Estrategias esenciales de seguridad en la nube para minimizar riesgos, amenazas y vulnerabilidades

¿Asumes que tus datos en la nube están respaldados y a salvo de amenazas? No tan rápido.

Con un número récord de ciberataques en 2018, está claro que todos los datos están bajo amenaza.

Todos siempre piensan "A mí no me pasará". La realidad es que ninguna red es 100 % segura contra hackers.

Según Kaspersky Lab, el ransomware aumentó más del 250 % en 2018 y continúa en una dirección muy preocupante. Seguir los consejos presentados aquí es la póliza de seguro definitiva contra los efectos paralizantes de una pérdida significativa de datos en la nube.

¿Cómo empiezas a asegurar tus datos en la nube? ¿Cuáles son las mejores prácticas para mantener tus datos protegidos en la nube? ¿Qué tan seguro es el cloud computing?

Para ayudarte a iniciar tu estrategia de seguridad, invitamos a expertos a compartir sus consejos sobre Riesgos y Amenazas de Seguridad en la Nube.

Conclusiones clave de nuestros expertos sobre Protección en la Nube y Amenazas de Seguridad

• Acepta que puede ser solo cuestión de tiempo antes de que alguien vulnere tus defensas, planifica para ello.
• No asumas que tus datos en la nube están respaldados.
• Habilita autenticación de dos factores e IP-ubicación para acceder a aplicaciones en la nube.
• Aprovecha el cifrado. Cifra datos en reposo.
• El elemento humano está entre las mayores amenazas para tu seguridad.
• Implementa un proceso robusto de control de cambios, con ciclo de gestión de parches semanal.
• Mantén copias fuera de línea de tus datos por si tus datos en la nube son destruidos o retenidos como rescate.
• Contrata servicio de monitoreo de seguridad 24×7.
• Ten un plan de respuesta a incidentes de seguridad.
• Utiliza tecnología de firewall avanzada incluyendo WAF (Web Application Firewalls).
• Aprovecha servicios de aplicaciones, capas y micro-segmentación.

1. Mantener la disponibilidad en la nube

Dustin Albertson, Arquitecto Senior de Soluciones en la Nube en Veeam

Cuando la mayoría piensa en seguridad basada en la nube, tienden a pensar en Redes, Firewalls, Seguridad de endpoints, etc. Amazon define la seguridad en la nube como:

La seguridad en la nube es muy parecida a la seguridad en tus centros de datos locales – solo sin los costos de mantener instalaciones y hardware. En la nube, no tienes que gestionar servidores físicos ni dispositivos de almacenamiento. En su lugar, usas herramientas de seguridad basadas en software para monitorear y proteger el flujo de información dentro y fuera de tus recursos en la nube.

Pero un riesgo a menudo pasado por alto es mantener la disponibilidad. Lo que quiero decir es más que solo geo-redundancia o redundancia de hardware, me refiero a asegurar que tus datos y aplicaciones estén cubiertos. La nube no es un lugar mágico donde todas tus preocupaciones desaparecen; la nube es un lugar donde todos tus miedos a menudo son más fáciles y baratos de multiplicar. Tener una estrategia robusta de protección de datos es clave. Veeam a menudo ha predicado sobre la "Regla 3-2-1" acuñada por Peter Krogh.

La regla establece que debes tener tres copias de tus datos, almacenarlas en dos medios diferentes y mantener una fuera del sitio. La copia fuera del sitio suele estar en la "nube", pero ¿qué pasa cuando ya estás en la nube?

Aquí es donde veo la mayoría de problemas en la nube, cuando la gente ya está en la nube tienden a almacenar los datos en la misma nube. Por eso es importante recordar tener una estrategia detallada al moverse a la nube. Aprovechando cosas como agentes de Veeam para proteger cargas de trabajo en la nube y Cloud Connect para enviar respaldos fuera del sitio para mantener esa disponibilidad fuera del mismo centro de datos o nube. No asumas que es trabajo del proveedor proteger tus datos porque no lo es.

2. La migración a la nube supera la evolución de los controles de seguridad

Salvatore Stolfo, CTO de Allure Security

Según una nueva encuesta realizada por ESG, el 75 % de las organizaciones dijeron que al menos el 20 % de sus datos sensibles almacenados en nubes públicas están insuficientemente asegurados. Además, el 81 % de los encuestados cree que la seguridad de datos en instalaciones locales es más madura que la de datos en nube pública.

Sin embargo, las empresas migran a la nube más rápido que nunca para maximizar beneficios organizacionales: se estima que el 83 % de las cargas de trabajo empresariales estarán en la nube para 2020, según el informe Cloud Vision 2020 de LogicMonitor. Lo que tenemos es una situación cada vez más urgente en la que las organizaciones migran sus datos sensibles a la nube con fines de productividad a un ritmo más rápido del que los controles de seguridad evolucionan para proteger esos datos.

Las empresas deben buscar soluciones que controlen el acceso a datos dentro de compartidos en la nube basándose en el nivel de permiso que tiene el usuario, pero también deben tener los medios para ser alertados cuando esos datos se acceden de formas inusuales o sospechosas, incluso por lo que parece ser un usuario de confianza.

Recuerda que muchos hackers y filtraciones internas provienen de actores malintencionados con credenciales robadas, legítimas, que les permiten moverse libremente en un compartido en la nube, buscando datos valiosos para robar. Los documentos de engaño, llamados señuelos, también pueden ser una excelente herramienta para detectar esto. Los señuelos pueden alertar a los equipos de seguridad en la etapa temprana de una brecha de seguridad en la nube sobre comportamientos inusuales, e incluso engañar a un potencial ladrón cibernético para que piense que ha robado algo de valor cuando en realidad es un documento falso altamente convincente. Luego está la cuestión de tener control sobre documentos incluso después de que hayan sido sacados del compartido en la nube.

Aquí es donde muchas soluciones de seguridad comienzan a fallar. Una vez que un archivo ha sido descargado de un repositorio en la nube, ¿cómo puedes rastrear a dónde viaja y quién lo mira? Debe haber más inversión en tecnologías como geofencing y telemetría para resolver esto.

3. Minimizar amenazas y vulnerabilidades de Cloud Computing con un plan de seguridad

Nic O’Donovan, Arquitecto de Soluciones y Especialista en la Nube con VMware

La nube híbrida sigue creciendo en popularidad con la empresa – principalmente porque la velocidad de implementación, escalabilidad y ahorro de costos se vuelven más atractivos para el negocio. Continuamos viendo infraestructura evolucionando rápidamente hacia la nube, lo que significa que la seguridad debe desarrollarse a un ritmo similar. Es esencial que la empresa trabaje con un Proveedor de Servicios en la Nube que tenga un enfoque confiable de seguridad en la nube.

Esto significa que la asociación con tu Proveedor de Nube se vuelve cada vez más importante mientras trabajan juntos para entender e implementar un plan de seguridad para mantener tus datos seguros.

Controles de seguridad como autenticación multifactor, cifrado de datos junto con el nivel de cumplimiento que requieres son todas áreas en las que enfocarse al construir tu plan de seguridad.

4. Nunca dejes de aprender sobre tus mayores vulnerabilidades

Isacc Kohen, CEO de Teramind

Cada vez más empresas caen víctimas de la nube, y tiene que ver con configuración errónea de la nube y negligencia de empleados.

1. Las mayores amenazas para la seguridad de datos son tus empleados. Negligentes o malintencionados, los empleados son una de las principales razones de infecciones por malware y pérdida de datos. Las razones por las que los ataques de malware y correos de phishing son palabras comunes en las noticias es porque son formas "fáciles" para que los hackers accedan a datos. A través de ingeniería social, criminales malintencionados pueden "engañar" a empleados para que entreguen contraseñas y credenciales a sistemas de datos críticos de negocio y empresa. Formas de prevenir esto: un programa efectivo de capacitación de empleados y monitoreo de empleados que sondee activamente el sistema.

2. Nunca dejes de aprender. En una industria que cambia y adapta continuamente, es importante estar actualizado sobre las últimas tendencias y vulnerabilidades. Por ejemplo, con el Internet de las Cosas (IoT), apenas estamos viendo la "punta del iceberg" cuando se trata de proteger datos sobre conexiones wi-fi aumentadas y servicios de almacenamiento de datos en línea. Hay más por desarrollar con esta historia, y tendrá un impacto directo en pequeñas empresas en el futuro.

3. Investiga y entiende cómo funciona el almacenamiento, luego educa. Hemos escuchado las historias – cuando los datos se exponen a través de la nube, muchas veces es debido a configuración errónea de los ajustes de la nube. Los empleados necesitan entender la naturaleza de seguridad de la aplicación y que los ajustes pueden manipularse fácilmente y activarse "on" exponiendo datos externamente. Educa la conciencia de seguridad a través de programas de capacitación.

4. Limita tus puntos de acceso. Una forma fácil de mitigar esto, limita tus puntos de acceso. Un error común con la exposición en la nube es cuando empleados con acceso por error habilitan permisos globales permitiendo que los datos se expongan a una conexión abierta. Para mitigar, entiende quién y qué tiene acceso a los datos en la nube – todos los puntos de acceso – y monitorea esas conexiones a fondo.

5. Monitoreo de los sistemas. Progresivo y exhaustivo. Para protección a largo plazo de datos en la nube, usa una plataforma de análisis y monitoreo de usuarios para detectar brechas más rápido. El monitoreo y análisis de usuarios agiliza los datos y crea un "perfil" estándar del usuario – empleado y computadora. Estas analíticas se integran y siguen tus depósitos de datos más cruciales, que tú como administrador indicaste en el software de detección. Cuando datos específicos en la nube son manipulados, movidos o violados, el sistema "ping" a un administrador inmediatamente indicando un cambio de carácter.

5. Considerar soluciones híbridas

Michael V.N. Hall, Director de Operaciones para Turbot

Hay varias cosas vitales para entender sobre seguridad en la nube:

1. Las contraseñas son poder – el 80 % de todas las brechas de contraseñas podrían haberse prevenido con identificación multifactor: verificando tu identidad personal vía mensaje de texto a tu teléfono o correo a tu cuenta, ahora puedes ser alertado cuando alguien intenta acceder a tus datos.

Uno de los mayores culpables en este momento son las credenciales debilitadas. Eso significa contraseñas, claves de acceso y frases de contraseña robadas a través de estafas de phishing, keylogging y ataques de fuerza bruta.

Las frases de contraseña son las nuevas contraseñas. Frases de contraseña aleatorias, fáciles de recordar, son mucho mejores que contraseñas, ya que tienden a ser más largas y complejas.

MyDonkeysEatCheese47 es una frase de contraseña complicada y a menos que seas dueño de un burro o fabricante de queso, no relacionada contigo. Recuerda usar letras mayúsculas y minúsculas así como toda la gama de puntuación.

2. Mantente en contacto con tu proveedor de alojamiento. Elige el proveedor adecuado – una empresa reputada con altos estándares de seguridad. Comunica con ellos regularmente ya que la interacción frecuente te permite mantenerte al día de cualquier cambio o problema en desarrollo.

3. Considera una solución híbrida. Las soluciones híbridas permiten sistemas seguros y estáticos para almacenar datos críticos internamente mientras abren datos de menor prioridad a la mayor versatilidad de la nube.

6. Aprende cómo funcionan los sistemas de seguridad en la nube

Tom DeSot, CIO de Digital Defense, Inc.

Las empresas deben asegurarse de evaluar riesgos y beneficios de seguridad de cloud computing. Es para asegurar que se educan sobre lo que significa moverse a la nube antes de dar ese gran salto de ejecutar sistemas en su propio centro de datos.

Demasiado a menudo he visto empresas migrar a la nube sin un plan ni conocimiento sobre lo que significa para ellos y la seguridad de sus sistemas. Necesitan reconocer que su software "vivirá" en sistemas compartidos con otros clientes, así que si hay una brecha en la plataforma de otro cliente, puede ser posible que el atacante comprometa su sistema también.

Del mismo modo, los clientes de la nube necesitan entender dónde se almacenarán sus datos, si solo en EE. UU., o el proveedor replica a otros sistemas en diferentes continentes. Esto puede causar un problema real si la información es algo sensible como PII o información protegida bajo HIPAA u otro estatuto regulatorio. Por último, el cliente de la nube debe prestar mucha atención a los Acuerdos de Nivel de Servicio (SLA) que el proveedor de nube cumple y asegurar que reflejen los suyos propios.

Moverse a la nube es una excelente manera de liberar recursos informáticos y asegurar tiempo de actividad, pero siempre aconsejo a mis clientes moverse en pequeños pasos para que tengan tiempo de apreciar lo que significa estar "en la nube".

7. Haz tu debida diligencia en la seguridad de la nube

Ken Stasiak, CEO de SecureState

Entiende el tipo de datos que estás poniendo en la nube y los requisitos de seguridad obligatorios alrededor de esos datos.

Una vez que una empresa tiene una idea del tipo de datos que busca almacenar en la nube, debe tener una comprensión firme del nivel de debida diligencia requerido al evaluar diferentes proveedores de nube. Por ejemplo, si estás eligiendo un proveedor de servicios en la nube para alojar tu Información de Salud Protegida (PHI), deberías requerir una evaluación de estándares de seguridad y cumplimiento HIPAA antes de mover cualquier dato a la nube.

Algunas buenas preguntas para hacer al evaluar si un proveedor de servicios en la nube es adecuado para una organización preocupada por asegurar esos datos incluyen: ¿Realizan auditorías y evaluaciones SOC regulares? ¿Cómo protegen contra actividad maliciosa? ¿Realizan verificaciones de antecedentes a todos los empleados? ¿Qué tipos de sistemas tienen para monitoreo de empleados, determinación de acceso y rastros de auditoría?

8. Configura controles de acceso y permisos de seguridad

Michael R. Durante, Presidente de Tie National, LLC.

Mientras la nube es una fuerza creciente en computación por su flexibilidad para escalar y satisfacer las necesidades de un negocio y aumentar la colaboración entre ubicaciones, también plantea preocupaciones de seguridad con su potencial para exponer vulnerabilidades relativamente fuera de tu control.

Por ejemplo, BYOD puede ser un desafío para asegurar si los usuarios no aplican regularmente parches y actualizaciones de seguridad. El consejo número uno es hacer el mejor uso de los controles de acceso disponibles.

Las empresas necesitan utilizar controles de acceso para limitar permisos de seguridad y permitir solo las acciones relacionadas con las funciones laborales de los empleados. Al limitar el acceso, las empresas aseguran que los archivos críticos estén disponibles solo para el personal que los necesita, reduciendo así las posibilidades de su exposición a partes equivocadas. Este control también facilita revocar derechos de acceso inmediatamente al terminar el empleo para salvaguardar cualquier contenido sensible sin importar desde dónde intente acceder el empleado remotamente.

9. Entiende el pedigree y procesos del proveedor o vendedor

Paul Evans, CEO de Redstor

El uso de tecnologías en la nube ha permitido a empresas de todos los tamaños impulsar mejoras de rendimiento y ganar eficiencia con más trabajo remoto, mayor disponibilidad y más flexibilidad.

Sin embargo, con un número creciente de sistemas dispares implementados y tantos proveedores y software de nube para elegir, retener el control sobre la seguridad de datos puede volverse desafiante. Al buscar implementar un servicio en la nube, es esencial entender a fondo el pedigree y procesos del proveedor/vendedor que proporcionará el servicio. Las certificaciones de seguridad estándar de la industria son un excelente punto de partida. Proveedores que tienen certificación ISO 27001 han demostrado que cumplen con estándares internacionales de gestión de seguridad de la información y deben ser tenidos en mayor estima que aquellos sin ella.

Obtener una comprensión completa de dónde irán tus datos geográficamente, quién tendrá acceso a ellos y si estarán cifrados es clave para poder protegerlos. También es importante saber cuáles son los procesos del proveedor en caso de brecha o pérdida de datos o si hay tiempo de inactividad. El tiempo de inactividad aceptable debe establecerse en Acuerdos de Nivel de Servicio (SLA) contratados, que deben estar respaldados financieramente por ellos para dar tranquilidad.

Para organizaciones que buscan utilizar plataformas en la nube, hay amenazas de seguridad en la nube a tener en cuenta: ¿quién tendrá acceso a los datos? ¿Dónde se almacenan los datos? ¿Mis datos están cifrados? Pero en su mayor parte, las plataformas en la nube pueden responder estas preguntas y tienen altos niveles de seguridad. Las organizaciones que utilizan las nubes deben asegurar que están al tanto de leyes y regulaciones de protección de datos que afectan los datos y también obtener una comprensión precisa de acuerdos contractuales con proveedores de nube. ¿Cómo se protegen los datos? Muchas regulaciones y estándares de la industria darán orientación sobre la mejor forma de almacenar datos sensibles.

Mantener copias no seguras o sin cifrar de datos puede ponerlos en mayor riesgo. Obtener conocimiento de niveles de seguridad de servicios en la nube es vital.

¿Cuáles son las políticas de retención y tengo un respaldo? Las plataformas en la nube pueden tener usos muy variados, y esto puede causar (o prevenir) problemas. Si los datos se almacenan en una plataforma en la nube, podrían ser vulnerables a riesgos de seguridad en la nube como ransomware o corrupción, por lo que asegurar que se retengan o respalden múltiples copias de datos puede prevenir esto. Garantizar que estos procesos se han llevado a cabo mejora los niveles de seguridad de las plataformas en la nube de una organización y da una comprensión de dónde podría venir cualquier riesgo.

10. Usa contraseñas fuertes y autenticación multifactor

Fred Reck, InnoTek Computer Consulting

Asegúrate de requerir contraseñas fuertes para todos los usuarios de la nube, y preferiblemente usa autenticación multifactor.

Según el Informe de Investigaciones de Brechas de Datos de Verizon 2017, el 81 % de todas las brechas relacionadas con hacking aprovecharon contraseñas robadas y/o débiles. Uno de los beneficios más significativos de la Nube es la capacidad de acceder a datos de la empresa desde cualquier parte del mundo en cualquier dispositivo. Por el otro lado, desde un punto de vista de seguridad, cualquiera (también conocidos como "malos") con un nombre de usuario y contraseña puede potencialmente acceder a los datos del negocio. Forzar a los usuarios a crear contraseñas fuertes hace que sea mucho más difícil para los hackers usar un ataque de fuerza bruta (adivinar la contraseña desde múltiples caracteres aleatorios).

Además de contraseñas seguras, muchos servicios en la nube hoy pueden utilizar el teléfono celular de un empleado como la segunda pieza de autenticación de seguridad física en una estrategia multifactor, haciendo esto accesible y asequible para una organización para implementar. Los usuarios no solo necesitarían saber la contraseña, sino que necesitarían acceso físico a su teléfono celular para acceder a su cuenta.

Por último, considera implementar una característica que bloquee la cuenta de un usuario después de una cantidad predeterminada de inicios de sesión fallidos.

11. Habilita bloqueo por IP-ubicación

Chris Byrne es cofundador y CEO de Sensorpro

Las empresas deben habilitar autenticación de dos factores y bloqueo por IP-ubicación para acceder a las aplicaciones en la nube que usan.

Con 2FA, añades otro desafío a la combinación habitual de correo/contraseña por mensaje de texto. Con bloqueo IP puedes cercar el acceso desde la IP de tu oficina o la IP de trabajadores remotos. Si la plataforma no soporta esto, considera pedir a tu proveedor que lo habilite.

En cuanto al aprovisionamiento real de la plataforma en la nube, proporciona una opción de cifrado de datos en reposo. En algún momento, esto se volverá tan ubicuo como https (SSL/TLS). Si lo impensable sucede y los datos terminan en manos equivocadas, es decir, un dispositivo es robado u olvidado en un tren, entonces el cifrado de datos en reposo es la última línea de defensa para evitar que alguien acceda a tus datos sin las claves de cifrado correctas. Incluso si logran robarlo, no pueden usarlo. Esto, por ejemplo, habría mitigado la reciente brecha de Equifax.

12. Soluciones de seguridad de almacenamiento en la nube con VPNs

Eric Schlissel, Presidente y CEO de GeekTek

Usa VPNs (redes privadas virtuales) siempre que te conectes a la nube. Las VPNs a menudo se usan para semi-anonimizar el tráfico web, usualmente por espectadores que están geobloqueados al acceder a servicios de streaming como Netflix EE. UU. o BBC Player. También proporcionan una capa crucial de seguridad para cualquier dispositivo que se conecte a tu nube. Sin una VPN, cualquier intruso potencial con un sniffer de paquetes podría determinar qué miembros accedían a tu cuenta en la nube y potencialmente obtener acceso a sus credenciales de inicio de sesión.

Cifra datos en reposo. Si por alguna razón una cuenta de usuario se ve comprometida en tu nube pública, privada o híbrida, la diferencia entre datos en texto plano vs. formato cifrado se puede medir en cientos de miles de dólares — específicamente $229,000, el costo promedio de un ciberataque reportado por encuestados de una encuesta realizada por la compañía de seguros Hiscox. Como eventos recientes han mostrado, el proceso de cifrar y descifrar estos datos resultará mucho menos doloroso que soportar su alternativa.

Usa autenticación de dos factores e inicio de sesión único para todas las cuentas basadas en la nube. Google, Facebook y PayPal utilizan autenticación de dos factores, que requiere que el usuario ingrese un código único generado por software en un formulario antes de iniciar sesión en su cuenta. Ya sea que tu negocio aspire a su estatus, puede y debe emular este componente central de su estrategia de seguridad. El inicio de sesión único simplifica la gestión de acceso, por lo que un par de credenciales de usuario firma al empleado en todas las cuentas. Así, los administradores de sistemas solo tienen una cuenta para eliminar en lugar de varias que pueden olvidarse y ser reaccedidas luego por el ex empleado.

13. Cuidado con el riesgo del elemento humano

Steven J.J. Weisman, Abogado y Profesor en Bentley University

Parafraseando a Shakespeare, la culpa no está en la nube; la responsabilidad está en nosotros.

Almacenar datos sensibles en la nube es una buena opción para la seguridad de datos en muchos niveles. Sin embargo, independientemente de qué tan segura sea una tecnología, el elemento humano siempre presentará un peligro potencial de seguridad para ser explotado por cibercriminales. Muchas brechas de seguridad en la nube pasadas han demostrado no ser debido a fallos de seguridad por la tecnología en la nube, sino por acciones de usuarios individuales de la nube.

Han proporcionado inconscientemente sus nombres de usuario y contraseñas a cibercriminales que, a través de correos electrónicos de spear phishing, llamadas telefónicas o mensajes de texto persuaden a la gente para dar la información crítica necesaria para acceder a la cuenta en la nube.

La mejor forma de evitar este problema, junto con mejor educación de empleados para reconocer y prevenir spear phishing, es usar autenticación de doble factor como tener un código de un solo uso enviado al teléfono del empleado cada vez que se intente acceder a la cuenta en la nube.

14. Asegura la recuperación de datos de un proveedor de nube

Bob Herman, Cofundador y Presidente de IT Tropolis.

1. La autenticación de dos factores protege contra fraude de cuentas. Muchos usuarios caen víctimas de intentos de phishing por correo donde actores malintencionados engañan a la víctima para que ingrese su información de inicio de sesión en un sitio web falso. El mal actor puede entonces iniciar sesión en el sitio real como la víctima, y hacer todo tipo de daño dependiendo de la aplicación del sitio y el acceso del usuario. 2FA asegura que un segundo código debe ingresarse al iniciar sesión en la aplicación. Usualmente, un código enviado al teléfono del usuario.

2. Asegurar que eres dueño de tus datos y que puedes recuperarlos en caso de que ya no quieras hacer negocios con el proveedor de nube es imperativo. La mayoría de proveedores legítimos de nube deberían especificar en sus términos que el cliente posee sus datos. Luego, necesitas confirmar que puedes extraer o exportar los datos en algún formato usable, o que el proveedor de nube te los proporcionará a pedido.

15. Monitoreo en tiempo real y continuo

Sam Bisbee, Director de Seguridad en Threat Stack

1. Crear Observabilidad de Seguridad en Tiempo Real y Monitoreo Continuo de Sistemas

Si bien el monitoreo es esencial en cualquier entorno de datos, es crítico enfatizar que los cambios en entornos modernos en la nube, especialmente los de entornos SaaS, tienden a ocurrir con más frecuencia; sus impactos se sienten inmediatamente.

Los resultados pueden ser dramáticos debido a la naturaleza de la infraestructura elástica. En cualquier momento, acciones accidentales o malintencionadas de alguien podrían impactar severamente la seguridad de tus sistemas de desarrollo, producción o prueba.

Ejecutar una infraestructura moderna sin observabilidad de seguridad en tiempo real y monitoreo continuo es como volar a ciegas. No tienes visión de lo que sucede en tu entorno, y no hay forma de iniciar mitigación inmediata cuando surge un problema. Necesitas monitorear acceso basado en aplicación y host para entender el estado de tu aplicación a lo largo del tiempo.

• Monitoreo de sistemas para acciones manuales de usuarios. Esto es especialmente importante en el mundo DevOps actual donde los ingenieros probablemente tengan acceso a producción. Es posible que estén gestionando sistemas usando tareas manuales, así que usa esto como oportunidad para identificar procesos que sean aptos para automatización.
• Rastreo del rendimiento de aplicaciones a lo largo del tiempo para ayudar a detectar anomalías. Entender "quién hizo qué y cuándo" es fundamental para investigar cambios que ocurren en tu entorno.

2. Establecer y Monitorear Continuamente Configuraciones

Las configuraciones de seguridad en entornos en la nube como Amazon Direct Connect pueden ser complicadas, y es fácil dejar inadvertidamente acceso a tus sistemas y datos abierto al mundo, como han demostrado todas las historias recientes sobre filtraciones de S3.

Dada la naturaleza cambiante (y a veces volátil) de entornos SaaS, donde los servicios pueden crearse y eliminarse en tiempo real de forma continua, la falla en configurar servicios apropiadamente, y la falla en monitorear ajustes puede poner en peligro la seguridad. En última instancia, esto erosionará la confianza que los clientes depositan en ti para proteger sus datos.

Al establecer configuraciones contra una línea base establecida y monitorearlas continuamente, puedes evitar problemas al configurar servicios, y puedes detectar y responder a problemas de configuración más rápido cuando ocurren.

3. Alinear Prioridades de Seguridad y Operaciones para Soluciones de Seguridad en la Nube e Infraestructura

La buena seguridad es indistinguible de las operaciones adecuadas. Demasiado a menudo estos equipos están en conflicto dentro de una organización. La seguridad a veces se ve como frenar un negocio— demasiado enfocada en vigilar las actividades de los equipos de Dev y Ops. Pero la seguridad puede ser un habilitador del negocio.

La seguridad debería aprovechar herramientas de prueba de automatización, controles de seguridad y monitoreo dentro de una organización — a través de gestión de red, acceso de usuarios, configuración de infraestructura y gestión de vulnerabilidades a nivel de aplicación — impulsará el negocio hacia adelante, reduciendo riesgo en la superficie de ataque y manteniendo disponibilidad operativa.

16. Usa herramientas de auditoría para asegurar datos en la nube

Jeremey Vance, US Cloud

1. Usa una herramienta de auditoría para que sepas todo lo que tienes en la nube y qué están usando todos tus usuarios en la nube. No puedes asegurar datos que no conoces.

2. Además de descubrir qué servicios se ejecutan en tu red, descubre cómo y por qué se usan esos servicios, por quién y cuándo.

3. Haz que ese proceso de auditoría sea una parte rutinaria de tu monitoreo de red, no solo un evento único. Además, si no tienes ancho de banda para eso, externaliza esa rutina de auditoría a un tercero calificado como US Cloud.

17. La mayoría de brechas comienzan en puntos simples sin seguridad

Marcus Turner, Arquitecto Jefe y CTO en Enola Labs

La nube es muy segura, pero para asegurar que mantienes los datos de la empresa seguros es importante configurar la nube correctamente.

Para AWS específicamente, AWS Config es la herramienta mejor utilizada para esto. AWS, cuando se configura correctamente, es uno de los entornos de cloud computing más seguros del mundo. Sin embargo, la mayoría de brechas de datos no son hackers aprovechando programas complejos para acceder a datos críticos, sino que son los puntos simples sin seguridad, la fruta al alcance de la mano, lo que hace vulnerable los datos de la empresa.

Incluso con la mejor seguridad en la nube, el error humano a menudo es el culpable de la brecha o hueco más crítico en la protección. Tener rutinas para validar la precisión continua de la configuración es la métrica más subutilizada y subestimada para mantener los datos de la empresa seguros en la nube.

18. Pregunta a tu proveedor de nube preguntas clave de seguridad

Brandan Keaveny, Ed.D., Fundador de Data Ethics LLC

Al explorar las posibilidades de moverse a una solución basada en la nube, debes asegurar que haya soportes adecuados en caso de que ocurra una brecha. Asegúrate de hacer las siguientes preguntas antes de firmar un acuerdo con un proveedor basado en la nube:

Pregunta: ¿Cuántos terceros usa el proveedor para facilitar su servicio?

Razón: Los procesos y documentación necesitarán actualizarse para incluir salvaguardas procesales y coordinación con la solución basada en la nube. Además, el nivel de seguridad proporcionado por el proveedor basado en la nube debe entenderse claramente. Niveles aumentados de seguridad pueden necesitar agregarse para cumplir con requisitos de privacidad y seguridad para los datos almacenados.

Pregunta: ¿Cómo serás notificado si ocurre una brecha de sus sistemas y ayudarán a tu empresa en la notificación a tus clientes/clientes?

Razón: Al agregar una solución basada en la nube al almacenamiento de tus datos también añade una nueva dimensión de tiempo para factorizar en los requisitos de notificación que pueden aplicarse a tus datos si ocurre una brecha. Estos factores de tiempo deben incorporarse en procedimientos de notificación de brecha y políticas de privacidad.

Al cambiar a la nube desde una solución alojada localmente, tu proceso de evaluación de riesgos de seguridad necesita actualizarse. Antes de hacer el cambio, una evaluación de riesgos debe tener lugar para entender el estado actual de la integridad de los datos que serán migrados.

Además, se debe investigar cómo se transferirán los datos al entorno en la nube. Preguntas a considerar incluyen:

Pregunta: ¿Tus datos están listos para el transporte?

Razón: El momento para realizar una evaluación de calidad de datos es antes de migrar datos a una solución basada en la nube en lugar de después del hecho.

Pregunta: ¿Esta transferencia será facilitada por el proveedor de nube?

Razón: Es importante entender los parámetros de seguridad que están en lugar para la transferencia de datos al proveedor de nube, especialmente cuando se consideran grandes conjuntos de datos.

19. Asegura tu cuenta en la nube más allá de la contraseña

Contribuido por el equipo de Dexter Edward

Asegura la cuenta en la nube misma. Toda la protección en un servidor/os/aplicación no ayudará si cualquiera puede tomar el control.

• Usa una contraseña fuerte y segura en la cuenta y autenticación de 2 factores.
• Rota claves/credenciales de nube rutinariamente.
• Usa listas blancas de IP.
• Usa accesos basados en roles en cualquier clave/credencial de nube asociada.

Asegura el acceso a las instancias de cómputo en la nube.

• Usa firewalls proporcionados por los proveedores de nube.
• Usa claves SSH seguras para cualquier dispositivo que requiera acceso de inicio de sesión.
• Requiere contraseña para tareas administrativas.
• Construye tu aplicación para operar sin privilegios de root.
• Asegura que tus aplicaciones usen cifrado para cualquier comunicación fuera de la nube.
• Usa autenticación antes de establecer comunicaciones públicas.

Usa tanto de la red privada en la nube como puedas.

• Evita vincular servicios a todas las redes públicas.
• Usa la red privada para aislar incluso tu acceso de inicio de sesión (VPN es una opción).

Aprovecha el monitoreo, auditoría de archivos y detección de intrusión cuando lo ofrezcan los proveedores de nube.

• La nube está hecha para moverse – usa esta característica para cambiar la ubicación de la red.
• Apaga instancias cuando no estén en uso. b. Mantén imágenes diarias para poder mover servidores/aplicaciones por internet con más frecuencia.

20. Considera implementar escritorios virtuales gestionados

Michael Abboud, CEO y Fundador de TetherView

Desastres naturales mezclados con ciberamenazas, brechas de datos, problemas de hardware y el factor humano, aumentan el riesgo de que una empresa experimente algún tipo de interrupción o parada costosa.

Moverse hacia escritorios virtuales gestionados entregados a través de una nube privada, proporciona una oportunidad única para que las organizaciones reduzcan costos y proporcionen acceso remoto seguro al personal mientras apoyan iniciativas de continuidad del negocio y mitigan el riesgo de tiempo de inactividad.

Aprovechando escritorios virtuales en espera, una solución adecuada de continuidad del negocio proporciona a las empresas la base para seguridad y cumplimiento.

El despliegue de escritorios virtuales proporciona a los usuarios la flexibilidad de trabajar remotamente a través de un entorno basado en navegador totalmente funcional mientras permite simultáneamente a los departamentos de TI gestionar centralmente endpoints y bloquear datos críticos del negocio. Rendimiento, seguridad y cumplimiento no se ven afectados.

Los escritorios virtuales en espera vienen preconfigurados y listos para ser desplegados instantáneamente, permitiendo a tu equipo permanecer "negocio como de costumbre" durante un desastre repentino.

Además de esto, debes asegurar auditorías y respaldos de datos regulares.

Si no sabes qué hay en tu nube, ahora es el momento de averiguarlo. Es esencial auditar frecuentemente tus datos y asegurar que todo está respaldado. También querrás considerar quién tiene acceso a estos datos. Empleados antiguos o aquellos que ya no necesitan acceso deben tener permisos revocados.

Es importante también usar las últimas medidas de seguridad, como autenticación multifactor y cifrado por defecto. Mantén siempre a tus empleados al día con estas medidas y entrénalos para detectar amenazas potenciales para que sepan cómo tratarlas de inmediato.

21. Sé consciente de las políticas de seguridad de un proveedor

Jeff Bittner, Fundador y Presidente de Exit technologies

Muchas, si no la mayoría, de las empresas continuarán expandiéndose en la nube, mientras confían en infraestructura local por una variedad de razones, que van desde simples ventajas de costo/beneficio hasta la reticencia a confiar datos o sistemas de misión crítica en manos de proveedores de servicios en la nube de terceros. Rastrear qué activos están dónde en este entorno híbrido puede ser complicado y resultar en brechas de seguridad.

La responsabilidad de la seguridad en la nube es compartida entre el proveedor de servicios y el suscriptor. Así, el suscriptor necesita estar al tanto no solo de las políticas de seguridad del proveedor de servicios, sino también de asuntos mundanos como ciclos de actualización de hardware.

Los ciberatacantes se han vuelto hábiles en encontrar y explotar brechas en sistemas operativos y aplicaciones más antiguos que pueden ser obsoletos, o que ya no se actualizan. Ahora, con la divulgación de las vulnerabilidades Spectre y Meltdown, también tenemos que preocuparnos por amenazas que podrían explotar errores u omisiones codificadas a nivel de chip.

El hardware como servidores y PCs tiene un ciclo de vida limitado, pero a menudo las empresas continúan operando estos sistemas después de que los proveedores comienzan a retirar soporte y descontinuar actualizaciones de firmware y software necesarias para contrarrestar nuevas amenazas de seguridad.

Además de estar al tanto de lo que hace su proveedor de nube, el negocio debe rastrear sus propios activos y actualizarlos o descomisionarlos según sea necesario. Cuando los sistemas informáticos se reutilizan para propósitos no críticos, es demasiado fácil que caigan fuera de la gestión de riesgos y supervisión de seguridad.

22. Cifra respaldos antes de enviarlos a la nube

Mikkel Wilson, CTO en Oblivious.io

1. Los metadatos de archivos deben asegurarse tan vigilantemente como los datos mismos. Incluso si un atacante no puede acceder a los datos que has almacenado en la nube, si pueden obtener, digamos, todos los nombres de archivos y tamaños, has filtrado información importante. Por ejemplo, si eres abogado y revelas que tienes un archivo llamado "michael_cohen_hush_money_payouts.xls" y es de 15mb, esto puede plantear preguntas que preferirías no responder.

2. Cifra tus respaldos *antes* de subirlos a la nube. Los respaldos son un objetivo de alto valor para atacantes. Muchas empresas, incluso las que tienen sus propios centros de datos, almacenarán respaldos en entornos en la nube como Amazon S3. Incluso activarán las funciones de cifrado de S3. Desafortunadamente, Amazon almacena las claves de cifrado junto con los datos. Es como cerrar tu auto y dejar las llaves en el capó.

23. Saber dónde residen tus datos para reducir amenazas en la nube

Vikas Aditya, Fundador de QuikFynd Inc,

Sé consciente de dónde se almacenan sus datos hoy en día para que puedan identificar proactivamente si alguno de los datos puede estar en riesgo de una brecha.

Hoy en día, los datos se almacenan en múltiples ubicaciones en la nube y aplicaciones además de dispositivos de almacenamiento en el negocio. Las empresas están adoptando servicios de almacenamiento en la nube como Google Drive, Dropbox, OneDrive, etc. y servicios de software en línea para todo tipo de procesos de negocio. Esto ha llevado a una vasta fragmentación de datos de la empresa, y a menudo los gerentes no tienen idea de dónde pueden estar todos los datos.

Por ejemplo, un informe financiero confidencial de la empresa puede guardarse en almacenamiento en la nube porque los dispositivos se sincronizan automáticamente con la nube o una conversación de negocio sensible puede ocurrir en servicios de mensajería basados en la nube como Slack. Aunque las empresas de nube tienen todas las intenciones correctas de mantener seguros los datos de sus clientes, también son el objetivo principal porque los hackers tienen mejor ROI al atacar tales servicios donde potencialmente pueden acceder a datos de millones de suscriptores.

Entonces, ¿qué debería hacer una empresa?

Mientras continúen adoptando servicios en la nube y sus datos terminen en muchos, muchos lugares, pueden usar algunas herramientas de búsqueda y organización de datos que les muestren qué datos existen en estos servicios. Usando capacidades de búsqueda de texto completo, pueden entonces averiguar muy rápidamente si alguna de esta información es un riesgo potencial para la empresa si se viola. No puedes proteger algo si ni siquiera sabes dónde está. Y más importante, ni siquiera sabrás si ha sido robado. Así que las empresas que buscan proteger sus datos de negocio necesitan dar pasos al menos para ser conscientes de dónde está toda su información.

24. Parchea tus sistemas regularmente para evitar vulnerabilidades en la nube

Adam Stern, CEO de Infinitely Virtual

Los usuarios de negocios no son indefensos, incluso tras recientes ataques a cloud computing como WannaCry o Petya/NotPetya.

El mejor antídoto es la gestión de parches. Siempre es una práctica sólida mantener sistemas y servidores actualizados con parches – es el camino más corto a la tranquilidad. De hecho, la "conciencia de gestión de parches" necesita ser parte de un mantra general de que la seguridad es un proceso, no un evento — una mentalidad, no una cuestión de marcar casillas y seguir adelante. La vigilancia debería ser el modo predeterminado de todos.

El spam no es amigo de nadie; ten cuidado con correos de fuentes desconocidas – y eso significa no abrirlos. Cada pequeña y mediana empresa gana poniendo énfasis estratégico en protecciones de seguridad, con tecnologías como firewalls agrupados y sistemas de detección y prevención de intrusión (IDPS).

25. Los procesos de seguridad necesitan cumplimiento ya que el personal a menudo no percibe el riesgo

Murad Mordukhay, CEO de Qencode

1. Seguridad como Prioridad

Hacer cumplir medidas de seguridad puede volverse difícil cuando se trabaja con plazos o características nuevas complejas. En un intento por impulsar sus productos, los equipos a menudo doblan las reglas descritas en su propio proceso de seguridad sin darse cuenta del riesgo en que ponen a su empresa. Un proceso de seguridad bien pensado necesita ser bien cumplido para lograr su objetivo de mantener tus datos protegidos. Las empresas que incluyen seguridad en la nube como prioridad en su proceso de desarrollo de producto reducen drásticamente su exposición a pérdida de datos y amenazas de seguridad.

2. Contraseñas y Cifrado

Dos partes importantes de asegurar tus datos en la nube son contraseñas y cifrado.

La mala gestión de contraseñas es la oportunidad más significativa para que actores malintencionados accedan y tomen control de datos de la empresa. Esto generalmente se logra a través de técnicas de ingeniería social (como correos de phishing) mayormente debido a mala educación de empleados. La capacitación adecuada de empleados y procesos de monitoreo de correo van lejos en ayudar a exponer información de contraseñas. Además, las contraseñas deben ser largas, incluir números, letras y símbolos. Las contraseñas nunca deben escribirse, compartirse por correo, ni publicarse en chats y comentarios de tickets. Una capa adicional de protección de datos se logra a través del cifrado. Si tus datos se almacenan en la nube por períodos largos, deben cifrarse localmente antes de enviarlos. Esto hace que los datos sean prácticamente inaccesibles en la pequeña posibilidad de que se vean comprometidos.

26. Habilita autenticación de dos factores

Tim Platt, VP de Servicios de Negocios de TI en Virtual Operations, LLC

Para la mejor seguridad de servidores en la nube, preferimos ver Autenticación de Dos Factores (también conocida como 2FA, autenticación multifactor, o autenticación de dos pasos) usada donde sea posible.

¿Qué es esto? 2 Factor combina "algo que sabes" con "algo que tienes". Si necesitas proporcionar tanto una contraseña como un código único enviado a tu smartphone por texto, entonces tienes ambas cosas. Incluso si alguien sabe tu contraseña, aún no puede entrar a tu cuenta. Tendrían que saber tu contraseña y tener acceso a tu teléfono celular. No imposible, pero acabas de hacerlo dramáticamente más difícil para que hackeen tu cuenta. Buscarán un objetivo más fácil. Como ejemplo, iCloud y Gmail soportan 2FA – dos servicios muy populares con usuarios de negocios. Recomiendo a todos usarlo.

¿Por qué es importante esto para la seguridad en la nube?

Porque los servicios en la nube a menudo no están protegidos por un firewall u otro mecanismo para controlar desde dónde se puede acceder al servicio. 2FA es una excelente capa adicional para agregar a la seguridad. Debo mencionar también que algunos servicios, como Salesforce, tienen una implementación de 2FA muy eficiente y fácil de usar que no es una carga significativa para el usuario.

27. No asumas que tus datos en la nube están respaldados

Mike Potter, CEO y Cofundador en Rewind

Respaldar datos que están en la nube: Hay un gran malentendido sobre cómo las plataformas basadas en la nube (ej. Shopify, QuickBooks Online, Mailchimp, WordPress) son respaldadas. Típicamente, las aplicaciones basadas en la nube mantienen un respaldo de recuperación ante desastres de toda la plataforma. Si algo sucediera a sus servidores, intentarían recuperar los datos de todos al último respaldo. Sin embargo, como usuario, no tienes acceso a su respaldo para restaurar tus datos.

Esto significa que arriesgas tener que deshacer manualmente cambios no deseados o perder datos permanentemente si:

• Una app de terceros integrada en tu cuenta causa problemas.
• Necesitas deshacer una serie de cambios
• Tú o alguien de tu equipo comete un error
• Un empleado o contratista descontento elimina datos maliciosamente

Tener acceso a un respaldo secundario de tus cuentas en la nube te da mayor control y libertad sobre tus propios datos. Si algo sucediera a los servidores del proveedor, o dentro de tu cuenta individual, poder recuperar rápidamente tus datos podría ahorrarte miles de dólares en ingresos perdidos, costos de reparación y tiempo.

28. Minimiza y verifica permisos de archivos

Randolph Morris, Fundador y CTO en Releventure

1. Si estás usando un servidor basado en la nube, asegura monitoreo y parcheo de la vulnerabilidad Spectre y sus variaciones. Los servidores en la nube son especialmente vulnerables. Esta vulnerabilidad puede evadir cualquier medida de seguridad en la nube puesta en su lugar incluyendo cifrado para datos que se están procesando en el momento en que la vulnerabilidad se utiliza como exploit.

2. Revisa y ajusta el acceso a archivos para cada servicio. A menudo se usan cuentas con acceso completo para asegurar que el software "funcione" porque tuvieron problemas de permisos en el pasado. Si es posible, cada servicio debería usar su propia cuenta y solo tener permiso restringido para acceder a lo vital y dar solo los permisos mínimos requeridos.

29. Al asegurar archivos en la nube, cifra datos localmente primero

Brandon Ackroyd, Fundador y Experto en Seguridad Móvil en Tiger Mobiles

La mayoría de usuarios de almacenamiento en la nube asumen que tales servicios usan su propio cifrado. Lo hacen, Dropbox, por ejemplo, usa un excelente sistema de cifrado para archivos.

El problema, sin embargo, es que como no eres tú quien cifra, no tienes la clave de descifrado tampoco. Dropbox tiene la clave de descifrado, así que cualquiera con esa misma clave puede descifrar tus datos. El descifrado ocurre automáticamente al iniciar sesión en el sistema Dropbox, así que cualquiera que acceda a tu cuenta, ej. vía hackeo, también puede obtener tus datos ahora no cifrados.

La solución es que tú cifres tus archivos y datos, usando una aplicación o software de cifrado, antes de enviarlos a tu servicio de almacenamiento en la nube elegido.

30. Buckets expuestos en AWS S3 son vulnerables

Todd Bernhard, Gerente de Marketing de Producto en CloudCheckr

1. La brecha de datos más común y publicitada en el último año o más ha sido debido a dar acceso de lectura al público a buckets de almacenamiento AWS S3. La configuración predeterminada es de hecho privada, pero la gente tiende a hacer cambios y olvidarse, y luego poner datos confidenciales en esos buckets expuestos.

2. Cifra datos, tanto en tránsito como en reposo. En el centro de datos, donde usuarios finales, servidores y servidores de aplicaciones podrían estar todos en el mismo edificio. Por el contrario, con la Nube, todo el tráfico va por Internet, así que necesitas cifrar datos mientras se mueven en público. Es como la diferencia entre enviar una carta en un sobre o enviar una postal que cualquiera que entre en contacto puede leer el contenido.

31. Usa el estándar de oro del cifrado

Jeff Capone, CEO de SecureCircle

Hay una falsa sensación de privacidad sentida por empresas que usan servicios basados en la nube como Gmail y Dropbox para comunicar y compartir información. Porque estos servicios son basados en la nube y accesibles por contraseña, se asume automáticamente que las comunicaciones y archivos compartidos son seguros y privados. La realidad es – no lo son.

Una forma en que las organizaciones pueden estar seguras de asegurar sus datos es usando nuevos métodos de cifrado como cifrado de extremo a extremo para correo electrónico y compartición de archivos. Se considera el método "estándar de oro" sin puntos centrales de ataque – lo que significa que protege datos de usuarios incluso cuando el servidor es violado.

Estos métodos avanzados de cifrado serán más útiles para empresas cuando se usen en conjunto con políticas internas bien alineadas. Por ejemplo, descentralizar el acceso a datos cuando sea posible, minimizar o eliminar cuentas con acceso privilegiado, y considerar cuidadosamente los riesgos al decidir compartir datos o usar servicios SaaS.

32. Ten controles de acceso integrales en su lugar

Randy Battat, Fundador y CEO, PreVeil

Todos los proveedores de nube tienen la capacidad de establecer controles de acceso a tus datos. Esto es esencialmente una lista de quienes tienen acceso a los datos. Asegura que el acceso "anónimo" esté deshabilitado y que hayas proporcionado acceso solo a aquellas cuentas autenticadas que lo necesitan.

Además, deberías utilizar cifrado para asegurar que tus datos se mantengan protegidos y lejos de miradas indiscretas. Hay una multitud de opciones disponibles dependiendo de tu proveedor de nube. Equilibra la utilidad de acceder a datos con la necesidad de protegerlos – algunos métodos son más seguros que otros, como utilizar una clave del lado del cliente y proceso de cifrado. Entonces, incluso si alguien tiene acceso a los datos (ver punto #1), solo tienen acceso a la versión cifrada y aún deben tener una clave para descifrarla.

Asegura cumplimiento continuo con tus políticas de gobernanza. Una vez que hayas implementado los elementos anteriores y hayas establecido tus múltiples otros estándares de seguridad y protección, asegura que permaneces en cumplimiento con tus políticas. Como muchas organizaciones han experimentado con brechas de datos en la nube, el riesgo no está en la plataforma del proveedor de nube. Es lo que su personal hace con la plataforma. Asegura cumplimiento monitoreando cambios, o mejor aún, implementa herramientas para monitorear la nube con acciones correctivas automatizadas si tu entorno experimenta deriva de configuración.

33. 5 Fundamentos para mantener datos seguros en la nube

David Gugick, VP de Gestión de Producto en CloudBerry

• Realiza pruebas de penetración para asegurar que cualquier vulnerabilidad sea detectada y corregida.
• Usa un firewall para crear una red privada que mantenga a usuarios no autorizados fuera.
• Cifra datos usando cifrado AES y rota claves para asegurar que los datos estén protegidos tanto en tránsito como en reposo.
• Registro y Monitoreo para rastrear quién está haciendo qué con los datos.
• Identidad y Control de Acceso para restringir acceso y tipo de acceso solo a usuarios y grupos que lo necesitan.

34. Asegura un entorno multi-inquilino seguro

Anthony Dezilva, CISO en PhoenixNAP

Cuando pensamos en la nube, pensamos en dos cosas. Ahorro de costos debido a eficiencias ganadas al usar infraestructura compartida, y riesgo de seguridad de almacenamiento en la nube.

Aunque muchas brechas publicadas se atribuyen a errores de configuración en entornos basados en la nube, me sorprendería si este número fuera más que las brechas reportadas de entornos no basados en la nube.

Los mejores proveedores de servicios en la nube tienen un interés creado en crear un entorno multi-inquilino seguro. Su gasto agregado en crear estos entornos es mucho más significativo que los presupuestos de TI de la mayoría de empresas, y mucho menos sus presupuestos de seguridad. Por lo tanto, argumentaría que un entorno en la nube configurado correctamente, proporciona un nivel de seguridad mucho más alto que cualquier cosa que una pequeña o mediana empresa pueda crear en local.

Además, en un entorno donde el talento de seguridad escasea gravemente, no hay forma de que una organización pueda encontrar, y mucho menos pagar, el talento de seguridad que necesita. Resultando en la siguiente mejor cosa, crear una relación de asociado comercial con un proveedor que no solo tenga una infraestructura segura fuerte sino que también proporcione soluciones de seguridad de monitoreo en la nube.

Amenazas y vulnerabilidades de Cloud Computing: Lo que necesitas saber

• Arquitecta la solución como lo harías en cualquier proceso de diseño local;
• Aprovecha servicios de aplicaciones, capas y micro-segmentación;
• Usa capas de procesamiento de transacciones con ACLs estrictas que controlen comunicación entre procesos. Usa infraestructura PKI para autenticar y cifrar comunicación entre procesos.
• Utiliza tecnología de firewall avanzada incluyendo WAF (Web Application Firewalls) para front-end de aplicaciones web, para minimizar el impacto de vulnerabilidades en software subyacente;
• Aprovecha el cifrado hasta nivel de registro;
• Acepta que es solo cuestión de tiempo antes de que alguien vulnere tus defensas, planifica para ello. Arquitectura todos los sistemas para minimizar el impacto si ocurre.
• ¡Una red plana nunca está bien!
• Proceso robusto de control de cambios, con ciclo de gestión de parches semanal;
• Mantén copias fuera de línea de tus datos, para mitigar el riesgo de colapso del servicio en la nube, o ataque malicioso que borre tu entorno en la nube;
• Contrata servicios de monitoreo de seguridad 24×7 que tengan un componente de respuesta a incidentes.