La seguridad en la nube es una disciplina de la ciberseguridad dedicada a asegurar los sistemas informáticos en la nube. Esta disciplina incluye mantener los datos privados y seguros a través de la infraestructura, las aplicaciones y las plataformas en línea.
Asegurar estos sistemas implica esfuerzos de los proveedores de la nube y de los clientes que los utilizan, bien sea que se trate de una persona, una pequeña o mediana empresa, o una organización.
Los negocios usan una variedad de términos para destacar sus productos, en lugar de las descripciones más técnicas de NIST; desde DBaaS (disaster recovery) hasta HSMaaS (hardware security module), así como DBaaS (database) y, finalmente, XaaS (cualquier cosa). Dependiendo de lo que una empresa esté promocionando/vendiendo, puede ser difícil determinar si un producto es SaaS o PaaS, pero al final, es más importante comprender cuáles son las responsabilidades contractuales del proveedor de la nube.
Los proveedores de la nube extienden sus contratos para agregar la seguridad en las formaciones de la nube por medio de servicios como HSMaaS (hardware security module) o DRMaaS (digital rights management).
La arquitectura de la nube es la organización de los componentes y subcomponentes en una estructura lógica, eficiente y efectiva. Esta estructura debería permitir que los componentes trabajen juntos para lograr una meta, maximizando las fortalezas y minimizando las debilidades.
Los componentes básicos que se requieren para crear una nube incluyen redes, routers, switches, servidores y otros, como firewalls y sistemas de prevención de intrusiones. La nube también incluye todos los elementos dentro de los servidores: el hipervisor, las máquinas virtuales y, por supuesto, el software. La arquitectura de la nube también requiere un proveedor de la nube, un arquitecto de la nube y un broker de la nube para crear, administrar, vender y comprar servicios de la nube.
Muchos términos relacionados con la arquitectura de la nube solo agregan la palabra “nube” a un término ya familiar, como “consumidor de la nube”. Si usted entiende la definición de “consumidor”, entonces el nuevo término es claro: se refiere a un consumidor de los servicios de la nube en lugar de, digamos, servicios telefónicos.
La seguridad en la nube es una responsabilidad compartida entre el proveedor de la nube y el cliente.
Las prácticas de seguridad en la nube son similares en muchos aspectos a las prácticas de seguridad informática y de red tradicionales, pero hay algunas diferencias clave. En contraste con lo que ocurre con la seguridad de TI convencional, la seguridad en la nube suele regirse por un modelo de responsabilidad compartida donde el proveedor de servicios en la nube es responsable de gestionar la seguridad de la infraestructura subyacente (por ej., servicios de almacenamiento en la nube, servicios de informática en la nube, servicios de redes en la nube), y el cliente es responsable de gestionar la seguridad de todo lo que se encuentra por encima del hipervisor (por ej., sistemas operativos invitados, usuarios, aplicaciones, datos).
La seguridad informática tradicional ha experimentado una inmensa evolución debido al cambio a la informática basada en la nube. Si bien los modelos de la nube permiten una mayor comodidad, la conectividad siempre activa requiere nuevas consideraciones para mantenerlos seguros. La seguridad en la nube, como una solución de ciberseguridad modernizada, se distingue de los modelos informáticos heredados en algunos aspectos.
Resolver la mayoría de los problemas de seguridad en la nube significa que tanto los usuarios como los proveedores de la nube, tanto en entornos personales como en empresariales, deben ser proactivos en cuanto a sus propias funciones en la ciberseguridad.
Si no es consciente de su existencia, ¿cómo se supone que va a tomar las medidas adecuadas? Después de todo, una seguridad débil en la nube puede exponer a usuarios y proveedores a todo tipo de amenazas de ciberseguridad. Algunas amenazas comunes a la seguridad en la nube incluyen:
La interconexión también plantea problemas para las redes. Los actores maliciosos a menudo acceden con credenciales comprometidas o débiles. Una vez que un hacker consigue acceder a una red, puede propagarse fácilmente y utilizar las interfaces mal protegidas de la nube para localizar información en diferentes bases de datos y nodos.
El almacenamiento de los datos por parte de terceros y el acceso a través de Internet también plantean sus propias amenazas. Si, por algún motivo, estos servicios se interrumpen, podría perderse el acceso a los datos. Por ejemplo, un corte en la red telefónica podría significar que no sería posible acceder a la nube en un momento esencial.
Los clientes de la nube deben instituir diversas medidas para proteger tanto las aplicaciones como los datos basados allí y mitigar los riesgos de seguridad. Entre las habituales prácticas recomendadas de seguridad en la nube se incluyen:
Las empresas deben observar diversas leyes, regulaciones y contratos. Cuando coloca sus datos y servicios en posesión de alguien más, las auditorías requeridas para confirmar el cumplimiento pueden volverse más complicadas.
Pregúntese a sí mismo: “¿Qué es lo que más me preocupa?”
Esto le ayudará a determinar qué preguntas hacerle a su proveedor de la nube. Desde un punto de vista legal, las organizaciones deben cumplir con:
Una vez que se identifica el sujeto del cumplimiento, es posible emprender varias acciones, una de las cuales es la auditoría. Esta debe conducirse usando un enfoque estandarizado y metodología comprobada, como el Accountants’ SSAE 18 (Statement of Standards on Attestation Agreements, No. 18.