La seguridad en la nube es una responsabilidad compartida


Muchas empresas grandes y pequeñas están trasladando sus datos y procesamiento a la Nube para aprovechar la flexibilidad, la eficiencia y el ahorro de costos que conlleva.

Sin embargo, a veces existe la idea errónea de que el traslado a la nube también libera a la organización de la responsabilidad de la seguridad . La gestión de seguridad de las instancias en la nube es diferente de la infraestructura fija y puede ser compleja y desconocida. Como resultado, hubo muchos ejemplos de infracciones de seguridad causadas por Desconfiguración de servicios en la nube aumentando año tras año.

La responsabilidad de la seguridad en la nube varía según la naturaleza del servicio en la nube, y cada proveedor tiene un modelo diferente. Sin embargo, en el nivel superior, se puede aplicar lo siguiente:

  • En Infraestructura como servicio (IaaS), el proveedor gestiona la infraestructura física, las interfaces de red, el procesamiento y los hipervisores junto con el cliente. Administre la red virtual, máquinas virtuales, sistemas operativos, middleware, aplicaciones, interfaces y datos.
  • Sin embargo, el proveedor asume más responsabilidad por Plataforma como servicio (PaaS). El cliente continúa siendo responsable de las aplicaciones, interfaces y datos.
  • En Software as a Service (SaaS), la responsabilidad del cliente se limita a la seguridad de las interfaces y los datos.

En todos los casos, el cliente es responsable del control de acceso, donde se producen la mayoría de las configuraciones erróneas. Además, la mayoría de las compañías operarán más de un modelo dependiendo de su negocio.

Asegúrese de elegir un proveedor de la nube.

Por supuesto, todavía habrá una infraestructura en el sitio que necesita protección, incluso usuarios remotos.

Las pequeñas y medianas empresas (PYMES) suelen permitir a los usuarios remotos conectarse directamente a la nube, por lo que prácticamente no tienen infraestructura propia. De hecho, las organizaciones muy pequeñas solo pueden tener usuarios remotos, y todos los 4G o Wi-Fi se conectan directamente a la nube.

Para las organizaciones más grandes, especialmente aquellas que mantienen infraestructuras en el campo, muchos prefieren que los usuarios remotos se conecten a sus sitios de origen para que puedan autenticarse por completo utilizando la autenticación multifactor antes de acceder a la nube del sitio u otros recursos con un solo sistema de inicio de sesión. Lo mismo se aplica a proveedores o socios externos a los que se les permite el acceso. Aquí, un Cloud Access Security Broker ubicado entre el proveedor del servicio en la nube y el consumidor del servicio también puede ayudar a extender los controles de la infraestructura local a la nube.

Cuáles serán las responsabilidades de seguridad compartidas Dependiendo del proveedor, es importante determinar sus necesidades de seguridad antes de contactar a los proveedores de la nube para que pueda evaluar con precisión su parte de las responsabilidades individuales del proveedor.

Después de elegir un proveedor, el mensaje central es que la configuración de la nube es crítica para la seguridad y necesita ser controlada. Al mismo tiempo, es importante no destruir los beneficios de la nube con controles excesivamente celosos. El mejor enfoque es reunir a la seguridad de la información, las organizaciones de gestión de infraestructura, el equipo de operaciones de seguridad y los representantes de todos los equipos DevOps . Luego se les puede informar y acordar cómo manejar el problema, y ​​se pueden identificar las contribuciones de cada equipo.

Creación de un plan integral de configuración de la nube

La configuración de la nube puede ser compleja Haga un plan integral y asegúrese de que los responsables de la configuración estén completamente capacitados y tengan el soporte adecuado.

Antes del inicio, la configuración también debe revisarse para asegurarse de que cumple con la planificación y que sus objetivos de seguridad son efectivos y exitosos. Esto se puede hacer con herramientas de terceros o probadores de seguridad externos. Estos últimos a menudo proporcionan un valor agregado al buscar cosas que se pasaron por alto en el plan de seguridad original.

Debido a que la nube está estandarizada, existen varias herramientas de terceros que pueden monitorear constantemente las configuraciones. Por lo tanto, la configuración incorrecta se puede detectar temprano. Monitoreo del tráfico de red y El análisis de comportamiento del usuario (UBA) también se puede utilizar para identificar anomalías y configuraciones incorrectas, así como los problemas que ocurren debido a una configuración incorrecta.

En resumen, esto se aplica a cualquier infraestructura, la seguridad debe planificarse desde el principio. Esto comienza antes de elegir un proveedor. Solo puedes asegurar lo que entiendes. Por lo tanto, la capacitación y el soporte son esenciales para que el sistema se configure de forma segura. Finalmente, revise, pruebe y monitoree si los controles de seguridad están cumpliendo sus objetivos.



Software trazabilidad de Cea Ordenadores