Compartimos el escrito realizado por Fernando Plancic, ingeniero
experto en Seguridad de Fortinet Argentina. Esta es la transcripción completa
del texto:
“La seguridad tiene un rol fundamental en la innovación porque
permite generar nuevos negocios. La seguridad hoy hace posible identificar a
los usuarios con herramientas como el doble factor de autenticación e
intercambiar archivos firmados física o electrónicamente de manera segura. Esto
abre a la generación de nuevos negocios y nuevas maneras de operar.
Tenemos también el caso donde es la seguridad misma la que nos
permite innovar, por ejemplo, en la integración de las fuerzas de trabajo al
modelo de teletrabajo que tanto ha ayudado a minimizar el impacto económico de
la pandemia del COVID-19 a nivel mundial.
En el caso específico del uso de nubes, la seguridad también nos
permite integrar entornos multicloud y en las instalaciones de las empresas (on
premise) como si fueran una única red a través del uso de una red privada
virtual (VPN). Esto es lo que llamamos entornos híbridos.
El rol de la nube en la innovación
El uso de las nubes cumple un papel muy importante en la innovación.
¿Por qué? Porque la nube plantea un entorno dinámico y ágil que permite reducir
tiempos de prueba y de lanzamiento al mercado, y escalar rápidamente en caso de
ser necesario. Todo esto sin grandes inversiones iniciales.
Un reporte de McKinsey del año 2019 muestra que para el 85% de los
CIO y CTOs, la nube es esencial en al menos dos de sus tres principales
prioridades de negocio, que son la aceleración de ingresos y la mejora tanto en
la agilidad como en el tiempo de salida al mercado.
Sin embargo, el uso de la nube implica una expansión de la
superficie de ataque. Ya no solo tenemos que proteger nuestra infraestructura,
sino también la que se tiene en la nube. Hoy vemos empresas que tienen sus
infraestructuras propias sumadas a diferentes nubes públicas y privadas, con
datos y aplicaciones moviéndose entre ellas, que es lo que se llama entornos
híbridos. Esto crea entonces no solo una mayor superficie de ataque, sino
también una superficie de ataque heterogénea y dinámica.
Es momento de plantear algunas preguntas:
¿Cuál es la responsabilidad de los proveedores de nube respecto de
la seguridad?
Para aclarar este punto es interesante revisar el modelo de
responsabilidad compartida. Es claro que cuando la infraestructura es propia u
on premise, uno es responsable de todas las capas: la seguridad física, la
conectividad de red, el entorno de virtualización, los sistemas operativos, la
información y el control de acceso, entre otros.
Cuando revisamos lo que es software como servicio (SaaS), la
responsabilidad que tenemos como clientes de nube es tener visibilidad de lo
que ocurre, es decir lo que hacen nuestros usuarios en la nube, lo que llamamos
control de la plataforma.
Cuando hacemos foco en los entornos de infraestructura como servicio
(IaaS), el proveedor de nube es responsable de que no se afecte su capa de red
ni la capa de virtualización, mientras que el resto sigue siendo
responsabilidad de quien contrata los servicios de nube. Entre esas
responsabilidades están, por ejemplo, la gestión de los sistemas operativos y
su seguridad, aplicaciones, el control de acceso y gestión de la información.
Para reforzar este último concepto, un reporte de Gartner indica que
para el año 2025 el 99% de las fallas de seguridad en la nube serán debido a
fallas atribuibles a los clientes.
¿Cuáles son las recomendaciones a tener en cuenta a la hora de
proveer seguridad en la nube?
Cuando hablamos de seguridad en esquemas de IaaS debemos tener en
cuenta tres componentes.
Seguridad de red: cómo nos conectaremos a la nube y cómo
utilizaremos los servicios que se desplieguen sobre ella. Debemos entender
también cómo se interconectará nuestra red y los usuarios a dicha nube. ¿Será
por VPN o acceso público, qué protocolos deben permitirse? También debemos
entender los esquemas dentro de cada cloud. ¿Habrá múltiples redes o dominios
que se deben ver entre sí, y cómo limitamos los ataques dentro de la nube?
Seguridad de las aplicaciones: es importante considerar si tendremos
servicios web publicados, cuáles aplicaciones debemos proteger y si debemos
asegurar también servidores mediante mecanismos de IPS. Cabe destacar la
integración vía API, que seguirá creciendo, y por lo tanto lo harán sus
requerimientos de seguridad.
Visibilidad y control de la plataforma: esto debe incluir sus
configuraciones, actividades de usuarios, análisis de tráficos, seguridad de la
información y sus movimientos, y poder determinar su estado de cumplimiento en
cuanto a recomendaciones y regulaciones de seguridad de la información.
El valor de una seguridad integrada
Un punto crucial es que las herramientas de seguridad permitan una
visualización y gestión unificadas, así como también la integración y
automatización de los diferentes componentes de las diversas nubes. Recordemos
que una característica de la nube es su dinamismo, por lo que las herramientas
deben permitir acompañar esta velocidad y deben hacerlo de manera segura y
consistente con la postura de seguridad para el resto de la organización.
En Fortinet decimos la frase “cualquier aplicación en cualquier
lugar, la misma seguridad en todas partes”. Es decir, poder desplegar una
aplicación en forma segura en cualquier lugar y poder disponer del mismo nivel
de seguridad para todos los sitios. Otro aspecto clave es tener la capacidad de
integrar las nubes con entornos privados vía el uso de VPN o inclusive vía SD-WAN para hacer un uso más eficiente de
los servicios de conectividad y obtener una mejor experiencia para las
aplicaciones.
La posibilidad de manejar diferentes soluciones para cada plataforma
de forma integrada, sumado con la automatización, permite tener posturas
consistentes para toda nuestra superficie de ataque, facilita la gestión y
reduce el costo total de propiedad (TCO). Estas soluciones les permitan a las
empresas innovar de manera ágil y segura.
Innovar sin tener en cuenta la seguridad puede llevar a que todo el
trabajo realizado y el éxito de una empresa se desmorone ante un ataque o una
falla de seguridad detectada. Una vulnerabilidad descubierta o, peor aún, un
ataque, puede hacernos perder activos muy importantes para la compañía y
afectar fuertemente a nuestra marca y a nuestros clientes”.
0 Comentarios