Todos se preguntaran lo mismo, una vez de comprender los beneficios en materia de reducción de costos de subirse a la nube, la pregunta surge casi naturalmente ¿Están seguros mis datos en la Nube?.
Quien les conteste que no hay nada más seguro que la Nube, está totalmente errado. Se darán cuenta, luego de leer este artículo, que tal afirmación es un error de concepto.
Primero, hay algo que debe quedar más que claro, las responsabilidad sobre la seguridad de los datos de nuestra empresa no se delega en nadie. Si bien, los proveedores de servicios de nube pública invierten grandes presupuestos en materia de seguridad, subir nuestra infraestructura a la Nube no significa que debamos desentendernos de estas cuestiones.Es más, es uno los aspectos que bajo ninguna circunstancia debemos desatender.
Si nuestras medidas de seguridad de nuestro entorno local son débiles y vulnerables, también lo serán en el entorno de la Nube,de hecho nuestra infraestructura estará más expuesta y por ello debemos reforzarlas.
Por eso es más que recomendable, casi mandatorio, que antes de comenzar a migrar tu infraestructura a la Nube, realices una revisión del estado de la seguridad toda tu plataforma teniendo en cuenta:
- Políticas de acceso
- Políticas de contraseñas.
- Seguridad los sistemas operativos y bases de datos utilizados
- Seguridad de los sistemas de software (ERP,CRM, etc…).
- Seguridad perimetral de la red de datos.
Esta evaluación es recomendable que la dejes en manos de un consultor en seguridad de la información, es dinero bien invertido.
Dicho esto… Analizaremos entonces los que debemos de tener en cuenta sobre la seguridad de nuestra información almacenada en la Nube.
Protección de los datos sensibles
Tengamos en cuenta que al optar por subir nuestra infraestructura tecnológica a la nube pública, estaremos compartiendo los mismos recursos físicos (servidores, almacenamiento) con otros usuarios de esta Nube, aunque exista una separación lógica, puede que por una vulnerabilidad del sistema operativo o por un error humano los datos queden expuestos y sean víctima de accesos no deseados. Incluso no descartemos el escenario de un ataque dirijo a hacerse con toda la información de nuestra empresa. Es muy recomendable el cifrado de los volúmenes de datos (encriptación) para prevenir este tipo de incidentes.
Tener controlado quienes acceden a nuestros datos
La gestión de identidad, es la administración de todas nuestras cuentas y perfiles de acceso a nuestros sistemas y recursos. Desde la creación y seguimiento de todo el ciclo de vida de la misma hasta su eliminación y disposición final.
Si la gestión de identidad es deficiente dentro de nuestro empresa, será igual o peor de deficiente en el entorno de la Nube, y será un posible causante de una violación de acceso a los datos. Es muy importante mantener un registro documentado de quien accede, cuando lo hace, desde dónde, y a qué recursos o sistemas tiene permitido hacerlo.
Además cada cuenta debe tener un perfil de acceso adecuado, los permisos a los recursos y sistemas tienen que ser solo lo necesarios para que la cuenta cumpla su función. Muchos atacantes hacen utilización de cuentas que tienen permisos innecesarios sobre recursos y sistemas.
Revisión de las políticas de contraseñas.
Con este tema estamos más que familiarizados,basta con recordar la última vez que cambiamos la contraseña de nuestro usuario de homebanking. Todas las restricciones que nos informa el sitio del banco, para generar una nueva contraseña, están alineadas con su política de contraseñas. El objetivo es muy simple, hacer que nuestra contraseña (password) sea menos “adivinable”, en términos técnicos débil o vulnerable.
Reforzar nuestra política de contraseñas previo a subirnos a la Nube es algo que no debemos omitir. Reforzar quiere decir, no permitir contraseñas en blanco, que sean iguales al nombre de la cuenta de usuario, no permitir números consecutivos o repeticiones consecutivas, el famoso 123456, establecer la utilización obligatoria de combinaciones de caracteres en mayúscula y minúscula con números, además de sugerir la no utilización de cumpleaños, nombres de pila etc..
Actualizaciones de seguridad de nuestros sistemas.
Es constante la emisión de alertas de seguridad, las cuales indican que nuestro sistema operativo (Windows /linux) puede ser vulnerable a ciertos ataques. La única forma de lidiar con este tema es manteniéndose al día con las actualizaciones de nuestra plataforma de sistemas operativos.
En la Nube estaremos en un ambiente donde compartiremos recursos, no solo de procesamiento y almacenamiento, sino que también de acceso a la red. Una vulnerabilidad no contemplada en cualquiera de nuestros sistemas operativos puede ser utilizada ganar acceso a nuestra infraestructura y generando un grave incidente de seguridad.
Pero las vulnerabilidades de seguridad no son exclusivas de los sistemas operativos, también nuestros sistemas de gestión (ERP,CRM,etc…) pueden dejar expuesta nuestra infraestructura a un ataque. Es por ello que también debemos tener reparo en aplicar todas las recomendaciones del fabricante con respecto a la seguridad del sistema.
Control de la Seguridad Perimetral de la red.
Es muy importante tener clara la arquitectura de la red que utilicemos a la hora de subirnos a la Nube, es necesario diseñar previamente como resolveremos las cuestiones de tránsito entres nuestra red y la Nube e incluso como configuraremos la red lógica dentro de la Nube misma.
Por eso debemos sacar ventaja del potencial de las herramientas que nos brindan la mayoría de los proveedores de Nube pública. Por supuesto que dentro de este ecosistema todas las separaciones serán lógicas y no físicas, recuerden que estamos compartiendo la misma red física con otros usuarios suscritos a nuestro proveedor.
Para resolver el intercambio de información entre la Nube y nuestro entorno local y asegurarnos de que nadie puede colarse o espiar el tráfico de este canal de información, se debe utilizar una red VPN (Red privada virtual). Hay muchas formas de implementar una red VPN para conectarnos con la Nube, pero lo importante es que al utilizarla los datos que intercambiemos, entre nuestro sitio local y la Nube, viajarán cifrados y nadie podrá escudriñarlos.
Dentro de la Nube misma,realizar una separación lógica utilizando Sub-redes virtuales para aislar los recursos que contienen información crítica de los que no, es una práctica extremadamente recomendable. Al realizar esta separación podemos también controlar y filtrar el tráfico de datos entre las diferentes Sub-redes, esto permitirá que los recursos que están más expuestos a Internet no deban convivir en el mismo ámbito de red que los recursos a los que queremos restringir y mantener el acceso mas controlado.
Software Antivirus para el entorno de Nube
Es importante, a la hora de elegir nuestra solución de software antivirus, que nos inclinemos por aquellas que proveen, de manera nativa, funcionalidades de protección para operar de forma segura en el entorno de la Nube. Seguramente nos brindarán herramientas para enfrentar las amenazas a las cuales estará expuesta nuestra infraestructura en este nuevo entorno.
En conclusión , hemos enumerado lo que considero las premisas básicas para lograr un entorno seguro de operación en la nube y confió en que servirán de guía para aquellos que quieran dar el primer paso hacia el. Seguramente seguiremos ahondando en los temas de seguridad en la nube en futuros artículos.
Hasta el próximo post!
Comenta y Comparte!!!