Pero, ¿dónde encaja la seguridad de la información cuando hablamos de entornos cloud?
La seguridad de la información en la nube debe ubicarse dentro del contexto del programa general de seguridad de la información de cada compañía, incluida la gestión de riesgos, la gestión de incidentes, la planificación de continuidad y la gobernanza. Hacerlo requerirá los esfuerzos combinados de todos los interesados en garantizar la seguridad de los datos que se trasladan a la nube.
¿Cuales son las mayores amenazas la seguridad de la información en la nube?
Las amenazas de seguridad de la información en la nube son similares a los riesgos de almacenar datos en cualquier otro lugar. Los datos en la nube se almacenan en un centro de datos y pueden ser accedidos por los hackers a través de muchos de los mismos métodos que siempre han utilizado, como el spam, contraseñas débiles y falta de autenticación multifactorial.
Las principales amenazas a la seguridad de la nube son:
- Amenazas internas.
- Riesgo de pérdida de datos.
- Auditoria y control insuficiente.
Muchas veces, las organizaciones utilizan los servicios en la nube como una forma de eludir lo que consideran un departamento de TI excesivamente restrictivo, cuando en realidad, el equipo de TI solo intenta proteger los datos. Al eludir al equipo de TI y suscribirse a los servicios en la nube sin su consentimiento, la empresa puede pensar que se está volviendo más ágil en su enfoque, pero, en realidad, está eludiendo las restricciones diseñadas para reducir el riesgo de una violación de datos.
Cómo asegurar la información en la nube
Las amenazas anteriores no significan que no se deba adoptar la computación en la nube. Debe existir un modelo de responsabilidad compartida, lo que significa que aunque el proveedor de la nube puede estar a cargo de la infraestructura subyacente, la organización es responsable de la seguridad de la información de las aplicaciones que residen en ese hardware.
Puede ser recomendable contratar a una empresa de seguridad para realizar una evaluación de riesgos. Incluso en organizaciones grandes y sofisticadas como las principales instituciones financieras, que están acostumbradas a realizar sus propias evaluaciones, les conviene contratar a un tercero para que evalúe qué riesgos existen en cuanto a la seguridad de la información en la nube.
Es posible que los proveedores de la nube no sean muy receptivos a permitir que auditores y equipos de evaluación externos les auditen, pero realizar revisiones de logs y hacer auditoría debería ser algo que poder negociar con ellos porque las grandes empresas no deberían conformarse con los acuerdos de nivel de servicio estándar de los proveedores.
Por otro lado, las empresas también pueden insistir en encriptar datos, tanto en tránsito como en reposo. Encriptar datos en movimiento es casi un hecho. Todos los proveedores de servicios usan SSL u otro tipo de encriptación. Los datos en reposo son más complejos y es posible que debas confiar en tus propios recursos para encriptarlos.
