Desafíos de seguridad en la nube

Todo gira en torno a la nube. Elegir la nube en lugar del almacenamiento local ofrece enormes beneficios de ahorro y mucha comodidad a escala. La nube puede ofrecer ventajas significativas frente a los centros de datos tradicionales, como velocidad de comercialización, ahorro de costos, resiliencia, alcance global, seguridad e innovación de los proveedores de nube.

Pero también implica problemas y riesgos particulares de seguridad en la nube, que son una preocupación importante para el 99 % de las empresas. Sigue leyendo para conocer más sobre los problemas de seguridad en la nube, sus desafíos particulares y las prácticas recomendadas para que tu organización mejore su postura de seguridad de forma cuantificable y mantenga a raya las amenazas de la nube.

La infraestructura alojada en la nube introduce nuevas preocupaciones de seguridad en el modelo de amenazas, muy distintas de las del pasado. La seguridad en la nube exige que las organizaciones comprendan mejor sus obligaciones de seguridad en un modelo de responsabilidad compartida y que estén atentas a la superficie de ataque más compleja y dinámica que genera el mayor uso de recursos aprovisionados en la nube. Diseñar una arquitectura de nube segura desde el inicio es clave para usar la nube de forma segura y limita la superficie de ataque y el posible radio de impacto de cualquier intrusión inicial exitosa.

Aunque la seguridad en la nube requiere un enfoque actualizado, los principios fundamentales de la seguridad de la información tradicional siguen aplicándose. En última instancia, las organizaciones deben garantizar la confidencialidad, integridad y disponibilidad de su información crítica. Comprender los desafíos específicos de la seguridad en la nube es clave para lograr esta triada.

¿Por qué es importante la seguridad en la nube?

La seguridad en la nube consiste en conocer y mantener un conocimiento completo de tu entorno, y en impedir que los atacantes accedan a esa información. Proteger tus datos confidenciales en la nube implica saber dónde están y cómo se puede acceder a ellos, además de eliminar las brechas en la arquitectura de la nube que los atacantes aprovechan para explorar, desplazarse y extraer datos.

A menudo se dice que los datos son el nuevo petróleo. Tienen valor. Pueden contener datos de clientes, información de salud, planes comerciales, información financiera y muchos otros datos privados. Una filtración de privacidad puede hacerte perder la confianza de tus clientes, exponerte a multas y demandas, y provocar otras pérdidas financieras y complicaciones inesperadas.

Los 11 principales desafíos de seguridad

Organizaciones de todos los tamaños han adoptado algún tipo de computación en la nube y es probable que amplíen su uso de servicios en la nube a medida que crecen. Por eso, es importante que adopten una arquitectura de seguridad en la nube para minimizar amenazas como las configuraciones incorrectas. La seguridad en la nube nos afecta a todos, y nunca es demasiado pronto ni demasiado tarde para empezar a implementar una postura de seguridad o mejorar la existente.

1. Sistemas heredados

2. Seguridad de las cargas de trabajo en contenedores

3. Filtraciones de datos

4. Configuraciones incorrectas y control de cambios

5. Arquitectura de seguridad en la nube

6. Código abierto

7. Gestión de identidades, credenciales y acceso

8. Cumplimiento normativo

9. API no seguras

10. Amenazas internas

11. Falta de experiencia interna

1. Sistemas heredados

La seguridad en la nube requiere que los equipos de ingeniería implementen herramientas de seguridad nativas de la nube, con políticas diseñadas para este entorno y personal que ayude a respaldar una arquitectura centrada en la nube. No es recomendable imponer herramientas heredadas sobre la infraestructura de la nube, especialmente porque las herramientas tradicionales, como el monitoreo de redes y los firewalls, suelen ser incompatibles con la nube. Tu entorno de nube no tendrá la protección adecuada y seguirá expuesto a un alto riesgo de vulneración.

Esto se debe a que la falta de un límite de red real pone de manifiesto las diferencias entre el modelo de amenazas de un entorno de nube y el de uno heredado. Por ejemplo, en la infraestructura heredada, los firewalls y la topología física de la red marcan una distinción clara entre el interior y el exterior de una red. Para permitir que el tráfico externo acceda a los recursos internos, normalmente se requiere una configuración explícita de los dispositivos de red —incluido el firewall— y una topología de enrutamiento específica.

En cambio, los recursos de la nube pueden configurarse para estar disponibles públicamente desde el momento en que se aprovisionan. Para mantener una postura segura, es necesario adoptar una política de confianza cero. Los equipos de ingeniería deben asumir que cualquier nodo puede ser un objetivo comprometido y exigir autenticación y cifrado en todos los intentos de comunicación, sin importar dónde se encuentren en la arquitectura de red. Asumir que cualquier nodo puede estar comprometido también requiere evaluar el posible radio de impacto de esas intrusiones, ya que los atacantes usan las claves de API de los recursos a los que accedieron para vulnerar el plano de control de la nube, explorar, desplazarse lateralmente y extraer datos sin ser detectados.

2. Seguridad de las cargas de trabajo en contenedores

Los tipos de aplicaciones y cargas de trabajo que se ejecutan en la nube han evolucionado considerablemente desde la época de las estaciones de trabajo y los servidores bare metal. Las aplicaciones web son uno de los métodos preferidos de distribución de software, y los contenedores se han convertido en una de las plataformas más populares para ejecutarlas. Más del 78 % de las cargas de trabajo de producción se implementan como contenedores.

Además de los propios contenedores, las herramientas de orquestación como Kubernetes ofrecen a las organizaciones herramientas potentes para escalar sus aplicaciones, pero también introducen más complejidad y preocupaciones de seguridad.

Los contenedores son otro ejemplo de los nuevos desafíos de seguridad en la nube que no tienen un equivalente real en las arquitecturas heredadas. Los contenedores, como los que se ejecutan en Docker Engine, suelen crearse a partir de imágenes base obtenidas de repositorios públicos de terceros. Esas imágenes base pueden estar desactualizadas o ser versiones comprometidas de imágenes legítimas, que actores maliciosos subieron a la plataforma.

Este tipo de vulneraciones demuestra la necesidad de contar con herramientas de seguridad que funcionen en todo el ciclo de vida del desarrollo y en toda la cadena de herramientas: descubrir una vulnerabilidad de este tipo en producción significa que la organización podría haber sido vulnerada.

3. Filtraciones de datos

Las filtraciones de datos siempre figuran entre los principales incidentes de seguridad. Leemos sobre ellas todo el tiempo y pueden afectar incluso a algunos de los clientes de nube más avanzados.

Para evitarlas, es importante entender que los datos tienen valor y que su exposición no deseada puede tener muchas consecuencias. Por eso, conviene cifrarlos siempre y contar con un plan sólido de respuesta a incidentes que se pruebe exhaustivamente. Es indispensable implementar rutinas para garantizar la integridad de los datos de entrada y salida. Para mitigar los riesgos, las organizaciones deben priorizar y documentar sus controles de seguridad.

Y como dijimos antes, las filtraciones de datos pueden causar estragos en la reputación de una empresa, como ocurrió tras las configuraciones incorrectas de la nube de Capital One. Las empresas afectadas pueden enfrentar litigios de alto perfil y, al mismo tiempo, atraer la atención no deseada de los reguladores. Incluso es posible que los delincuentes vendan en el mercado negro la información de identificación personal y la información médica de tu organización.

4. Configuraciones incorrectas y control de cambios

Todas las organizaciones tienen la responsabilidad de saber qué datos almacenan en la nube, qué identidades —humanas y de máquinas— pueden acceder a ellos y qué nivel de protección aplican tanto internamente como el proveedor de nube.

Seamos realistas: quizá hayas adoptado una larga lista de medidas de seguridad, pero la seguridad basada únicamente en listas de verificación no protegerá tus datos en la nube. Los entornos de nube cambian constantemente, y una configuración incorrecta puede provocar filtraciones de datos al dejar a las organizaciones expuestas a ataques que a menudo solo tardan unos minutos en ejecutarse. Más del 56 % de las organizaciones encuestadas sufrió un incidente relacionado con una configuración incorrecta o vulnerabilidades conocidas.

Para minimizar el riesgo de configuraciones incorrectas, se recomienda seguir un sistema estricto de gestión de cambios. Esto implica solicitar, aprobar, validar y registrar los cambios en los sistemas. Un control de cambios ineficaz probablemente provoque configuraciones incorrectas y filtraciones en la nube.

La política como código es otro método para prevenir configuraciones incorrectas. Puede usarse para realizar verificaciones de seguridad automatizadas y permite que todas las partes interesadas trabajen con una única fuente de verdad para las políticas de seguridad, al eliminar las diferencias de interpretación, evaluación y cumplimiento. También evita errores humanos y procesos manuales que consumen tiempo. Open Policy Agent se ha convertido en el estándar de código abierto para la política como código, y empresas como Netflix, Pinterest y CloudFlare lo usan y respaldan.

5. Arquitectura de seguridad en la nube

A menudo, las organizaciones carecen de una arquitectura y una estrategia de seguridad en la nube. Antes de dar el salto a la nube, conviene comprender las amenazas a las que expones a tu empresa y asegurarte de que tu equipo tenga experiencia en arquitectura de seguridad en la nube, porque lo mejor es abordar la seguridad al diseñar los entornos de nube. Antes de la implementación, se deben adoptar técnicas y estrategias de migración adecuadas. Los equipos de ingeniería también deben examinar minuciosamente los programas de seguridad de sus servicios en la nube para minimizar los riesgos de la nube pública.

Se deben realizar auditorías de terceros con informes compartidos, y también exigir cláusulas de notificación de filtraciones que complementen las soluciones tecnológicas del proveedor de nube.

Código abierto

Los avances en cultura, procesos, mantenimiento de paquetes e incluso herramientas para desarrolladores están contribuyendo a mejorar la postura y la madurez general de la seguridad del código abierto en la nube. Es importante comprender los riesgos de incorporar herramientas, plataformas y código de código abierto en los sistemas de nube. El conocimiento es poder: comprender los riesgos clave puede ayudar a tu organización a estar más segura.

Uno de los principales riesgos de las herramientas de código abierto es que, en ocasiones, no cuentan con soporte dedicado para ayudarte con ellas, y el soporte disponible puede ser informal e insuficiente. Además, la comunidad de código abierto y las organizaciones de supervisión suelen hacer públicas las vulnerabilidades de los componentes de código abierto. Esto puede exponer a tu organización a un escrutinio no deseado y a ataques de seguridad.

7. Gestión de identidades, credenciales y acceso

Además, como las empresas pueden tener cientos o miles de ingenieros, el acceso debe concederse según el rol y las necesidades de cada empleado. En pocas palabras, para resolver los problemas de control de acceso, aplica el principio de privilegio mínimo y, al mismo tiempo, establece procedimientos y políticas para eliminar y retirar los datos de forma segura. 

En general, lo mejor es auditar, rastrear, monitorear y administrar continuamente las credenciales de nube para abordar problemas de aprovisionamiento y desaprovisionamiento, cuentas zombi, exceso de cuentas de administrador y usuarios que evaden los controles de gestión de identidades y acceso (IAM).

IAM desempeña un papel central en las vulneraciones modernas de la nube, y los riesgos de IAM abarcan mucho más que las personas y su acceso a los recursos. En esencia, IAM es la red en la nube, y los recursos de nube usan IAM para interactuar entre sí. Es necesario prestar especial atención al uso de IAM en los entornos de nube para identificar configuraciones inseguras que podrían no detectarse en auditorías de cumplimiento ni con muchas herramientas de seguridad. Además, los desarrolladores deben contar con verificaciones de política como código que detecten configuraciones inseguras de IAM al desarrollar infraestructura como código.

También se recomienda que las organizaciones usen autenticación de dos factores, sigan controles estrictos de IAM en la nube, roten las claves de API con regularidad y retiren las credenciales que ya no se usan.

8. Cumplimiento normativo

Al igual que con las medidas de seguridad en la nube, las empresas deben conocer y definir claramente la división de responsabilidades en lo que respecta al cumplimiento normativo en la nube, especialmente cuando manejan datos de salud y financieros. Hay muchas regulaciones y cambian constantemente. Por eso, es importante que las organizaciones se aseguren de que sus proveedores de servicios en la nube y sus aplicaciones cuenten con certificaciones de cumplimiento para manejar datos confidenciales.

Hay al menos cuatro regulaciones de datos que las organizaciones deben tener en cuenta en la nube:

• HIPAA: Las aplicaciones de salud que procesan información médica protegida deben cumplir las normas de privacidad y seguridad de la Ley de Portabilidad y Responsabilidad de Seguros de Salud. HIPAA puede exigir que las empresas de salud obtengan garantías de los proveedores de servicios en la nube de que protegerán este tipo de datos.

• PCI: El Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS) se aplica a las empresas que trabajan con tarjetas de crédito de los principales sistemas de pago, como American Express, Discover, Mastercard y Visa. Las compañías de tarjetas de crédito exigen este estándar. Lo supervisa el Consejo de Normas de Seguridad de la Industria de Tarjetas de Pago y se creó para reducir el fraude con tarjetas de crédito.

• Datos personales: Esto incluye información que identifica a consumidores, empleados, socios y prácticamente cualquier entidad legal. Para cumplir las leyes sobre datos personales, muchas regulaciones sobre filtraciones de datos exigen que las organizaciones informen sobre su cumplimiento y anuncien cualquier filtración que haya ocurrido.

• GDPR: El Reglamento General de Protección de Datos (GDPR) se implementó para mejorar la protección de datos de las personas en la Unión Europea. Datos como nombres, domicilios, fotos, direcciones de correo electrónico, datos bancarios, publicaciones en redes sociales, información médica y direcciones IP deben permanecer y almacenarse en servidores dentro de la UE. Las empresas deben notificar a las personas sobre cualquier filtración de datos.

9. API sin seguridad

Los servicios en la nube incluyen API, o interfaces de programación de aplicaciones. Por lo general, están bien documentadas para sus clientes. Sin embargo, una configuración incorrecta por parte de tu organización puede abrir la puerta a brechas de seguridad. Los ciberdelincuentes también pueden usar la documentación del proveedor de servicios en la nube para identificar y explotar vulnerabilidades, y robar datos confidenciales.

Además, un ciberdelincuente también puede usar la documentación de la API destinada al cliente para identificar y explotar posibles formas de acceder a datos confidenciales y extraerlos del entorno de nube de una organización.

Por eso, lo mejor es mantener una buena higiene de las API, implementar marcos de API estándar y abiertos, y evitar reutilizar claves de API. Prueba las API para comprobar su seguridad y que cumplan los requisitos legales, estatutarios y normativos aplicables.

10. Amenazas internas

Esto no se limita solo a la nube. Ya sea de forma intencional o por negligencia, los empleados actuales y anteriores, los contratistas y los socios pueden causar filtraciones de datos, interrupciones del servicio y pérdida de confianza de los consumidores.

Las amenazas internas incluyen datos filtrados o robados, problemas con credenciales, errores humanos y configuraciones incorrectas en la nube. Para contrarrestarlas, las organizaciones deben ofrecer capacitación sobre concientización en seguridad, corregir las configuraciones incorrectas de los servidores en la nube y aplicar controles de acceso estrictos a los sistemas críticos.

11. Falta de experiencia interna

Esta es quizás la mayor amenaza interna no maliciosa que enfrentan las organizaciones hoy en día, y reúne muchos de los temas que ya analizamos en este artículo.

Recuerda que las configuraciones incorrectas de tu plataforma y tus API en la nube abren la puerta a numerosas vulnerabilidades de datos. No comprender las regulaciones de datos ni cumplirlas puede exponer a tu organización a sanciones de las autoridades gubernamentales y dañar su reputación. No adoptar prácticas adecuadas y documentadas de control de acceso y gestión de cambios probablemente dejará a tu organización vulnerable a amenazas internas y externas, y también puede atraer atención pública no deseada y demandas.

Supera los desafíos de seguridad en la nube con Snyk

Aunque la migración a la nube es una tendencia en auge, casi el 60 % de las organizaciones tiene más preocupaciones de seguridad desde que adoptó una estrategia nativa de la nube.

La mayoría de los principales ataques o brechas en la nube combinan vulnerabilidades de aplicaciones que se explotaron debido a configuraciones incorrectas o cuyos efectos se agravaron por ellas. Por eso, es importante que los equipos de desarrollo y seguridad de hoy comprendan las prácticas recomendadas para proteger sus aplicaciones nativas de la nube.

Protege tus aplicaciones como lo hacen los expertos en tecnología nativa de la nube. Las soluciones de seguridad para desarrolladores de Snyk permiten crear aplicaciones modernas de forma segura y ayudan a los desarrolladores a asumir la responsabilidad de la seguridad de toda la aplicación, desde el código y el código abierto hasta los contenedores y la infraestructura en la nube.