Blog Item 2

Seguridad en la nube: una responsabilidad compartida (1/2)

El éxito de la nube

La computación en la nube (o Cloud) ofrece aplicaciones rentables, económicas y fáciles de usar. El Cloud conoce un éxito creciente y las posibilidades que aporta este nuevo paradigma parecen sin fin y ofrecen al usuario una comodidad nunca vista. Gartner predice que de aquí a 2020, el ingreso proviniendo de los proveedores de IaaS y PaaS va a alcanzar 55,000 millones de USD (y superar las ventas de servidores). Las ventajas son múltiples:

• Ahorro: la nube significa una reducción de inversión de capital y costes operativos. Además, la empresa utiliza exactamente lo que necesita y paga por lo que consume.
• Agilidad: las empresas pueden ofrecer nuevos servicios de manera mucho más rápida y sencilla que con una infraestructura tradicional.
• Facilidad: el rompecabezas de dimensionamiento de una infraestructura tradicional no existe en la nube, las aplicaciones aprovechan la escalabilidad de la infraestructura, esencia misma del Cloud
• Movilidad: un acceso remoto incomparable desde la oficina, la casa, un dispositivo móvil, etc.
• Y muchas otras ventajas

Nube y seguridad

De manera nativa, la nube ofrece ventajas significantes cuando se trata de seguridad:

• Las medidas de seguridad son más baratas cuando se aplican a gran escala. Podemos considerar que un proveedor de servicio en la nube puede invertir en sistema de seguridad que un solo cliente difícilmente puede permitirse.
• Las ubicaciones múltiples proveen una mejor disponibilidad. Los proveedores en nube cuentan con los recursos económicos necesarios para replicar el contenido en ubicaciones múltiples, aumentando la redundancia y la independencia de los errores. En caso de desastre o de ataque, bascular hacia el sistema espejo es rápido y eficaz.
• Mejora del tiempo de respuesta a los incidentes al dejar la responsabilidad de la parte material a expertos dedicados, aumenta la eficacidad de tratamiento de los incidentes.
• Un proveedor en nube puede permitirse contratar a especialistas para que se ocupen de las amenazas concretas a la seguridad, mientras que las empresas individuales difícilmente podrían.

Sin embargo, unas de las primeras objeciones que escuchamos cuando empezamos a hablar de nube es la parte de seguridad. Con razón, los CTO, CIO y CISO se preocupan de la integridad de los datos y la seguridad de las aplicaciones. ¿Qué tan segura es la nube? ¿Dónde están mis datos? ¿Cómo me pueden asegurar que mis aplicaciones van a ser protegidas? ¿Pueden los usuarios no autorizados acceder a mis datos confidenciales?




Ahora ¿porque estas dudas son permitidas? y ¿de dónde nacieron?

La computación en la nube provee a los usuarios y empresas numerosas capacidades de almacenamiento y procesamiento de información en centros de datos de terceros. Podemos identificar dos tipos de problemas de seguridad: a los que se enfrentan los proveedores de la nube (IaaS: AWS, Microsoft Azure, Movistar, etc. SaaS: DropBox, SalesForce, Gmail, etc.) y los problemas de seguridad enfrentados por los clientes (compañías y organizaciones que utilizan el servicio).

En el modelo tradicional, que consiste en poseer y administrar su propia infraestructura (“in-house”), la responsabilidad es al 100% de la empresa u organización. En el modelo de la nube, la responsabilidad es compartida.




¿Cómo se dividen las responsabilidades?

El proveedor del servicio debe de asegurar que la infraestructura (desde el edificio físico hasta el servidor, la red y la consola administrativa) sea segura y que la información esté a salvo. Del otro lado, los clientes deben de tomar medidas para disminuir al máximo las debilidades de las aplicaciones y adoptar costumbres compatibles con un nivel de seguridad máxima (como contraseñas seguras y restricciones de puertos).




¿Cómo minimizo el riesgo?

Elegir la nube es compartir el riesgo con un proveedor y renunciar al acceso físico a los servidores que almacenan la información. Los proveedores del servicio de la nube deben asegurar seguridad a través de chequeos realizados por los empleados que tienen acceso a los servidores físicos. Adicionalmente, los centros de datos deben de ser monitoreados contra actividad sospechosa.

Del lado del cliente, inculcar buenas costumbres es un reto, pero es esencial para garantizar un nivel de seguridad óptimo:

• Restringir acceso a direcciones IP conocidas (cuando sea posible).
• Utilizar certificados o, cuando no sea posible, contraseñas de alta seguridad.
• No permitir acceso administrativo publico.

El usuario final tiene una responsabilidad, sabemos también que las aplicaciones son una de las primeras debilidades de un sistema informático.

Finalmente, la parte que corresponde al cliente es muy similar en una infraestructura “in-house” y en la nube. El cliente debe de aceptar compartir esta responsabilidad.