Seguridad en la nube

¿Qué es la seguridad en la nube?

Según un estudio reciente, el 97 % de las organizaciones de todo el mundo emplea algún tipo de servicio de nube. De ese total, el 25 % ha sufrido robo de datos y un 20 % ha visto atacada su infraestructura de la nube.

La presencia en una plataforma de nube introduce nuevos riesgos que las empresas deben priorizar en sus programas de ciberseguridad. Un programa de seguridad en la nube fiable establece los controles, políticas, tecnologías y aplicaciones empleados para proteger a una empresa de las amenazas.

Las empresas modernas utilizan la computación en la nube para obtener escalabilidad, flexibilidad y asequibilidad. A medida que las empresas se mueven hacia la nube, la seguridad de los datos y la infraestructura se vuelven cruciales. La seguridad en la nube presenta varios niveles, cada uno dirigido a abordar problemas específicos. Aquí hablaremos de la seguridad de la red, los datos, las aplicaciones, la identidad y la gestión de acceso.

• Seguridad de red:

- Relevancia: la primera línea de defensa en la computación en la nube es la seguridad de red. Protege los canales de comunicación de la infraestructura de la nube frente a accesos indeseados, infracciones de datos y ataques cibernéticos.

- Enfoque: los cortafuegos, los sistemas de detección y prevención de intrusiones, las redes privadas virtuales y el cifrado SSL protegen los datos durante su transmisión. La identificación y mitigación de posibles problemas de seguridad se consolida mediante auditorías y supervisión rutinaria del tráfico de red.

• Seguridad de los datos:

- Relevancia: los datos son la esencia vital de una organización; por tanto, protegerlos resulta crucial. La seguridad de datos en la nube protege a los datos confidenciales frente a accesos indeseados, pérdidas y corrupción.

- Enfoque: el cifrado de datos en reposo y en tránsito aumenta la seguridad. Un plan de seguridad de datos en la nube sólido incluye límites de acceso, tecnologías DLP y copias de seguridad frecuentes. El cumplimiento de los estándares del sector y la legislación aumenta la integridad y confidencialidad de los datos.

• Seguridad de las aplicaciones:

- Relevancia: los servicios de nube dependen de las aplicaciones. Es necesario protegerlos para evitar que los atacantes exploten las vulnerabilidades.

- Enfoque: para corregir las vulnerabilidades, es necesario actualizar y reparar las aplicaciones con regularidad. Los cortafuegos de aplicaciones web (WAF), las revisiones de código y las pruebas de penetración encuentran y resuelven las vulnerabilidades de seguridad. La contenedorización y los microservicios diseñan componentes aislados, que mejoran la seguridad de las aplicaciones.

• Gestión de identidades y acceso:

- Relevancia: gestionar identidades de usuario y restringir el acceso a recursos resulta esencial para la seguridad en la nube. El acceso no autorizado puede poner en peligro la infraestructura y provocar una infracción de datos.

- Enfoque: la autenticación multifactor (MFA) restringe el acceso a los recursos de nube de los usuarios autorizados. El control de acceso basado en roles (RBAC) asigna derechos en función de las responsabilidades de los cargos, lo que reduce el acceso no deseado. La evaluación y el cambio regular de privilegios de usuario mejora la seguridad.

Un plan de seguridad en la nube completo aborda la gestión de la red, los datos, las aplicaciones, las identidades y el acceso. Las organizaciones deben utilizar la tecnología, las regulaciones y la supervisión continua para proteger los activos digitales en el entorno de nube en constante cambio. Mantener una infraestructura de la nube fiable y segura requiere una formación continua y modificar las medidas de seguridad a medida que evoluciona la tecnología.

A medida que aumentan el volumen y el ritmo de las implementaciones en la nube, también lo hacen los recursos totales que se colocan en ella. A menudo las empresas emplean varias nubes a la vez, a las que asignan distintas funciones, de modo que se multiplican todavía más los riesgos. Estos son algunos de los desafíos a los que se enfrenta la seguridad basada en la nube.

• Concienciación: colocar tantos recursos y actividades fuera de las instalaciones y en la nube significa que la organización de TI cuenta con una visibilidad deficiente de cada punto de acceso. Estas avenidas se controlan mucho mejor cuando todo reside a nivel local.
• Ataques de DDoS: Las cifras récord de ataques de denegación distribuida de servicio (DDOS) complican enormemente la tarea de mantener el ritmo para todos los actores implicados en la nube, incluidos los proveedores y suscriptores. La velocidad y agilidad necesarias siguen aumentando y la carga que supone deben compartirla las organizaciones y los proveedores.
• Integración: para reducir el riesgo de que se produzcan flujos de información confidencial hacia y desde los servicios de nube, resulta imprescindible integrar la prevención de la pérdida de datos local con los proveedores de nube. La organización de TI debe ejecutar una clasificación de datos manual o automática antes de cargarlos en la nube y mantener los controles de autorización de usuarios a nivel interno.
• Usuarios internos: en ocasiones, la amenaza proviene de los usuarios internos, ya sea de forma intencionada o accidental. La organización de TI debe contar con un enfoque con tres estrategias para mitigar este riesgo:

- Restringir los datos confidenciales exclusivamente a dispositivos gestionados

- Emplear análisis de comportamiento para supervisar la actividad

- Formar a los usuarios con frecuencia

La confianza cero desafía la estrategia basada en el perímetro al asumir que los ataques pueden originarse tanto desde dentro como desde fuera de la red de una organización. Ello resulta especialmente importante para la seguridad en la nube, puesto que los datos y servicios se encuentran distribuidos a través de varios entornos.

La confianza cero requiere la autenticación de toda persona que desee acceder a los recursos, con independencia de la ubicación o la conectividad de red. La computación en la nube es dinámica. Por tanto, se necesita una autenticación sólida, así como restricciones de acceso y una supervisión continua.

Implementar la confianza cero en la seguridad en la nube requiere aplicar varios principios clave:

• Céntrate en las identidades de usuario y en una autenticación fiable para proporcionar acceso.
• Concede el acceso mínimo necesario para que las personas puedan realizar sus tareas, a fin de reducir el efecto que puede tener que las credenciales se vean comprometidas.
• Supervisar la actividad de los usuarios y el tráfico de red en tiempo real puede sacar a la luz anomalías y problemas de seguridad.
• Para evitar vulnerabilidades y restringir el movimiento lateral dentro de la infraestructura, microsegmenta la red en secciones más pequeñas y aisladas.

La seguridad en la nube de confianza cero reconoce que nunca debe darse por sentada la confianza y que las medidas de seguridad deben ser implementadas, actualizadas y validadas continuamente para adaptarlas al escenario siempre cambiante de amenazas al ecosistema digital. Este método proactivo fortalece las infraestructuras de la nube frente a amenazas internas y externas, al abordar riesgos de ciberseguridad en constante cambio.

Hewlett Packard Enterprise (HPE) ofrece una gama de soluciones y servicios para ayudar a los clientes a mejorar sus políticas de seguridad en la nube. Esta es una descripción general de cómo HPE aborda los desafíos de seguridad en la nube con varias ofertas:

• El paquete HPE GreenLake de soluciones de nube y como servicio proporciona una experiencia de nube dondequiera que residan las aplicaciones y los datos: en el extremo, el centro de datos, en coubicación y en la nube pública. La arquitectura habilitada para la confianza cero, del extremo a la nube, ayuda a HPE GreenLake a abordar las lagunas y simplificar las vulnerabilidades de seguridad. Protege la cadena de suministro digital, al tiempo que garantiza la seguridad y el cumplimiento con una estrategia de ciberresiliencia y protección de datos basada en riesgos y centrada en el cumplimiento.
• HPE Managed Security ayuda a las empresas a alcanzar estándares de seguridad dando visibilidad y control para proteger los procesos corporativos con herramientas completas que recortan costes y liberan a la plantilla para otras tareas. HPE Managed Security proporciona administración, visibilidad y herramientas de control en una infraestructura preparada para la seguridad, a fin de ayudar a las empresas a abordar la seguridad de forma exhaustiva. Con una arquitectura de seguridad integrada y la supervisión continua, ayuda a las empresas a implementar un marco de confianza cero, así como a detectar y corregir debilidades de seguridad.
•  HPE Managed IT Compliance, que proporciona supervisión de cumplimiento, recomendaciones de reparaciones proactivas y un experto en cumplimiento fiable, es un servicio gestionado que ayuda a los clientes a localizar y corregir fallos de seguridad, así como a proteger sus datos y aplicaciones. HPE Managed IT Compliance utiliza procedimientos basados en estándares y las mejores tecnologías de su categoría para ayudar a los clientes a mantenerse por delante de un número cada vez mayor de obligaciones de cumplimiento, así como a reducir al mínimo el tiempo de preparación, el coste y la complejidad de las auditorías. HPE Managed IT Compliance se encarga de gestionar el cumplimiento por parte de los clientes del Reglamento General de Protección de datos y la Ley de Privacidad del Consumidor (CCPA).
• HPE Data Protection protege los datos de los clientes frente a los ataques de ransomware y otras amenazas con protección de datos continua que proporciona replicación siempre en funcionamiento en lugar de snapshots. El cifrado integrado de la protección de datos de HPE garantiza la seguridad de los datos de la copia de seguridad, con independencia de la ubicación.
• HPE Zero Trust Security es una solución diseñada para ayudar a los clientes a implementar un marco de confianza cero en sus configuraciones edge-to-cloud. La seguridad de confianza cero de HPE proporciona visibilidad y control granular para proteger datos, dispositivos, personas y aplicaciones frente a los asaltantes. Además, los clientes pueden reducir la superficie de ataque, identificar amenazas y responder a ellas, así como automatizar las operaciones de seguridad utilizando esta solución.
• HPE Aruba Networking ClearPass Policy Manager proporciona control de acceso a la red basado en roles y dispositivos, tanto a empleados como a subcontratistas e invitados, a través de cualquier infraestructura VPN, con cable e inalámbrica multiproveedor. ClearPass admite funcionalidades de autoservicio seguras para la comodidad de los usuarios finales. Los usuarios pueden configurar con seguridad sus propios dispositivos para un uso empresarial o el acceso a Internet.