¿Cómo se ve afectada la seguridad de los datos de la empresa por el cambio a la nube?

La automatización de la seguridad en la nube aún se encuentra en fase inicial en muchas organizaciones

Debido a la pandemia de coronavirus, muchas empresas se vieron obligadas a poner en marcha proyectos de migración a la nube, para poder dar soporte a la información compartida, y a las herramientas de trabajo colaborativo entre sus trabajadores, que habían pasado a teletrabajar.

Esta transición tan rápida e inesperada, abría la puerta a más amenazas de seguridad.

A medida que las empresas aumentaban la carga de trabajo en la nube, los incidentes de seguridad en la misma se incrementaban en una proporción exponencial:

1. Este aumento, ha sido debido principalmente a la falta de capacidad y conocimientos en las empresas para automatizar la seguridad en la nube.
2. Más de la mitad de esos incidentes se debían a configuraciones incorrectas del cliente que, podrían haberse limitado utilizando controles de seguridad automatizados.

¿Cómo podemos aumentar la seguridad de nuestros datos en la nube?

Para mitigar el impacto de estos incidentes de seguridad en este nuevo paradigma de trabajo, las empresas deberían centrarse en la automatización de procesos y actividades relacionadas con la nube y la seguridad.

Algunas de esas medidas para mejorar la seguridad y mitigar los riesgos, se describen en los párrafos siguientes:

• Realizar un análisis profundo de cómo están utilizando la nube los empleados. Analizar las interfaces entre las aplicaciones y la nube y cuáles son las cargas de trabajo entre unas y otras.
• Colocar “barreras de seguridad” (security guardrails, en inglés). Se trata de automatizaciones que vigilan constantemente las implantaciones en la nube, encuentran desviaciones de las líneas base deseadas e incluso pueden solucionar problemas automáticamente. Por ejemplo, si existe una base de datos que recibe tráfico directo desde internet, el sistema, de forma automática, debería identificar esta situación anómala en el entorno y tratar de corregirla automáticamente o generar las alertas correspondientes para que el equipo de sistemas pueda resolverlo.
• Una buena opción también sería la utilización de plantillas de IaC (Infrastructure as Code, infraestructura como código). La IaC consiste en el uso de scripts para configurar la infraestructura de computación en vez de configurar las máquinas de forma manual o a través de herramientas de configuración. Estas plantillas deberían analizarse previamente en busca de vulnerabilidades de seguridad. La utilización de esta tecnología permitiría a la infraestructura volverse elástica, es decir, repetible y escalable. Utilizando el mismo conjunto de códigos se pueden gestionar innumerables máquinas.
• Adoptar o definir previamente un estándar de seguridad. Si no existe un patrón, es difícil hacer cumplir una serie de medidas. En la actualidad, en internet y a través de diferentes asociaciones y grupos de trabajo, hay accesibles ya diferentes puntos de referencia para las principales plataformas en la nube donde se muestra cómo automatizar y codificar esos estándares aprovechando IaC.

Ventajas de la automatización de la configuración de la infraestructura

Velocidad en el despliegue, ahorro de costes y reducción de riesgos de configuración son algunas de las ventajas que ofrece este acercamiento a la configuración de la infraestructura.

En esta nueva arquitectura de sistemas y aplicaciones, es preciso que los ingenieros encargados de la seguridad también sepan programar puesto que, la mayoría de los entornos de nube pública, están gestionados por APIs.

Integrar la seguridad en DevOps y en sus procesos de integración con el fin de minimizar la interacción humana automatizando tantas operaciones como sea posible.

En Tritón Sistemas de Información y Telecomunicaciones, somos consultores de tecnología y ayudamos a las empresas a elaborar e implantar sus políticas de seguridad en entornos cloud.