Seguridad de Hybrid Cloud

La nube híbrida es una opción de infraestructura cada vez más popular para empresas de industrias que van desde el desarrollo de juegos hasta las finanzas. Pero, ¿qué es y cuáles son las prácticas de seguridad en la nube híbrida más efectivas para proteger sus datos sensibles y regulados?

¿Qué es la nube híbrida?

Una nube híbrida es una implementación que utiliza tanto un servicio de nube pública como uno o más servicios de nube privada. (También se puede incluir en la combinación un centro de datos tradicional en las instalaciones.)

Nube pública

Una nube pública es alojada por un proveedor externo y todos los recursos se entregan a través de internet. Ejemplos incluyen Amazon Web Services (AWS), Google Cloud y Microsoft Azure. Los beneficios clave incluyen:

• Sin mantenimiento — El proveedor externo se encarga de los problemas de hardware y software, así como de los parches y actualizaciones por usted.
• Eficiencia de costos — No tienes que comprar tus propios recursos de hardware o software, y solo tienes que desembolsar dinero por los servicios que realmente necesitas y utilizas.
• Fiabilidad — Puede disfrutar de un servicio confiable gracias a la amplia red de servidores en sistemas de nube pública.
• Escalabilidad — Una extensa red de servidores y recursos bajo demanda significa que puedes escalar tus servicios de manera rápida y sencilla.
• Opciones — Puede elegir la combinación de diferentes modelos de servicios en la nube (IaaS, PaaS, SaaS) que mejor se adapten a las necesidades de su negocio.

Nube privada

Una nube privada consiste en infraestructura utilizada exclusivamente por una organización. Puede estar alojada localmente o en centros de datos fuera de las instalaciones. Los sistemas de nube privada tienen su propio conjunto de ventajas distintas:

• Mayor flexibilidad — Puede personalizar un sistema de nube privada de acuerdo con las necesidades de su organización.
• Mejor seguridad — Debido a que sus recursos no se comparten con ninguna otra empresa, una nube privada puede ser un mejor hogar para los datos sensibles.

Beneficios de la nube híbrida

Un modelo de nube híbrida ofrece los beneficios de ambos tipos de almacenamiento en la nube, junto con la capacidad de separar cargas de trabajo y la flexibilidad para combinar lo que necesitas de cada servicio. Por ejemplo, puedes mantener tus datos sensibles y críticos para el negocio en una nube privada y almacenar el resto en la nube pública para optimizar costos y disponibilidad, al mismo tiempo que mitigas riesgos y cumples con los requisitos regulatorios.

¿Qué es la seguridad en la nube híbrida?

La seguridad en la nube híbrida se refiere a los procesos y procedimientos utilizados para proteger los datos, aplicaciones e infraestructura en el entorno de la nube híbrida. Eso incluye garantizar la seguridad de los datos tanto en reposo como en tránsito, así como orquestar controles a través de los diversos proveedores de la nube y todos los componentes locales.

Componentes de la seguridad en la nube híbrida

Hay varias capas de seguridad necesarias para la nube híbrida: física, técnica y administrativa.

Seguridad física

Para los componentes de su nube pública, la seguridad física es responsabilidad de los proveedores. Para su nube privada, su infraestructura interna debe contar con cámaras, cerraduras, acceso físico limitado y un entorno controlado (preste atención a los niveles de humedad, temperatura, fugas de agua, etc.).

Seguridad técnica

Una variedad de medidas de seguridad y protocolos deben estar en lugar para asegurar una fuerte protección de datos y prevenir la violación de datoses. Típicamente, estos incluyen:

• Cifrado — Los datos en tránsito requieren métodos de cifrado diferentes a los datos en reposo. Para los datos en tránsito, asegure un cifrado de sesión de red adecuado. Para los datos en reposo, asegure un cifrado completo de disco y cifrado de hardware.
• VPNs — Las redes privadas virtuales ofrecen conexiones seguras entre componentes que funcionan en diferentes entornos.
• Otras medidas de seguridad — Haga uso del control de acceso basado en roles, monitoreo de cambios, respaldo de datos confiable, seguridad de endpoint y autenticación multifactor.

Seguridad administrativa

La seguridad administrativa implica reglas y procedimientos documentados, tales como:

• Evaluación de riesgos procesos
• Planes de recuperación de desastres
• Políticas de protección de datos
• Capacitación de empleados

Cómo superar los desafíos comunes de seguridad en la nube híbrida

Los profesionales de TI en empresas de todo el mundo consideran que los entornos de nube híbrida son la opción de implementación en la nube más segura; de hecho, el 85% seleccionó la nube híbrida como su modelo operativo de TI ideal.

Sin embargo, existen varios desafíos de seguridad únicos para un entorno híbrido compuesto tanto por servicios de nube privada como pública:

Falta de claridad sobre la responsabilidad

Los SLA mal definidos y la mala comunicación con el proveedor de la nube pueden llevar a preguntas sobre quién es responsable de una interrupción o incidente, y desafíos para resolver disputas o responder a una violación de seguridad.

Para evitar esto, asigne claramente las cargas de trabajo a porciones específicas de la nube híbrida. Cada carga de trabajo y/o porción de la nube debe tener su propio plan de interrupciones e incidentes, así como controles específicos de seguridad y rendimiento.

Desafíos de gobernanza de seguridad

Cada servicio de nube privada y pública tiene sus propias características únicas de seguridad y privacidad. El movimiento de datos entre ellos puede resultar en la pérdida de visibilidad y control.

Para superar este desafío, asegúrese de que los procesos de seguridad adecuados estén en su lugar tanto para los servicios de nube pública como privada, así como para todos los sistemas internos. Defina claramente las responsabilidades de la gobernanza de seguridad entre usted y su proveedor de nube. Monitoree cuidadosamente toda actividad alrededor de los datos que almacena en nubes públicas y privadas. Asegúrese de que cualquier incidente sea comunicado inmediatamente entre usted y su proveedor de nube.

Riesgos de cumplimiento y legales

Los datos sensibles que se mueven libremente entre entornos públicos y privados pueden llevar a problemas de cumplimiento y legales. En sectores altamente regulados como la salud, el gobierno y las finanzas, incluso pequeños errores en las normas y directrices pueden resultar en multas graves o incluso demandas.

Su empresa debe asumir la responsabilidad del cumplimiento regulatorio tanto para los servicios de nube pública como privada. Depende de usted asegurarse de que su proveedor de nube tenga todos los procesos y controles necesarios en lugar para proteger sus datos. También necesita asegurarse de que sus propios controles estén en conformidad con las regulaciones a las que está sujeto. Además, muchas empresas prefieren limitar el almacenamiento de datos sensibles solo a nubes privadas, con el fin de mantener un control completo sobre ellos.

Manejo de incidentes de seguridad

La responsabilidad de detectar, informar y gestionar se comparte entre el cliente y el proveedor de servicios de nube pública. Asegúrese de mantener la comunicación y definir claramente las reglas de notificación para estar informado de una brecha sin demoras.

Control de acceso

La existencia de múltiples puntos de acceso puede representar un riesgo de seguridad para los sistemas de almacenamiento en la nube híbrida. Por lo tanto, es crítico saber exactamente quién tiene acceso a qué datos y hacer cumplir rigurosamente los protocolos de seguridad y mejores prácticas como el principio de privilegio mínimo.

Falta de aislamiento de los servicios en la nube externos

La multi-tenencia y los recursos compartidos son características comunes de la computación en la nube pública. En una nube híbrida, los atacantes que obtengan acceso al componente de nube pública de su entorno podrían tener una puerta trasera hacia su nube privada y sistemas informáticos locales también.

Refuerce la autenticación y autorización implementando soluciones como la autenticación multifactor y la autenticación de dispositivos digitales.

Visibilidad y auditoría

Puede ser difícil monitorear y obtener visibilidad de las actividades en entornos de nube pública y privada. Utilice soluciones que le permitan auditar todos sus sistemas en la nube desde una plataforma central.

Cómo mitigar amenazas comunes de seguridad en la nube híbrida

Los entornos de nube híbrida obtienen todos los beneficios tanto de la nube pública como de la nube privada, pero también enfrentan todas las amenazas de seguridad de ambas. Aquí hemos reunido un resumen básico de algunas de las amenazas de seguridad más comunes. Consulta algunos de nuestros otros recursos para obtener más información sobre la seguridad de los datos en la nube.

• Violación de datos — Para prevenir el acceso intencional o no intencional de información sin la debida autorización, utilice el control de acceso basado en roles, analice el comportamiento del usuario, rastree actividades alrededor de datos sensibles, implemente un modelo de privilegio mínimo y realice revisiones regulares de derechos.
• Amenaza interna — También necesita minimizar el riesgo de que un empleado utilice sus derechos de acceso para robar, dañar o exponer datos de la empresa de manera deliberada o accidental. Además de hacer cumplir el principio de mínimo privilegio, monitoree de cerca la actividad sospechosa, especialmente por cuentas privilegiadas.
• Secuestro de cuentas — Un atacante que roba las credenciales de un usuario legítimo se convierte instantáneamente en una poderosa amenaza interna. Combine los consejos anteriores con medidas sólidas de control de identidad y acceso, incluyendo autenticación multifactor y contraseñas robustas.
• Configuraciones incorrectas — Una configuración insegura, como olvidar desactivar la funcionalidad predeterminada en su plataforma de servicio en la nube, podría permitir que un usuario no autorizado obtenga acceso administrativo. Asegúrese de utilizar la auditoría de configuración y la monitorización continua para detectar modificaciones en su configuración.
• Malware — Para minimizar el riesgo de ransomware y otro software malicioso que cause daños a sus sistemas informáticos, asegúrese de instalar software antivirus, hacer copias de seguridad de sus datos regularmente y educar y probar a todos los usuarios sobre hábitos seguros para el uso de sistemas de TI.

Mejores prácticas para la seguridad de la nube híbrida

Las mejores prácticas para la seguridad tradicional de la nube pública y privada también se aplican a los entornos de nube híbrida. Sin embargo, aquí hay algunas consideraciones específicas que debe incorporar en su plan de seguridad de nube híbrida:

• Concéntrese en los datos — Identifique y clasifique regularmente los datos sensibles y regulados que posee, tanto en sus entornos de nube privada como pública. Establezca controles para asegurar los datos sensibles independientemente de dónde se encuentren. Automatice los flujos de trabajo de remediación que ayudan a reducir la exposición de datos sensibles.
• Implemente identity and access management (IAM) — Idealmente, debería haber un único sistema de IAM para todos los entornos en la nube. Tener un sistema interno es preferible.
• Asegure su red — Considere configurar una VPN entre el entorno local y los servicios en la nube.
• Utilice cifrado — Todos los datos sensibles deben estar cifrados sin importar dónde se encuentren.
• Preste atención a la seguridad perimetral — La seguridad perimetral (por ejemplo, cortafuegos, DDoS attack handling, etc.) debe coordinarse en todos los entornos con interfaces externas.

Puntos clave

Una solución de nube híbrida puede ofrecerle a su empresa lo mejor de ambos mundos: la comodidad y eficiencia de costos de un servicio de nube pública junto con la seguridad y flexibilidad de un entorno de nube privada. Si elige este modelo, sin embargo, asegúrese de prestar atención a las amenazas de seguridad únicas que enfrentan los sistemas de nube híbrida y siga métodos probados para mantener sus datos seguros.