¿Cómo podemos garantizar una migración y posterior operación segura en la nube? Atos aporta respuestas y soluciones.
Por Américo Alonso,
Quality, Security & Data Protection Officer
para Atos en Sudamérica
Desde hace algunos años comenzó un movimiento intenso para migrar a la nube. Las razones detrás de esta tendencia son bien conocidas y han tenido diferentes velocidades en cada país de la región. Por ejemplo, en la Argentina, principalmente las organizaciones privadas ya cuentan con sus servicios prioritarios en nube, o están prontos a migrarlos.
Sin embargo, una pregunta continúa resonando fuerte: ¿Cómo podemos garantizar una migración y posterior operación segura en la nube?
Para responder a esta pregunta, es importante entender como es el proceso de transformación hacia la nube de cada compañía, dado que no será lo mismo para una empresa petroquímica, que un banco o una organización del sector público. Sin embargo, algunos conceptos son transversales a todas las industrias y deben ser tenidos en cuenta:
Un nuevo ambiente (y nuevas amenazas) para los datos
Uno de los principales paradigmas de la nube es la externalización de los datos. Es así como, aquellas informaciones que antes residían en sistemas localizados de infraestructuras propias de la compañía, como su perímetro físico, pasan a establecerse en la nube… con todo lo que ello significa.
Las implicancias van desde consideraciones sobre la protección de los datos, conforme a las legislaciones vigentes, hasta la ejecución de cargas de trabajo (workloads). Algunas amenazas clásicas de este ambiente son las fallas de configuración, APIs no seguras, la filtración de datos (data breaches) y los controles de acceso, entre otras.
A medida que la adopción de la nube y las implementaciones de múltiples nubes se extienden exponencialmente, las organizaciones se enfrentan a riesgos de seguridad no gestionados y la exposición de sus datos. Es así como necesitarán soluciones para una operación de seguridad de panel único en su nube y entorno híbrido.
El cumplimiento de las normas de privacidad de datos y otras normas legales también requerirá mejores pruebas de seguridad en la nube junto al monitoreo/control continuo de su cumplimiento.
Conocer los procesos para fortalecer la seguridad
El acercamiento al tema debe, de igual forma, ser multi vectorial. No podemos aproximarnos a la seguridad en la nube pensando únicamente en colocar un firewall… o gestionar un software antimalware. Es necesario contar con un profundo entendimiento del flujo de las informaciones a lo largo de las diferentes plataformas para seleccionar los mecanismos de mitigación más adecuados según cada caso. La nube, a la vez que aumenta la superficie de ataque, también ofrece mayores mitigaciones, que deben ser aplicadas correctamente.
Un punto de especial atención en la seguridad es el acceso a las informaciones de la nube, ya que hace tiempo es válido decir que el perímetro es efímero. Hoy en día, el perímetro es aquel punto en el cual el usuario se encuentra con el dato… y eso puede ocurrir en la oficina, en el aeropuerto, a través de un smartphone o una laptop, desde cualquier parte del mundo. Entonces, orientar la gestión al acceso a la información es fundamental, contrario al modelo anterior de garantizar el acceso a los sistemas de procesamiento. Asimismo, garantizar un adecuado aprovisionamiento de identidades y accesos es de vital importancia.
Ser proactivos es parte de la estrategia
La nube también es un poderoso facilitador para la integración de tecnologías. Pero esto trae a la vez la necesidad de pensar la seguridad en forma prescriptiva, es decir, no basta con detectar o predecir… es necesario ir más allá y responder, en tiempo de ejecución, a las amenazas. De la misma forma, cada una de las tecnologías que se deseen utilizar, para facilitar el negocio, pueden traer nuevas amenazas que no fueron consideradas en el escenario anterior de la operación.
Para esto, esquemas de seguridad tradicionales basados únicamente en soluciones de tipo SIEM (Security Information and Event Management) ya no son suficientes por ser demasiado estáticos. Es necesario contar con una visión holística de lo que está sucediendo a lo largo de todo el ecosistema junto a la capacidad de responder de manera inmediata.
El camino hacia la adopción segura de la nube
Según el último reporte sobre seguridad de Fortinet hay dos barreras principales que detienen la velocidad de adopción de la nube: la visibilidad (53%) y la falta de control (46%) (*).
Para ello, soluciones de MDR (Managed Detection and Response) en sus diferentes acrónimos y perímetros (MDR, XDR, NDR, EDR, etc) son fundamentales. Es necesario entonces contar, además del SIEM, con soluciones de UBA/UEBA (User Behavior Analisys), CSPM (Cloud Security Posture manager), NTA (Network Traffic Analisys), EDR (EndPont Detection and Response), SOAR (Security Orchestration and Automation Response) y TI/TH (Threat Intelligence/Threat Hunting).
Pero atención, deben funcionar integradas. Caso contrario, entramos nuevamente en el modelo de silos de soluciones sin interoperabilidad, que no comparten el conocimiento en beneficio del proceso de respuesta.
Las más modernas soluciones de MDR hacen uso de técnicas de Inteligencia Artificial y Machine Learning, como ser algoritmos específicos o redes neuronales, entre otras. De esta forma, la detección y la predicción consiguen alcanzar un nuevo nivel, facilitando la respuesta de la plataforma como un todo a las amenazas encontradas.
Adicionalmente, nuevas tecnologías de protección emergen (**) y son adoptadas por las organizaciones, en función de necesidades específicas de negocio.
Cuando analizamos la curva de adopción de tecnologías de protección de nube, podemos considerar una escala gradual, teniendo en cuenta que:
- El 22% de esas tecnologías ya están adoptadas por la mayoría de las organizaciones o lo estarán en los próximos dos años.
- Se espera que el 50% de esas tecnologías se adopten en el próximo ciclo de 2 a 5 años.
- El 28% de esas tecnologías son transformacionales y su adopción generalizada llevará más de 5 años.
Nuestro enfoque para la migración y operación segura en la nube
En Atos abordamos la seguridad en la nube a través de 3 dimensiones: Prevenir, Proteger y Preservar a través de una cartera de soluciones que pueden respaldar este enfoque de manera transversal.
En resumen, hacer las cosas “a la antigua” ya no es una opción. El mundo digital no tiene límites fijos y la seguridad en la nube no alcanza si solo es reactiva. Este es el momento de adoptar un enfoque proactivo, combinando las soluciones más apropiadas para:
- Prevenir: Implementar controles de forma proactiva que protejan las arquitecturas de nube por diseño.
- Proteger: Aumentar los controles de seguridad con automatización para mantener una postura segura.
- Preservar: Monitorear, detectar y responder continuamente a las amenazas en evolución.
Más datos en www.atos.net.
(*) Fortinet 2021 Cloud Security report
(**) Atos.net
