Cuando Christina Shannon asumió el año pasado su nuevo cargo como directora global de seguridad de la información (CISO) de Catalina USA, se quedó atónita al descubrir que la organización contaba con más de 40 entornos en la nube.
La empresa de marketing, conocida por elaborar cupones basados en las compras que realizan los clientes en caja, llevaba ya algún tiempo pasando del formato en papel al digital. Como parte de ese cambio, la empresa deseaba ofrecer descuentos en compras a través de teléfonos inteligentes, lo que supuso trasladar al 100 % a la nube.
Desde el punto de vista de Shannon, esto significaba que el equipo de seguridad informática tendría que ponerse manos a la obra para implementar herramientas de seguridad nativas de la nube con el fin de mejorar su capacidad para identificar, proteger y recuperar activos en múltiples entornos de nube.
«Me encontré en una situación en la que contábamos con todos estos entornos en la nube, y mi equipo de seguridad no supervisaba ninguno de ellos», recuerda Shannon. «Se limitaban a analizar lo que había en un centro de datos, sin tener en cuenta la mitad de la visibilidad necesaria para cuantificar el riesgo cibernético».
La adopción de la computación en la nube conlleva riesgos de seguridad
Catalina no está sola. A medida que las empresas se lanzan a la nube, muchas lo han hecho sin haber implantado antes estrategias de seguridad sólidas para proteger sus activos en múltiples entornos en la nube.
Se trata de un problema grave, ya que el 73 % de las organizaciones, con el fin de no quedar atadas a la plataforma de un único proveedor de servicios en la nube (CSP), almacenan ahora sus datos en varias nubes públicas, como Amazon Web Services (AWS), Microsoft Azure y Google Cloud, según una encuesta de Splunk titulada « » (). La falta de medidas de protección para gestionar la proliferación de entornos en la nube ha contribuido a que el 45 % de las empresas hayan sufrido filtraciones de datos en la nube o hayan suspendido auditorías en los últimos 12 meses, según informa el 2022 .º Estudio sobre Seguridad en la Nube de Thales.
Esa complejidad sin control puede suponer una verdadera pesadilla para cualquier departamento de seguridad informática, ya que da lugar a errores de configuración en la nube y en los cortafuegos que abren vías de acceso a los piratas informáticos oportunistas. De hecho, según Gartner, el 99 % de los fallos de seguridad en la nube hasta el 2025 «serán culpa del cliente». Twitch, ; Uber, ; Imperva, así como numerosas empresas cuyas plataformas en la nube han sufrido brechas de seguridad debido a una configuración incorrecta, pueden dar fe de ello en
.
Extender las buenas prácticas de ciberseguridad tanto a la infraestructura local como a la de la nube no es tarea fácil. Su puesta en práctica puede llevar años, en parte debido a que los entornos digitales están en constante evolución. E incluso si una empresa tiene sus propios asuntos en orden, es posible que sus socios no hayan protegido adecuadamente sus entornos en la nube, sus redes y sus productos.
[Lea también: Cómo hacer frente a los riesgos de terceros]
«A medida que las organizaciones adoptan entornos multinube, deben
tener en cuenta que los ciberataques suelen tener éxito porque
se aprovechan de una amplia cadena de suministro de proveedores de tecnología», afirma Nataraj Nagaratnam, director de tecnología (CTO) de seguridad en la nube de IBM. «Dada esta complejidad, los atacantes pueden aprovechar fácilmente
las vulnerabilidades derivadas de una configuración incorrecta o
de prácticas inseguras».
Cada nube requiere medidas específicas de ciberseguridad
Los expertos afirman que es importante tener en cuenta que es probable que cada nube presente sus propios retos y soluciones en materia de seguridad. Por lo tanto, los enfoques y las herramientas estandarizados no serán eficaces.
«Me encontré con una situación en la que teníamos todos estos entornos en la nube y mi equipo de seguridad no supervisaba ninguno de ellos.»Christina Shannon, directora de seguridad de la información (CISO) de Catalina USA
«El mayor reto a la hora de garantizar la seguridad en entornos multicloud es darse cuenta de que cada servicio en la nube tiene formas ligeramente diferentes de implementar y supervisar las funciones básicas de seguridad», afirma John Pescatore, director de tendencias emergentes en seguridad del SANS Institute. «Sus controles de seguridad deberán adaptarse para que funcionen en ese contexto».
En el caso de las nubes públicas, las empresas deberían empezar por utilizar las herramientas que ofrecen los propios proveedores de servicios en la nube (CSP). Microsoft Azure, por ejemplo, ofrece controles y servicios integrados en materia de identidad, datos, redes y aplicaciones. Por su parte, AWS ofrece protección básica de datos, gestión de identidades y accesos (IAM), detección y respuesta gestionadas (MDR) y protección de redes y aplicaciones.
Abordar los retos de seguridad en entornos multinube con un enfoque integral
Aunque las herramientas de CSP son fiables, funcionan mejor en sus propios entornos de nube.
La mayoría de las empresas necesitan una combinación de herramientas y técnicas complementarias para lograr una cobertura multicloud integral. Un enfoque de amplio alcance cobra cada vez más importancia como consecuencia del auge de la contenedorización de tipo « », que aísla las aplicaciones, así como del crecimiento de los microservicios, que acoplan de forma flexible los elementos de una aplicación. Estas estrategias facilitan la ejecución de las aplicaciones en diferentes entornos de nube, y todas ellas deben estar protegidas.
Para garantizar la visibilidad y la seguridad en entornos multinube, los expertos recomiendan seguir una serie de pasos, además de utilizar las herramientas de los proveedores de servicios en la nube (CSP).
- Integre la seguridad en DevOps. Philip Bues, director de investigación de IDC Cloud Security, señala que muchas organizaciones cuentan con varios desarrolladores internos que escriben código para nubes privadas y públicas que funciona muy bien desde el punto de vista funcional, pero que no es necesariamente seguro de forma predeterminada. Afirma que toda estrategia de seguridad en la nube debería incluir un componente denominado «shift left», que consiste en garantizar que se realicen más pruebas operativas y de seguridad en las primeras fases del desarrollo de cualquier software o servicio basado en la nube.
- Implemente una plataforma de protección de terminales. En el 94 % de las empresas, hasta el 20 % de los dispositivos finales son desconocidos. Hoy en día, cada uno de esos dispositivos finales accede a una nube pública o privada y queda expuesto a datos que no están protegidos. Las plataformas de protección de terminales (EPP) ofrecen una combinación de medidas de seguridad, detección de amenazas y respuesta ante incidentes , así como capacidades de gestión de activos y gestión de operaciones.
- Considere la tecnología MDR. Shannon afirma que una de las primeras medidas que tomó su equipo de seguridad tras su llegada fue averiguar cuál de las 40 nubes de Catalina albergaba los activos más críticos. «Ahí es donde era más probable que se produjeran las filtraciones», afirma. A continuación, implementaron una combinación de herramientas de seguridad nativas de la nube para supervisar, gestionar y proteger mejor dichas ubicaciones. El equipo de Shannon deseaba ampliar la seguridad desde la nube hasta el dispositivo, por lo que implementó herramientas MDR junto con la protección de terminales de .
- Dé prioridad a la gestión de vulnerabilidades. Brian Bobo, director de seguridad de la información (CISO) de Greenway Health, un proveedor de tamaño medio de software de historias clínicas electrónicas y de , también utiliza MDR y EPP. Sin embargo, considera que también se necesita una tecnología de gestión de vulnerabilidades y de gestión de riesgos para identificar, clasificar y subsanar las vulnerabilidades conocidas de un sistema. «La mayoría de las organizaciones no dedican a la gestión de vulnerabilidades todo el esfuerzo que, en mi opinión, deberían», afirma Bobo. «En mi opinión, aunque no haga nada más, la gestión de vulnerabilidades debería ser la máxima prioridad. «Puede disponer de la mejor tecnología del mundo, pero una sola vulnerabilidad puede permitir que un atacante la eluda y ponga en peligro su seguridad».
- Evalúe las soluciones de gestión de claves criptográficas. Para garantizar el control sobre quién puede descifrar los datos, el Sr. Nagaratnam, de IBM, afirma que es importante poder visualizar, asignar y gestionar las claves de cifrado desde un único panel de control. Esta visión unificada puede contribuir a simplificar las operaciones y permitir a las empresas ejecutar cargas de trabajo de forma segura en diversos entornos. Añade que también puede ayudar a los departamentos de TI y jurídico a demostrar más rápidamente el cumplimiento de la normativa sobre soberanía de datos.
[Lea también: La «proliferación normativa» ejerce presión sobre las multinacionales]
- Realice pruebas de penetración. Shannon también recomienda realizar pruebas de penetración periódicas para comprobar la eficacia de las medidas de seguridad actuales. «Identifico ciertos riesgos para la empresa que me preocupan y, a continuación, analizo cuál podría ser nuestra situación en lo que respecta a las pruebas de penetración», afirma. «Por ejemplo, acabo de realizar uno para evaluar la probabilidad de que se produzca un ataque de ransomware debido a una vulnerabilidad en la nube». A Shannon le habían dicho que la empresa había segmentado las copias de seguridad por si se producía un ataque, pero quería comprobarlo. Por lo tanto, llevó a cabo una prueba de riesgo de intrusión para comprobar con qué facilidad alguien podría ampliar sus privilegios de acceso para lanzar un ataque a nivel de todo el sistema.
La conclusión en lo que respecta a la seguridad de las infraestructuras multinube es que las empresas deben aplicar las mejores prácticas y utilizar las herramientas adecuadas desde el mismo momento en que comienzan a diseñar y programar los entornos, y a lo largo de todo su ciclo de vida. Las nubes nunca duermen. Y dado que los ataques se producen a todas horas y en distintos husos horarios, tampoco lo hacen los piratas informáticos que los lanzan.
