Fortalecer la seguridad en la nube antes de que termine el año
Las empresas relativamente nuevas en las operaciones de la nube se están esforzando por reforzar su postura de seguridad en la nube 360 grados en un panorama en rápida evolución.
El cielo es el límite para la migración a la nube, ya que Gartner predice que se prevé que el gasto mundial de los usuarios finales en servicios de nube pública crezca más del 25% . A los propietarios de empresas les encanta la mayor escalabilidad y eficiencia operativa, la menor dependencia de los sistemas físicos, el acceso a nuevas tecnologías y el modelo de pago de suscripción.
En la última media década de rápida adopción masiva de la nube, las empresas tecnológicas disfrutaron de una nueva sensación de ciberseguridad, habiendo prescindido de perímetros locales para defender. Hoy día más del 45% de las filtraciones de datos ocurrie en los servicios en la nube. Con la inminente ubicuidad de las empresas que recurren cada vez más a entornos de nube pública, multinube e híbrida, la seguridad de las plataformas y los datos en la nube deberá madurar rápidamente para seguir el ritmo de los siempre presentes ciberdelincuentes.
Una empresa que aplica medidas de seguridad tradicionales que quedaron de los entornos estáticos a los entornos de nube se está preparando para el fracaso. En particular, las empresas nuevas que están a punto de migrar o que han migrado recientemente a servicios en la nube podrían ser víctimas de un enfoque de seguridad de «configúrelo y olvídese», dado que el paso a plataformas en la nube requiere una gran cantidad de recursos de gestión de cambios incluso antes de considerar los datos. Hemos observado que las empresas nuevas deben ir más allá de lo básico para proteger la organización contra las principales vulnerabilidades de la nube, como seguridad inadecuada de la gestión del acceso a la identidad, API e interfaces inseguras, configuración incorrecta y control de cambios inadecuado.
La seguridad básica es solo el primer paso para proteger los entornos de nube
Los sistemas y medidas de seguridad básicos están integrados en los servicios de nube de los principales proveedores como AWS e IBM Azure, quienes, combinados, poseen más de la mitad de la infraestructura de nube del mundo. La infraestructura de seguridad central de estos proveedores líderes incluye controles centralizados, automatizados y detallados para que los CISO puedan gestionar y minimizar los riesgos operativos, técnicos y de seguridad. Una empresa nueva ha hecho bien en configurar políticas de gestión de identidad federada y acceso con privilegios mínimos en su nube, reglas de firewall de nube privada virtual, un firewall de aplicaciones web o puerta de enlace API correctamente configurado y paneles de registro y monitoreo.
Pero si bien esto puede parecer una protección amplia para el ejecutivo no técnico, es la cobertura más básica. Por ejemplo, si bien las herramientas de registro y monitoreo le alertarán sobre un evento de amenaza activo, sigue siendo complejo y requiere mucho tiempo determinar la causa raíz de la incursión. Optimizar los programas de seguridad básicos integrados en los proveedores líderes es solo el primer paso para crear una «zona de aterrizaje segura» para que una empresa de tecnología realice negocios de forma segura.
Más allá de la seguridad básica para una zona de aterrizaje segura
Los proveedores de servicios en la nube exponen estructuras de seguridad propias y de terceros en múltiples capas: almacenamiento, red, aplicaciones y usuarios, entre otros. Para lograr una “zona de aterrizaje segura” para hacer negocios en la nube, las empresas deben abordar las brechas en la seguridad de los proveedores de nube básicos para protegerse contra ciertas vulnerabilidades como inyección SQL, secuencias de comandos entre sitios, DoS y ataques de fuerza bruta. Como se mencionó anteriormente, las empresas necesitan registros y monitoreo más avanzados para poder detectar y analizar un evento de amenaza automáticamente y medir y evaluar comportamientos relacionados con los datos, las aplicaciones y la infraestructura.
Para las empresas de tecnología en crecimiento que recientemente se han incorporado a la nube, es posible que hayan solucionado una o dos necesidades apremiantes en su seguridad, pero no han alcanzado una postura defensiva integral y sólida. Las posturas de seguridad más avanzadas incluyen una armadura en la nube para comprender lo que sucede desde la perspectiva del firewall de una aplicación web y un centro de comando de seguridad para agregar diferentes señales provenientes de diferentes lugares y poder investigarlas en profundidad.
Además, las empresas deberían evaluar su infraestructura en la nube y su cadena de suministro de software para analizar las brechas de seguridad e identificar los puntos débiles en su propio código donde los piratas informáticos descubren lagunas. Deben asegurarse de que todos estos marcos de seguridad estén institucionalizados en su propia base de código.
Evaluar y reevaluar para adelantarse a la creciente complejidad de los entornos de nube
A partir de 2022, el 60% de todos los datos corporativos fue almacenado en la nube. Las filtraciones de datos cuestan a las empresas enormes sumas de dinero en sanciones por incumplimiento e interrupción del negocio, arruinan la reputación corporativa y dañan la confianza de los clientes. El éxodo empresarial masivo hacia la computación en la nube significa que debemos fortalecer nuestra seguridad en la nube más temprano que tarde. Ahora es el momento de que las empresas de tecnología evalúen o reevalúen sus posturas de seguridad en la nube.
Dado que la tecnología de la nube está permitiendo la ampliación y mejora de otras tecnologías importantes como IoT, IA, automóviles sin conductor, blockchain y Metaverso, la superficie de ataque digital seguirá expandiéndose, creando más territorio digital que defender. Para agravar la complejidad están las tendencias en evolución hacia modelos de nube híbrida y multinube, lo que aumenta los desafíos en la gestión consistente de las configuraciones y la gobernanza.
Aunque las empresas de tecnología y los proveedores de nube participan en un modelo de responsabilidad compartida (responsabilidad del cliente + responsabilidad del proveedor de servicios), es ventajoso para los líderes de seguridad de la empresa abordar la ciberseguridad como su única responsabilidad para salvaguardar los datos, las identidades, los dispositivos y las aplicaciones de una empresa.
Fuente: SpiceWorks
