La nube no ha necesitado mucho tiempo para consolidarse como un pilar fundamental en la actividad de negocios de todo el planeta. En tan solo cinco años, la nube ha evolucionado hasta convertirse en una necesidad fundamental para crecer en la era digital. Ya sea por su capacidad para transformar el papel que desempeñan los profesionales del mundo de la informática, hacer posibles nuevos servicios, ofrecer mayor flexibilidad a las redes o estimular la innovación, la nube ha dejado claro que es el motor que hace posible una nueva generación de servicios empresariales.
Aunque, sin duda ninguna, la nube aporta ventajas clave, también ha dado pie a una nueva oleada de amenazas a la ciberseguridad que pueden tener un impacto muy negativo para las empresas. Así, por ejemplo, un reciente informe elaborado por el Ponemon Institute desvela que, hoy en día, el coste total medio de una brecha de seguridad va de los 2,2 millones de dólares, en el caso de incidentes en el que se vean afectadas menos de 10.000 cuentas, a los 6,9 millones, en el caso de incidentes con más de 50.000 vulneradas. Las repercusiones económicas representan, claramente, un gran motivo de preocupación para las empresas. Sin embargo, no son sino uno de los múltiples factores de riesgo a tener en cuenta. Además del impacto económico, las compañías se enfrentan a posibles perjuicios irreparables para su reputación y a la pérdida de confianza de sus clientes.
Además de un creciente número de vulneraciones de seguridad, el sector también está siendo testigo de la llegada de una nueva ola de normativas como el RGPD o la Cloud Act estadounidense, diseñadas para proteger a clientes y empresas. Ante todo ello, hoy es más importante que nunca contar con la estrategia de seguridad adecuada.
¿Pero por dónde empezamos? ¿Qué deberíamos tener en cuenta para garantizar que contamos con la ciberseguridad necesaria para proteger nuestros datos en la nube?
En AWS creemos que la seguridad debe ser un elemento integral de cada componente y elemento de cualquier servicio en la nube, independientemente del tamaño de la empresa. Vamos a empezar por una serie de consideraciones clave que solemos repasar con nuestros clientes durante sus despliegues:
- Clasificación de los datos: cread reglas y políticas claras para vuestros datos
Deberéis empezar por clasificar vuestros datos en función de las políticas de privacidad y seguridad de vuestra empresa, las normativas que sean de aplicación en vuestro país, así como cualquiera otras norma o legislación que sea de aplicación, como el RGPD. Resulta importante emplear un proceso eficaz a la hora de clasificar los datos porque puede ayudar a determinar qué nivel de control necesitáis para vuestras redes y contribuirá a mantener la confidencialidad e integridad de vuestros datos.
Al seguir esta clasificación y tenerla en cuenta a la hora de diseñar vuestros sistemas de gestión de seguridad de la información (o ISMS), estaréis garantizando que contáis con las tecnologías de seguridad necesarias para cumplir vuestros controles de gobernanza, incluyendo capacidades como el cifrado integral, y así defenderos ante futuras amenazas.
- Usad un modelo de privilegios mínimos
Comprender bien quién tiene acceso a cada conjunto de datos y restringir dichos accesos es vital a la hora de mitigar riesgos y minimizar las repercusiones de posibles errores humanos. La implementación de un modelo estructurado en torno a privilegios y la aplicación estricta de los estos sobre vuestros datos os permitirá mantener el control sobre vuestra red y proteger vuestro negocio frente a amenazas cada vez más numerosas. Para hacerlo, bastará con que implantéis una política que otorgue a los usuarios el acceso mínimo imprescindible, en función del nivel de privilegios que cada usuario necesite. Seguid las prácticas idóneas en la gestión de accesos e identidades de vuestro proveedor de servicios en la nube y utilizad funciones que os ofrezcan la flexibilidad que necesitáis sin renunciar a estrictas políticas de seguridad.
- Usad las herramientas disponibles para monitorizar y registrar el acceso y utilización de los datos
Utilizad las herramientas de vuestro proveedor de servicios en la nube para monitorizar y registrar continuamente todo acceso a los datos, y así comprender mejor la actividad y utilización de vuestra plataforma. Aseguraos de contar con herramientas con las que monitorizar historiales de sesiones y almacenad estos historiales para futuras auditorías. Al hacerlo, estaréis identificando cualquier posible amenaza interna o cambios de comportamiento antes incluso de que se produzca una brecha de gran magnitud.
Hay múltiples herramientas que os ayudarán a definir y monitorizar parámetros, que además os permitirán recibir alertas cuando alguien acceda o modifique los datos almacenados en la nube. Si tenéis una herramienta para descubrir datos sensibles en vuestros conjuntos de datos, ¡utilizadla!
- Cread y aplicad reglas con las que proteger vuestros contenidos
Trabajad en colaboración con vuestro proveedor de servicios en la nube y vuestros equipos para establecer sistemas de control de versión y de cifrado con los que proteger vuestros contenidos. Así, por ejemplo, Amazon S3 ofrece un sistema de cifrado predeterminado con el que controlar el cifrado de vuestros buckets de S3. Y lo que es más importante, al utilizar cifrado realizado en el servidor, Amazon S3 puede cifrar cualquier objeto antes de almacenarlo en disco en sus centros de datos, y sólo lo descifra al descargarlo, protegiendo así vuestros datos, tanto en la nube como durante las transferencias. Al implantar estas reglas y trabajar con vuestro proveedor de servicios en la nube para implementar el cifrado que sea necesario, independientemente de los movimientos que realicen vuestros datos, estaréis protegiendo vuestros contenidos frente a las amenazas más sofisticadas.
Cómo garantizar la seguridad de los datos en la nube
No cabe duda de que el tránsito a la nube es el futuro para cualquier negocio, ya que creará un sinfín de oportunidades para la innovación para empresas de todo el planeta. Sin embargo, proteger los datos almacenados en la nube requiere una planificación meticulosa, la colaboración con los partners adecuados e inversiones en las soluciones que se adecuen mejor a vuestra empresa. Deberéis tener en cuenta las necesidades de vuestro negocio, comprender y clasificar los datos que fluyen por vuestras redes y educar a vuestra plantilla sobre las ventajas y retos que presenta la nube y su seguridad.
Al integrar la seguridad en todos los aspectos de vuestra actividad, seguir estos sencillos pasos y contar con un buen partner en la nube que os permita variar vuestra escala, podréis monitorizar y mitigar las amenazas más habituales.
Sobre la Seguridad de AWS
Amazon S3 ofrece un sistema de cifrado predeterminado con el que controlar el cifrado de vuestros buckets de S3. Esto permite establecer el cifrado predeterminado de un bucket, de forma que todos los objetos que contenga queden cifrados al almacenarse en él. Los objetos se cifran utilizando cifrado en el servidor, ya sea mediante claves gestionadas vía Amazon S3 (SSE-S3) o claves gestionadas mediante AWS KMS (SSE-KMS).
Al utilizar cifrado en el servidor, Amazon S3 cifra los objetos antes de que se almacenen en sus servidores, y no los descifra hasta que el usuario los descarga.
El cifrado predeterminado de S3 funciona con todos los buckets de S3, ya sean nuevos o previamente existentes. De no utilizar el cifrado predeterminado, el usuario deberá incluir la información de cifrado con cada solicitud de almacenamiento de objetos, si es que quiere cifrar todos los objetos de un bucket. También resulta posible configurar la política de gestión de buckets de S3 de forma que rechace las solicitudes de almacenamiento que no vengan acompañadas de la información de cifrado oportuna.