Los principales riesgos de seguridad en la computación en nube

Por eso muchas empresas confían en arquitecturas híbridas y soluciones en local

El desarrollo global de la computación en nube es enorme. Ninguna empresa de éxito podrá escapar a las tendencias actuales a largo plazo. En particular, las soluciones de software impulsadas por la megatendencia de la inteligencia artificial y sus campos de aplicación aparentemente ilimitados están haciendo que la gestión de los proveedores y servicios en la nube sea cada vez más compleja.

Una de las consecuencias: Incluso los responsables de TI o los gestores de activos de software de pequeñas y medianas empresas con 100 empleados o más suelen tener que gestionar varios proveedores con diferentes productos SaaS. Para las empresas o grupos más grandes, las cifras y los retos se multiplican. Además de la evolución dinámica de los costes de las licencias, deben vigilar sobre todo los riesgos de seguridad asociados a los complejos entornos en la nube. Cuantas más aplicaciones de software, códigos fuente, datos confidenciales, procesos de producción y pedidos, chats y reuniones de la empresa tengan lugar en la nube, mayores serán los riesgos asociados a estos. Además, las diferentes normas de seguridad de los distintos proveedores de SaaS para las respectivas aplicaciones, como los modelos de autorización, los formatos de registro de eventos y los repositorios locales de usuarios plantean retos adicionales para la gestión de riesgos.

Dado que los riesgos en términos de seguridad cambian con la misma rapidez que los entornos de las empresas localizados en la nube, dada la dinámica actual, en esta entrada del blog analizaremos los principales. Y veremos un ejemplo práctico para mostrar por qué muchas empresas siguen rehuyendo a pasarse completamente a la nube tanto por razones de seguridad como de costes, prefiriendo en su lugar arquitecturas híbridas o incluso soluciones completas en local.

Vista general de los principales riesgos de seguridad

Riesgo de seguridad núm. 1: Identidades

Las personas tienen una identidad física y un número infinito de identidades digitales. Esto es especialmente evidente en los complejos entornos en la nube, donde cada nueva aplicación crea también nuevas identidades de usuario. Impulsadas por los grandes proveedores de la nube, como Amazon, Microsoft y Google, las identidades privadas y empresariales están cada vez más difuminadas. Por ejemplo, es probable que muchos empleados de estas empresas utilicen Microsoft 365 solo para fines privados, pero en caso de usarlo de manera empresarial, utilizan diferentes identidades, derechos y niveles de seguridad. Además, las empresas se enfrentan al problema de las identidades desconocidas debido al fenómeno de la nube en la sombra, ya que las soluciones de software están a disposición de casi cualquier persona en cualquier momento, incluso sin TI interna, por lo que se pierden de vista. Esto hace que a los responsables de seguridad les resulte cada vez más difícil mantener una visión de conjunto y proteger eficazmente el acceso a los datos de la empresa.

Por lo tanto, entre las medidas importantes para minimizar el riesgo se incluyen la gestión de activos de software centrada en la seguridad, la introducción de la autenticación multifactor (MFA), requisitos estrictos de contraseñas como parte de las directrices de cumplimiento, el uso de sistemas para documentar los intentos de inicio de sesión y el acceso, y un proceso de entrada y salida basado en la identidad, especialmente en las unidades organizativas que trabajan mucho con soporte externo o estaciones de trabajo remotas.

Riesgo de seguridad núm. 2: Vulnerabilidades sistémicas y errores de configuración

Las vulnerabilidades sistémicas por parte del proveedor, como los bugs, los días cero o los errores de código, son, por supuesto, difíciles de controlar. Por regla general, lo único que queda por hacer en este caso es asegurarse de que los errores se rectifiquen inmediatamente y de que los parches estén disponibles. Las auditorías periódicas también ayudan a identificar comportamientos inusuales de los usuarios para detectar posibles errores en una fase temprana. Por otro lado, el riesgo de una configuración incorrecta de los servicios en la nube o de las infraestructuras en la nube que abra brechas de seguridad no deseadas puede minimizarse de forma mucho más eficaz. Entre estos riesgos se incluyen, por ejemplo, bases de datos no seguras, contenedores de almacenamiento de acceso público o grupos de seguridad de red configurados incorrectamente.

Para minimizar eficazmente el riesgo, es crucial tener una visión actualizada de quién puede acceder a una aplicación en la nube en todo momento, a través de qué canales y en qué medida. Para ello, deben llevarse a cabo auditorías de seguridad periódicas y los empleados responsables deben recibir formación sobre las últimas normas de seguridad.

Unas normas de configuración definidas, basadas en los riesgos de seguridad conocidos y en las mejores prácticas existentes, ofrecen una importante palanca para la prevención de errores. Sobre esta base, incluso los complejos entornos multinube pueden supervisarse con la ayuda de herramientas de gestión de la situación de seguridad en la nube (herramientas CSPM) y los errores de configuración, las vulnerabilidades de las aplicaciones o las infracciones de la normativa pueden detectarse automáticamente e incluso rectificarse directamente. Según la empresa de investigación informática Gartner, los incidentes de seguridad causados por una mala configuración en la nube pueden reducirse hasta en un 80 % con un CSPM basado en las necesidades.

Riesgo de seguridad núm. 3: Aplicaciones en la nube

Las aplicaciones de terceros en la nube pueden convertirse rápidamente en vectores de ataque si no se comprueba suficientemente su seguridad. Las aplicaciones respectivas suelen interactuar entre sí para simplificar los procesos de trabajo existentes. Habitualmente se subestima el riesgo para la seguridad de las aplicaciones de terceros, los usuarios suelen conceder demasiados derechos sin que el departamento de TI se dé cuenta. Esto crea puertas de entrada eficaces para los ciberdelincuentes en caso de que existan lagunas de seguridad, que no sólo ponen en peligro todo el entorno de la nube, sino que pueden paralizarlo por completo.

Las comprobaciones y actualizaciones periódicas de la seguridad de las aplicaciones existentes y conocidas son tan importantes para minimizar el riesgo como una comprobación de estas de acuerdo con las normas de seguridad y certificación especificadas, como la DIN ISO 27001. En definitiva, es aconsejable gestionar la seguridad y las autorizaciones de acceso de la misma forma que para los dispositivos individuales o las cuentas de usuario.

Riesgo de seguridad núm 4: Disponibilidad

La disponibilidad de los servicios en la nube es un factor de riesgo existencial desde el momento en que las aplicaciones, los flujos de trabajo o los procesos de producción necesarios para las operaciones empresariales diarias se ejecutan en ella. Sin embargo, los escenarios de las amenazas son muy diferentes, desde la provisión técnica de recursos de hardware y software por parte del proveedor, las conexiones de hardware como los cables de fibra óptica, los ataques DDoS de los ciberdelincuentes hasta los errores humanos.

Las medidas de minimización de riesgos más importantes incluyen el desarrollo de planes de recuperación ante desastres y emergencias, el uso de sistemas redundantes, la distribución de servicios en la nube en varios centros de datos dispersos geográficamente, ciclos diarios de copias de seguridad y medidas adecuadas de protección DDoS que detecten los ataques en una fase temprana y eviten así que la disponibilidad sistémica se vea perjudicada.

Otros puntos débiles potenciales que a menudo se pasan por alto

Además de los principales riesgos de la computación en la nube, como parte de una estrategia de seguridad holística, las empresas deben asegurarse de que incluso los factores de riesgo que parecen menos importantes a primera vista no se conviertan en una puerta de entrada para los ciberdelincuentes. Entre ellos se incluyen los dispositivos finales digitales, la nube múltiple y la nube en la sombra, así como las personas con su comportamiento a menudo demasiado descuidado en el mundo laboral digital, como muestra esta entrada del blog.

Los riesgos de seguridad en la computación en la nube fomentan las arquitecturas híbridas y las soluciones locales

Especialmente en los sectores con normas estrictas en materia de cumplimiento y protección de datos, como la energía, la sanidad, el transporte y la logística o la eliminación de residuos, pero también en el ámbito de la administración pública, los riesgos de las soluciones en la nube total siguen siendo demasiado elevados para muchos responsables informáticos. En su lugar, las arquitecturas de nube híbrida o incluso las soluciones completas in situ siguen gozando de gran popularidad. Esto reduce los riesgos de seguridad en la computación en la nube, al menos en algunas áreas. Además, estos escenarios abren la posibilidad de reducir de forma sostenible los costes continuos de las licencias mediante la integración basada en las necesidades de software de segunda mano, como muestra el siguiente ejemplo del Grupo LMT:

La empresa del sector de la construcción de maquinaria especial, con 2200 puestos de trabajo, quería obtener las licencias necesarias para ello. Esto afectó a 10 ubicaciones de TI en todo el mundo. Entre otras cosas, la solución combinaba un plan Office 365 E1 con licencias de segunda mano de PREO para Office 2016 y Windows 2016 Server CAL. El resultado fue la funcionalidad de un plan E3, pero sin Office ProPlus.

Resultado: La empresa consiguió ahorros superiores a las seis cifras sin sacrificar la productividad. La totalidad de la inversión se amortizó en el segundo año. ¿Le parece interesante? Puede encontrar el caso de cliente completo aquí.

Infórmese ahora gratuitamente

Ventajas inmejorables: el software de segunda mano de PREO para su funcionamiento en local

Ofrecemos a empresas, organizaciones y administraciones públicas una amplia selección de licencias por volumen de segunda mano para servidores, sistemas operativos o software de aplicación, especialmente de Microsoft, con las que pueden optimizar de forma sostenible sus costes de licencia y beneficiarse de múltiples maneras:

• Gran ahorro en los costes de licencia en curso, de hasta un 70 % en comparación con la nueva versión correspondiente.
     
  
• Adquisición de licencias 100 % conforme a la ley y a prueba de auditorías con la máxima transparencia en todos los pasos de la tramitación, incluida la documentación completa en el portal de licencias PREO "Easy Compliance".
  
  
• Muchos años de experiencia en la integración de licencias de software de segunda mano en estructuras de red clásicas o modelos de licencia híbridos.
  
  
• Más sostenibilidad en el sector de las TI promoviendo una economía circular activa y reduciendo la huella de CO2 de las empresas. Hablando de sostenibilidad: PREO es el primer vendedor de software de segunda mano que aparece en la lista con una Scorecard de EcoVadis, el mayor proveedor mundial de calificaciones de sostenibilidad.
  
  
• Conocimiento detallado del mercado y amplia experiencia gracias a la transferencia a prueba de auditorías de más de un millón de licencias de software de segunda mano.
  
  
• Capacidades existentes de gestión de licencias de software para grandes proyectos de infraestructuras informáticas con miles de puestos de trabajo y ubicaciones transfronterizas.
  
  
• Impresionantes proyectos de referencia para numerosas empresas medianas y grandes de una amplia gama de sectores.

Infórmese ahora gratuitamente