sus nubes:

• Limitación del acceso: Como la nube permite que todo sea accesible desde Internet, es sumamente importante asegurarse de que solo las personas adecuadas tengan acceso a las herramientas correctas el tiempo que sea necesario.
• Protección de los datos: Las organizaciones deben saber dónde se encuentran sus datos y aplicar los controles correspondientes para proteger la infraestructura donde se hospedan y almacenan los datos y los propios datos.
• Recuperación de datos: Una buena solución de copia de seguridad y un buen plan de recuperación de datos son fundamentales en el caso de se produzca una vulneración.
• Plan de respuesta: Cuando se vulnera la seguridad de una organización, necesita un plan para reducir el impacto y evitar que otros sistemas se vean en peligro.
• Probar la seguridad desde las etapas más tempranas: los equipos de seguridad y desarrollo colaboran para incorporar la seguridad en el código, para que las aplicaciones nativas de nube empiecen seguras y se mantengan seguras.
• Unificar la visibilidad de la posición de seguridad de DevOps: reduce al mínimo los puntos ciegos con un panel único para extraer información de la posición de seguridad de DevOps en las plataformas de DevOps.
• Mantener los equipos de seguridad centrados en las amenazas emergentes: refuerza las configuraciones de los recursos en la nube en el código para reducir los problemas de seguridad que llegan a los entornos de producción.

Las organizaciones deben vigilar los siguientes riesgos de seguridad:

• Cuentas en peligro: Los atacantes a menudo usan campañas de phishing para robar contraseñas de empleados y obtener acceso a sistemas y valiosos activos corporativos.
• Vulnerabilidades de hardware y software: Tanto si la organización usa una nube pública como si usa una privada, es fundamental que el hardware y el software estén actualizados y que se apliquen las revisiones oportunas.
• Amenazas internas: El error humano es una de las principales causas de las vulneraciones de seguridad. Los errores de configuración pueden abrir la puerta a usuarios malintencionados. Los empleados a menudo hacen clic en vínculos malintencionados o mueven accidentalmente datos a ubicaciones con menos seguridad.
• Falta de visibilidad de los recursos en la nube: este riesgo en la nube dificulta la detección y la respuesta a las amenazas y las vulnerabilidades de seguridad, que pueden provocar brechas y pérdidas de datos.
• Falta de priorización de riesgos: cuando los administradores de seguridad tienen visibilidad de los recursos en la nube, el número de recomendaciones para mejorar la posición de seguridad puede ser abrumador. Es importante priorizar los riesgos, para que los administradores sepan dónde centrarse para tener el máximo impacto en la seguridad.
• Permisos en la nube de alto riesgo: la proliferación de identidades y servicios en la nube ha aumentado el número de permisos de alto riesgo en la nube, lo que amplía las posibles superficies de ataque. La métrica del índice de exceso de permisos (PCI) mide cuánto daño pueden provocar las identidades en función de sus permisos.
• Panorama de amenazas emergentes: el riesgo de la seguridad en la nube está evolucionando constantemente. Para protegerte contra vulneraciones de seguridad y la pérdida de datos, es importante estar actualizado a medida que emergen nuevas amenazas.
• Falta de integración entre la seguridad y el desarrollo nativo de nube: es fundamental que los equipos de seguridad y desarrollo colaboren para identificar y corregir los problemas de código antes de desplegar la aplicación en la nube.

La seguridad en la nube hace referencia a las tecnologías, los procedimientos, las directivas y los controles que permiten proteger los datos y los sistemas basados en la nube. Entre algunos ejemplos de seguridad en la nube, se incluyen:

• Herramientas como un agente de seguridad de acceso a la nube para aumentar la visibilidad de las aplicaciones y los datos que usa una organización.
• Una administración de la posición de seguridad en la nube para poder identificar y corregir errores de configuración.
• Herramientas para ayudar a los equipos de seguridad y desarrollo a colaborar para incorporar la seguridad en el propio código.
• Una plataforma de protección de cargas de trabajo en la nube para aumentar la seguridad del proceso de desarrollo.
• Implementación de directivas para mantener actualizados los dispositivos de los empleados, incluidas las revisiones periódicas de software.
• Establecimiento de un programa de entrenamiento para garantizar que los empleados conozcan las últimas amenazas y tácticas de phishing.

Al proteger los datos y los sistemas en la nube de amenazas internas y externas, la seguridad en la nube reduce el riesgo de un ciberataque. La seguridad en la nube también admite modelos de trabajo híbrido, al controlar quién tiene acceso a los recursos, tanto si los empleados, los contratistas y los partners comerciales trabajan de forma remota como si lo hacen en el sitio. Otra ventaja es que la seguridad en la nube mejora la privacidad de los datos y ayuda a las organizaciones a cumplir normativas como el RGPD y la HIPAA. El incumplimiento de estas normativas puede implicar el pago de caras multas o daños en la reputación.

Los procedimientos recomendados para la seguridad en la nube abarcan todos los procesos, controles y tecnología de tu organización, por ejemplo:

• Asegurarse de que la plataforma de aplicaciones nativas de nube incluye una plataforma de protección de cargas de trabajo en la nube, la administración de derechos de la infraestructura en la nube y la administración de la posición de seguridad en la nube, para ayudarte a reducir errores, reforzar la seguridad y administrar el acceso de manera eficaz.
• Realizar entrenamientos periódicos para ayudar a los empleados a reconocer campañas de phishing y otras técnicas de ingeniería social. Asimismo, implementar procesos que te ayuden a prevenir, detectar y responder a un ataque, por ejemplo, el cifrado de datos confidenciales, la revisión periódica del software y el hardware, y el desarrollo de directivas de contraseñas seguras.
• Adoptar un marco de confianza cero que verifique explícitamente todas las solicitudes de acceso. Esto incluye usar el acceso con privilegios mínimos para darles a las personas acceso solo a los recursos que necesitan y a nada más.
• Probar la seguridad desde las etapas más tempranas en la canalización de DevOps permite que los equipos de seguridad y desarrollo colaboren para incorporar la seguridad en el código, para que las aplicaciones nativas de nube empiecen seguras y se mantengan seguras.