Navegando por el modelo de responsabilidad compartida

A medida que las organizaciones adoptan cada vez más la tecnología de la nube, ésta se ha convertido rápidamente en el nuevo procedimiento operativo estándar para empresas de todo el mundo, dando forma a sus procesos. Sin embargo, esta migración a los servicios en la nube va acompañada de distintos desafíos de ciberseguridad que exigen una atención cuidadosa.

Un elemento fundamental para abordar estos desafíos es el modelo de responsabilidad compartida. Este modelo describe la división de roles de seguridad entre el proveedor de servicios en la nube y sus usuarios, y garantiza un enfoque unificado para la protección contra las ciberamenazas.

¿Qué es el Modelo de Responsabilidad Compartida?

El modelo de responsabilidad compartida sienta las bases para una estrategia de seguridad colaborativa en la computación en la nube.

Con el objetivo de fortalecer la seguridad de los entornos de nube, el modelo de responsabilidad compartida promueve la asociación en todos los esfuerzos de seguridad. Establece que una infraestructura de nube segura es el resultado de una «responsabilidad mutua», en la que ambas partes desempeñan roles integrales en el proceso de seguridad.

Ayuda a reforzar la importancia de tener una relación sinérgica en los esfuerzos de ciberseguridad, asignando distintas responsabilidades a los CSP y sus clientes para garantizar una protección completa. La concienciación sobre la seguridad y el cumplimiento de estas directrices son esenciales para realizar las mejores prácticas de seguridad en la nube seguras y confiables.

Una analogía útil es pensar en alquilar un apartamento. El arrendador (CSP) es responsable de:

• Mantener la integridad estructural del edificio.
• Asegurar áreas comunes
• Gestión general de infraestructura.

Mientras tanto, el inquilino (cliente de la nube) es responsable de proteger su espacio digital en el entorno de la nube. Esto incluye:

• Administrar el acceso y los permisos de los usuarios
• Protegen sus propias aplicaciones y datos
• Implementar medidas de seguridad adicionales según sea necesario.

Así como el inquilino controla quién entra a su apartamento, el cliente de la nube también controla el acceso a sus recursos de la nube. Esto implica un cuidadoso aprovisionamiento de usuarios, monitoreo de actividad y políticas de contraseñas seguras.

En ambos escenarios, el propietario y el inquilino deben trabajar juntos para garantizar la seguridad. Lo mismo ocurre con el modelo de responsabilidad compartida en la nube.

El lado CSP de la ecuación

Según el modelo de responsabilidad compartida, los CSP soportan una parte sustancial de la carga de trabajo de seguridad. Sus principales tareas se centran en proteger la infraestructura esencial que sustenta el entorno de la nube. En concreto, sus responsabilidades incluyen:

Seguridad física

Los CSP invierten mucho en la creación de un enfoque de seguridad por capas para proteger sus centros de datos de una multitud de amenazas potenciales, incluido el acceso físico no autorizado, el robo, los desastres naturales y los cortes de energía.

Esta estrategia integral incorpora el mantenimiento de fuertes medidas de seguridad perimetral como vallas, puertas de seguridad o cámaras de vigilancia, que restringen el acceso únicamente al personal autorizado.

Seguridad de la red

Los proveedores de servicios en la nube tienen la tarea de construir entornos de red seguros que distribuyan eficazmente los datos de los clientes y al mismo tiempo apliquen estrictas medidas de seguridad para proteger los datos, tanto durante la transmisión como cuando están estacionarios.

Los componentes clave de su arsenal de seguridad incluyen firewalls, sistemas de prevención y detección de intrusiones (IDS/IPS) y técnicas integrales de cifrado de datos.

Hardware seguro y virtualización

Los proveedores de servicios en la nube asumen la tarea crucial de proteger la base del hardware de la nube, incluidos los servidores físicos, las soluciones de almacenamiento y la infraestructura de red.

Para salvaguardar estos componentes vitales, los CSP se adhieren a estrictas rutinas de parcheo y actualización para minimizar las vulnerabilidades en los sistemas operativos. También aplican las mejores prácticas en configuraciones de seguridad a todos los elementos de hardware, reduciendo efectivamente los posibles puntos de explotación.

Variaciones en la Responsabilidad por Modelo de Servicio

El alcance específico de las responsabilidades de un CSP puede variar ligeramente según el modelo de servicio en la nube que elija:

• Infraestructura como servicio (IaaS): En los formatos de infraestructura como servicio (IaaS), los proveedores de servicios en la nube asumen una autoridad significativa sobre los componentes esenciales de la infraestructura, como centros de datos físicos, marcos de redes y unidades de hardware. Esta supervisión ampliada se traduce en un mayor mandato de seguridad, que requiere que los CSP implementen medidas estrictas de seguridad física, protección de la red y salvaguardia del hardware, así como de los recursos de virtualización.
• Plataforma como servicio (PaaS): Cuando se utiliza una Plataforma como Servicio, la responsabilidad por la seguridad está algo dividida. Los clientes tienen autonomía para gestionar sus aplicaciones, lo que incluye protegerlas. Mientras tanto, el proveedor de servicios es responsable de salvaguardar la plataforma y la infraestructura subyacente.
• Software como servicio (SaaS): El enfoque de software como servicio asigna la mayoría de las tareas de seguridad al proveedor de servicios en la nube debido al control limitado del cliente sobre la infraestructura y la codificación de las aplicaciones. Corresponde al CSP garantizar la seguridad de la infraestructura, la plataforma y la aplicación SaaS en su conjunto.

Responsabilidad de la organización como cliente de la nube

Si bien el CSP desempeña un papel vital en la seguridad de la nube, el modelo de responsabilidad compartida aún impone obligaciones importantes al cliente.

Las áreas clave de responsabilidad para los clientes de la nube incluyen:

Seguridad de datos

Garantizar la seguridad de su información confidencial es fundamental. Utilice métodos de cifrado sólidos para los datos, ya sea que se transfieran o almacenen, para evitar el acceso no autorizado. Al categorizar los datos en función de su sensibilidad mediante políticas de clasificación, puede diseñar sus medidas de seguridad de forma eficaz.

Además, mantener copias de seguridad periódicas y ejecutar ejercicios de simulación es fundamental para proteger sus datos contra filtraciones o pérdidas. Si bien los CSP pueden proporcionar soluciones de respaldo, la obligación principal de proteger los datos confidenciales generalmente recae en el cliente del servicio en la nube.

Gestión de identidades y accesos (IAM)

Administrar quién tiene acceso a sus soluciones de servicios en la nube es fundamental. Implemente requisitos estrictos de contraseña, requiera autenticación multifactor (MFA) y siga el principio de privilegio mínimo. Este principio garantiza que los usuarios sólo reciban derechos de acceso esenciales para sus funciones.

Vuelva a evaluar y revoque periódicamente el acceso de los usuarios que ya no están en la organización o aquellos que han cambiado de roles para mitigar posibles amenazas.

Seguridad de aplicaciones

Para aplicaciones alojadas en la nube, el uso de técnicas de cifrado seguras no es negociable. Defienda sus aplicaciones de amenazas de seguridad comunes, como la inyección SQL y secuencias de comandos entre sitios, integrando prácticas de codificación segura y realizando análisis de seguridad de rutina.

También es fundamental actualizar rápidamente tanto las aplicaciones como sus sistemas operativos subyacentes para cerrar cualquier vulnerabilidad que pueda servir como punto de entrada para los atacantes.

Configuración del sistema operativo

En un modelo IaaS o en situaciones en las que se tiene control sobre los sistemas operativos que se ejecutan en máquinas virtuales dentro de la nube, la responsabilidad de configurar el sistema operativo seguro suele recaer en el cliente. Fortalezca los sistemas operativos deshabilitando servicios innecesarios, eliminando configuraciones predeterminadas y cumpliendo con los puntos de referencia de la industria para minimizar la superficie de ataque.

Cumplimiento

Cumplir con los estándares de cumplimiento normativo o específicos de la industria (por ejemplo, PCI DSS para datos de tarjetas de pago, HIPAA para datos de atención médica, GDPR para datos personales) sigue siendo responsabilidad de la organización como cliente de la nube.

Dependiendo de la organización y la industria, la necesidad de demostrar el cumplimiento puede implicar una auditoría ISO o una auditoría SOC, que ayuda a validar que se ha implementado un nivel adecuado de seguridad. Comprenda los requisitos de cumplimiento relevantes para su organización y alinee su implementación en la nube en consecuencia.

La importancia de la asociación y la colaboración

Un elemento central para la eficacia de la seguridad en la nube es la relación de colaboración entre los proveedores de servicios en la nube y sus clientes. Los esfuerzos aislados no logran proteger eficazmente los entornos de nube. Es por eso que la comunicación abierta y la transparencia clara son vitales para que ambas partes comprendan claramente sus roles y responsabilidades específicas.

Esta postura cooperativa, junto con el intercambio proactivo de conocimientos sobre riesgos, vulnerabilidades e incidentes de seguridad, mejora significativamente la capacidad colectiva para mejorar el marco de seguridad de la nube.

Los CSP suelen proporcionar documentación extensa, guías de seguridad y mejores prácticas para ayudar a sus clientes. Utilice estos recursos para obtener información sobre las prácticas de seguridad de su CSP e integrar sus medidas de seguridad de acuerdo con sus directrices. Al cultivar una asociación colaborativa y un compromiso proactivo, usted y su CSP pueden elevar la seguridad de la nube en medio del cambiante panorama de amenazas cibernéticas.

Comience a crear un entorno de nube más seguro

El modelo de responsabilidad compartida sirve como una guía importante para proteger eficazmente sus datos dentro de la nube. Es esencial que comprenda la delimitación de deberes entre usted y su CSP para sentar las bases de un enfoque de seguridad resiliente.

Tenga en cuenta que garantizar la seguridad en la nube es un esfuerzo continuo que requiere permanecer atento al panorama de amenazas en constante cambio y adaptar sus protocolos de seguridad en consecuencia. Si sigue las prácticas recomendadas descritas por su CSP e integra medidas de seguridad complementarias según sea necesario, puede establecer un entorno de nube más seguro tanto para su organización como para sus clientes.

Acerca de Autor

Nazy Fouladirad es presidente y director de operaciones de Tevora, una consultora líder en ciberseguridad a nivel mundial. Ha dedicado su carrera a crear un entorno empresarial y en línea más seguro para organizaciones de todo el país y el mundo. Le apasiona servir a su comunidad y es miembro de la junta directiva de una organización local sin fines de lucro.