Por Lizzie Noblecilla, Gerente de Seguridad, Banred.
La transición hacia la nube introduce diversos desafíos que deben ser considerados por las empresas, los cuales van desde aplicar adecuados esquemas de seguridad para la protección de los datos y aplicaciones, la adecuada gobernanza y gestión de recursos físicos, el cambio de cultura y habilidades que debe tener el personal, lo que denota una escasez de profesionales versados en tecnologías de nube, la rapidez con que tanto la tecnología como las amenazas cibernéticas evolucionan, las implicaciones de cumplir con regulaciones y leyes de protección de datos, la interoperabilidad y portabilidad hasta el desafío de comprender adecuadamente los modelos de responsabilidad compartida.
Estos desafíos han impulsado que las empresas que proveen soluciones de ciberseguridad deban adaptarse a este dinámico entorno de la nube, ofreciendo a las organizaciones una gama de soluciones avanzadas, que van desde firewalls de última generación, sistemas de detección de intrusos, herramientas para la gestión de identidades y accesos, análisis y gestión de vulnerabilidades hasta soluciones de control y monitoreo. Estas herramientas no solo incrementan la visibilidad sobre las operaciones en la nube, sino que también nos ayudan a una detección y respuesta eficiente ante amenazas cibernéticas.
La adopción de estas prácticas de ciberseguridad y la adaptación continua frente a las amenazas emergentes permiten construir y mantener la confianza digital en los entornos de la nube.
Es primordial que en este análisis de migración hacia la nube se tenga presente que existen diferencias importantes entre entornos on premise y entornos nube, como es el caso de la gestión de la tecnología, los modelos de responsabilidad compartida y los requisitos de cumplimiento que demandan estrategias de seguridad adaptadas a cada contexto.
Aunque la nube aporta claras ventajas en escalabilidad, elasticidad, agilidad y eficiencia, ésta viene acompañada de desafíos de seguridad que necesitamos abordar de manera proactiva para asegurar la protección de los datos y los sistemas alojados en ella. También implica entender a fondo los riesgos asociados y adoptar las medidas de seguridad necesarias para mitigarlos.
Considero que una adecuada gestión de las capacidades nativas de la nube, como es el caso de la escalabilidad, elasticidad, agilidad y la automatización apoyada por la inteligencia artificial, nos permiten fortalecer nuestra postura de seguridad en las organizaciones, además, de la mano de sus capacidades de versatilidad y resiliencia nos permiten reaccionar de forma proactiva ante posibles amenazas que pudiesen vulnerar los sistemas.
Reformulando la estrategia de ciberseguridad
Una organización que se dispone a migrar a la nube necesita, de manera imperativa, reformular su estrategia de ciberseguridad para enfrentar los nuevos desafíos y aprovechar las oportunidades que la nube ofrece. Este ajuste implica desde la mejora de los procesos de selección y contratación de proveedores de servicios en la nube, siendo esencial realizar un análisis exhaustivo de las capacidades del proveedor, su flexibilidad y su habilidad para implementar esquemas de seguridad robustos. Además, definir con precisión y de manera detallada las responsabilidades en materia de seguridad de cada parte, dejándolas establecidas en los acuerdos contractuales, con esto se garantiza que tanto la organización como el proveedor de la nube entiendan sus obligaciones y expectativas en cuanto a la protección de la información.
Asimismo, las organizaciones deben ampliar su conocimiento sobre los entornos en la nube a toda la organización y considerar al equipo de seguridad desde la fase de concepción hasta su implementación, lo que involucra fortalecer su enfoque de DevSecOps, integrando la seguridad como un componente fundamental en el desarrollo y las operaciones.
Además, las organizaciones deben enfocarse en la automatización e incorporación de herramientas avanzadas que permitan una adecuada gobernanza, gestión, control y monitoreo de los entornos en la nube. En línea con lo mencionado anteriormente, es imprescindible revisar y adaptar los requisitos de cumplimiento normativo específicos, enfocados principalmente en la gestión de datos en la nube y la protección de la privacidad de estos, para garantizar que se cumplan en el entorno de la nube.
Colaboración entre IT y Seguridad de la Información en la estrategia de nube
Una estrategia de nube requiere que los equipos de IT y de Seguridad de la Información trabajen de manera conjunta para adaptarse a las innovaciones que tendrá la organización en tecnología, procesos y prácticas.
Para gestionar adecuadamente este entorno de la nube y enfrentar con solvencia nuevos modelos de servicios, los colaboradores deben desarrollar nuevas habilidades y competencias para asegurar los servicios de manera efectiva
Indudablemente, adoptar tecnologías de ciberseguridad para salvaguardar entornos en la nube constituye un desafío considerable, porque se necesita entender y adaptarse a la arquitectura específica de cada nube. La diversidad de proveedores existente añade una capa adicional de complejidad, ya que aún no se ha alcanzado un nivel de interoperabilidad que permita la implementación de una arquitectura de seguridad única.
Sugerencias de ciberseguridad para ir hacia la nube
Para las organizaciones que están dando sus primeros pasos hacia la migración a la nube, es fundamental abrazar un enfoque estratégico en ciberseguridad, que va mucho más allá de la simple implementación de herramientas tecnológicas. Migrar a la nube representa una decisión estratégica profunda, que comienza con la comprensión del modelo de responsabilidad compartida y la construcción de una estrategia de seguridad multicapa, integrando tecnología, procesos y personas, todo ello cimentado en un análisis y apetito de riesgos detallado que la organización esté dispuesta a aceptar y que le permitan cumplir con sus objetivos estratégicos. Esto sin dejar de lado el cumplimiento normativo y las leyes de protección de datos.
Además, es vital reconocer que el entorno de amenazas es dinámico y evoluciona constantemente y requiere de una evaluación y ajuste continuos para adaptarse a estas nuevas amenazas y métodos de ataque que surjan.
Y finalmente, capacitar al personal de forma constante en seguridad en la nube y buenas prácticas de seguridad. Esto incluye la concienciación sobre los riesgos de seguridad asociados con la nube y la capacitación en el uso seguro de los recursos en la nube.
La eficacia de las estrategias de ciberseguridad en la nube
La evaluación de la eficacia de las estrategias de ciberseguridad en la nube es un proceso continuo y constante, por lo que es necesario definir métricas de ciberseguridad que ayuden a evaluarlas, por ejemplo, se pueden incluir mediciones de la tasa de detección de amenazas, el número de vulnerabilidades identificadas, el tiempo promedio para resolver vulnerabilidades, y la eficacia de la gestión de incidentes. A estas métricas se deberán sumar pruebas de penetración que permitirán evaluar la resistencia de los sistemas en la nube frente a posibles ataques cibernéticos.
Otro aspecto a tomar en consideración es la evaluación a los proveedores, la misma que debe hacerse, verificando que los proveedores cuenten con certificaciones de seguridad que demuestren su cumplimiento frente a estándares internacionales de seguridad.
Asimismo, se deben realizar ejercicios para medir la eficacia de los programas de formación y concienciación en ciberseguridad para empleados y por último, se debe realizar un análisis comparativo de las estrategias de ciberseguridad en la nube con los estándares y mejores prácticas de la industria.