Seguridad en la Computación en la Nube
Carlos R. Primorac Página 2
Índice de Contenidos
1. Introducción ........................................................................................................ 5
2. Conceptos Fundamentales de la Computación en la Nub e ............................. 6
1.1. Modelo de Computación en la Nube del NIST ................................................ 6
1.1.1. Características esenciales ...................................................................... 7
1.1.2. Modelos de entrega ................................................................................ 8
1.1.3. Modelos de despliegue ........................................................................... 8
1.2. Virtualización .................................................................................................. 9
1.3. Arquitectura de Referencia ............................................................................10
2. Seguridad en la Computación en la Nube .......................................................12
2.1. Las nueve amenazas a la seguridad .............................................................12
2.2. Evaluación de los riesgos de seguridad ........................................................13
2.3. Pautas de seguridad y privacidad en nubes públicas ....................................14
2.3.1. Gobernabilidad .......................................................................................15
2.3.2. Confianza ...............................................................................................15
2.3.3. Arquitectura ............................................................................................15
2.3.4. Gestión de la identidad y acceso ............................................................16
2.3.5. Aislamiento del software ........................................................................16
2.3.6. Protección de datos ...............................................................................16
2.3.7. Disponibilidad .........................................................................................16
2.3.8. Respuesta a incidentes ..........................................................................16
3. Arquitectura de Referencia de Seguridad del NIST .........................................19
3.1. Modelo Formal de la NCC-SRA ....................................................................20
Conclusiones .............................................................................................................21
Referencias ................................................................................................................22
Seguridad en la Computación en la Nube
Carlos R. Primorac Página 3
Índice de Figuras
Fig. 1. Modelo de Computación en la Nube del NIST ................................................... 6
Fig. 2. Modelos de despliegue ...................................................................................... 9
Fig. 3. Virtualización ....................................................................................................10
Fig. 4. NIST NCC-RA ..................................................................................................10
Fig. 5. NCC-RA actualizada ........................................................................................20
Fig. 6. Modelo formal de la NCC-SRA ........................................................................20
Seguridad en la Computación en la Nube
Carlos R. Primorac Página 4
Índice de tablas
Tabla 1. Recomendaciones para la tercerización de servicios ....................................17
Seguridad en la Computación en la Nube
Carlos R. Primorac Página 5
1. Introducción
La Computación en la Nube representa una arquitectura en la cual se integran un
conjunto de tecnologías que permiten reducir considerablemente los costos de las
infraestructuras, incrementado la confiabilidad, la flexibilidad y facilitando el acceso
bajo demanda a redes ubicuas para compartir un conjunto configurable de recursos
computacionales que pueden ser provistos y liberados con un mínimo esfuerzo de
administración o interacción por parte del proveedor.
En la actualidad, la proliferación de servicios operando en la nube se ha convertido en
una tendencia significativa en el mercado de las tecnologías de la información (IT) y el
interés en la Computación en la Nube se ha incrementado rápidamente debido a las
ventajas que ofrece este paradigma. Sin embargo, la seguridad y la privacidad
constituyen una de las principales preocupaciones para las empresas y organizaciones
que consideran la transición de datos y aplicaciones hacia una infraestructura en la
nube.
Una visión de los aspectos críticos de seguridad se puede extraer de las experiencias
obtenidas por los primeros en adoptar infraestructuras en la nube y por investigadores
que analizan y experimentan con plataformas en la nube y tecnologías asociadas de
distintos proveedores.
En este trabajo se sintetizan algunos documentos con el propósito de facilitar una
visión general de las principales amenazas, riesgos y aspectos a considerar en la
seguridad en la Computación en la Nube.
El informe se organizó en cuatro secciones. En primer lugar se realiza una descripción
de los componentes del modelo y se comenta brevemente la tecnología de la
virtualización, estrategia para la consolidación de centros de datos y base para las
nubes de alto rendimiento. Seguidamente, se enumeran las principales amenazas a la
seguridad según la Cloud Security Alliance (CSA), los riesgos a evaluar antes de
contratar un proveedor en la nube, mencionados por la consultora Gartner y se
describen las cuestiones de seguridad y privacidad, consideradas por el Instituto
Nacional de Normas y Tecnología (NIST: National Institute of Standards and
Technology), que pueden tener impacto a largo plazo en una infraestructura en nube
pública. En tercer lugar, se comenta brevemente el borrador de la arquitectura de
referencia de seguridad del NIST. Finalmente, se exponen algunas conclusiones.
Seguridad en la Computación en la Nube
Carlos R. Primorac Página 6
2. Conceptos Fundamentales de la Computación en la Nube
La Computación en la Nube representa una arquitectura en la cual se integran el
conjunto de tecnologías:
• Software como Servicio (SaaS: Software as a Service).
• Plataforma como Servicio (PaaS: Platform as a Service).
• Infraestructura como Servicio (IaaS: Infrastructure as a Service).
La visión es reducir el costo de computación incrementando la confiabilidad y la
flexibilidad. Estandarizando los protocolos utilizados para requerir los recursos
computacionales, es posible crear tecnologías que permiten a los consumidores
obtener la potencia de computación bajo demanda análogamente, en forma y
utilidades, a una red de energía eléctrica [1].
1.1. Modelo de Computación en la Nube del NIST
Según [2], la Computación en la Nube es un modelo que permite, convenientemente,
el acceso bajo demanda a redes ubicuas para compartir un conjunto configurable de
recursos computacionales (redes, servidores, almacenamiento y aplicaciones) los
cuales pueden ser provistos y liberados con un mínimo esfuerzo de administración o
interacción por parte del proveedor. Este modelo está compuesto por cinco
características esenciales, tres modelos de servicios y cuatro modelos de despliegue
(Fig. 1).
Fig. 1. Modelo de Computación en la Nube del NIST [Fuente: elaboración propia].
Seguridad en la Computación en la Nube
Carlos R. Primorac Página 7
1.1.1. Características esenciales
De acuerdo con la definición del NIST, las tres características esenciales del modelo
de la Computación en la Nube son [2]:
• Autoservicio bajo demanda.
• Acceso amplio a la red.
• Agrupamiento de recursos.
• Elasticidad rápida.
• Servicio medido.
El autoservicio bajo demanda, permite a los usuarios utilizar los recursos disponibles
en la nube según sean necesarios, sin que sea necesaria la interacción con el
proveedor de los servicios. El usuario puede programar el uso de los servicios en la
nube, tales como procesamiento o almacenamiento, además de implementarlos y
gestionarlos.
Los enlaces de comunicación de alto ancho de banda, hacen de la Computación en la
Nube una alternativa eficiente para los centros de cómputo manejados por cuenta de
la empresa (in-house). El costo reducido de estas redes de comunicaciones, facilita el
acceso a un mayor número de recursos IT, lo cual hace a una de las principales
justificaciones económicas.
La nube ofrece un gran número de recursos flexibles para cumplir con las necesidades
del consumidor, proporcionar economías de escala y cumplir con los requerimientos
de servicios. Las aplicaciones precisan recursos y estos deben asignarse
eficientemente para un rendimiento óptimo. Estos, pueden estar localizados en áreas
geográficas diferentes y asignarse virtualmente según las necesidades. De esta
manera, existe un sentido de independencia de la ubicación en la que el cliente no
tiene control o conocimiento sobre la ubicación exacta de los recursos proporcionados,
pero es capaz de especificarla en un nivel de abstracción más alto (país, estado o
centro de datos).
La elasticidad rápida se refiere a la capacidad de la nube para ampliar o reducir los
recursos asignados de forma rápida y eficiente para cumplir con los requisitos del
autoservicio bajo demanda. Esta asignación puede hacerse automáticamente y
aparece ante el usuario como una gran reserva de recursos dinámicos que se pueden
adquirir cuando sean necesarios. El desarrollo y la implementación de servicios
débilmente acoplados que escalan de manera independiente y sin depender de la
elasticidad de otros es lo que permite esta rápida elasticidad.
Seguridad en la Computación en la Nube
Carlos R. Primorac Página 8
Las características de la Computación en la Nube están orientadas a los servicios. Los
recursos en la nube se asignan y supervisan en forma dinámica. Así, el cliente puede
ser facturado en base al uso medido de los servicios asignados a una sesión
determinada.
1.1.2. Modelos de entrega
Se refieren a los servicios específicos a los cuales se puede acceder en una
plataforma de Computación en la Nube [2]:
• SaaS.
• PaaS.
• IaaS.
SaaS proporciona al consumidor la capacidad de utilizar las aplicaciones del
proveedor que se ejecutan en la infraestructura en la nube. Estas aplicaciones están
disponibles desde diversos dispositivos del cliente hasta interfaces livianas, tales como
navegadores web. El consumidor no administra o controla la infraestructura
subyacente en la nube, incluyendo redes, servidores, almacenamiento, sistemas
operativos (OSs) y otras aplicaciones, con la excepción de limitadas opciones de
configuración especificas del usuario.
PaaS proporciona al consumidor la capacidad de desplegar en la infraestructura en la
nube, aplicaciones propias, adquiridas o desarrolladas utilizando lenguajes de
programación y herramientas ofrecidas por el proveedor. El consumidor no administra
ni controla la infraestructura subyacente en la nube, incluyendo la red, servidores,
almacenamiento u OSs. Sin embargo, tiene control sobre las aplicaciones instaladas y
posiblemente aplicaciones para la configuración del entorno de alojamiento.
IaaS proporciona al consumidor la capacidad de procesamiento, almacenamiento,
redes y otros recursos fundamentales que le permiten desplegar y ejecutar software
arbitrario. El consumidor tiene control sobre OSs, almacenamiento, aplicaciones
instaladas y un control limitado sobre componentes de red seleccionados.
1.1.3. Modelos de despliegue
Se clasifican en cuatro categorías (Fig. 2), las cuales se refieren a la localización y
administración de la infraestructura en la nube [2]:
• Nube privada.
• Nube pública.
• Nube comunitaria.
Seguridad en la Computación en la Nube
Carlos R. Primorac Página 9
• Nube hibrida.
En una nube privada, la infraestructura es operada por una empresa o una
organización, pudiendo ser administrada por cuenta propia o por un tercero y existir
dentro o fuera de las instalaciones de la organización.
En una nube pública, la infraestructura se encuentra a disposición del público en
general o de un grupo de industrias. Es propiedad de una organización que ofrece los
servicios en la nube.
En una nube comunitaria, la infraestructura es compartida por varias organizaciones y
ofrece soporte a una comunidad específica con intereses comunes, por ejemplo
misión, requerimientos de seguridad y políticas. Es administrada por cuenta propia o
por un tercero, pudiendo existir dentro fuera de las instalaciones de las
organizaciones.
En una nube hibrida, la infraestructura es una combinación de una o más nubes
distintas, las cuales permanecen como entidades únicas pero unidas por tecnologías
estándares o propietarias que permiten la portabilidad de los datos y las aplicaciones.
Fig. 2. Modelos de despliegue [Fuente: elaboración propia].
1.2. Virtualización
Una infraestructura virtual constituye una estrategia para consolidar los centros de
datos y la base para las nubes de alto rendimiento [1].
La virtualización es la tecnología clave de la Computación en la Nube [3]. En esencia,
en un equipo anfitrión (host), una aplicación conocida como hipervisor o monitor de
máquina virtual (VMM: Virtual Machine Manager) crea una o más máquinas virtuales
(VMs: Virtual Machines) simulando equipos físicos, los cuales pueden ejecutar
software de cualquier tipo, desde OSs hasta aplicaciones de usuario (Fig. 3).
Seguridad en la Computación en la Nube
Carlos R. Primorac Página 10
Fig. 3. Virtualización [Fuente: elaboración propia].
La virtualización facilita la agilidad y escalabilidad de la nube. Permite abstraer y
aislar el hardware subyacente mediantes VMs en su propio entorno de ejecución y
con múltiples VMs para los recursos de procesamiento, almacenamiento y redes en un
único entorno anfitrión. Esto es fundamental tanto para la gestión de datos como para
la utilización y disponibilidad de aplicaciones [4].
1.3. Arquitectura de Referencia
La definición de Computación en la Nube del NIST [3], es ampliamente aceptada y
proporciona una comprensión clara de las tecnologías involucradas.
Por otra parte, la Arquitectura de Referencia de la Computación en la Nube (NCC-RA:
Reference Architecture) [5], identifica a los principales actores, sus actividades y
funciones. El modelo conceptual de la Fig. 4, ilustra una arquitectura de alto nivel con
la intención de facilitar la comprensión de los requerimientos, usos, características y
estándares.
Fig. 4. NIST NCC-RA [5]
Seguridad en la Computación en la Nube
Carlos R. Primorac Página 11
Como se puede apreciar en la Fig. 4, en este modelo, la seguridad es un
subcomponente del proveedor en la nube. Sin embargo, la seguridad es un aspecto
transversal de la arquitectura que se extiende a través de todas las capas del modelo
de referencia, abarcando tanto aspectos físicos como de las aplicaciones. Por lo tanto,
la seguridad en la Computación en la Nube, no es exclusivamente competencia de los
proveedores, sino también de los consumidores y otros actores relevantes. Los
sistemas basados en la nube, deben hacer frente a requisitos de seguridad tales como
autentificación, autorización, disponibilidad, confidencialidad, gestión de la identidad,
integridad, auditoria, supervisión, respuesta a incidentes y gestión de políticas de
seguridad [5].
Seguridad en la Computación en la Nube
Carlos R. Primorac Página 12
2. Seguridad en la Computación en la Nube
En los últimos años el interés en la Computación en la Nube se ha incrementado
rápidamente debido a las ventajas que ofrece este paradigma, mayor flexibilidad y
disponibilidad de recursos a un menor costo. Sin embargo, la seguridad y la privacidad
constituyen una de las principales preocupaciones para las empresas y organizaciones
que consideran la transición de datos y aplicaciones hacia una infraestructura en la
nube [6].
Según [7], las oportunidades que ofrece la Computación en la Nube generan un gran
entusiasmo en los consumidores. No obstante, los riesgos en la seguridad y la pérdida
del control directo de los sistemas de los cuales no son responsables, continúa siendo
una constante preocupación.
Las organizaciones que consideren la transición hacia una infraestructura en la nube,
deben comprender los riesgos asociados que acarrea cualquier servicio externo y
evaluarlos en áreas tales como la integridad, recuperación, privacidad y cuestiones
legales tales como normativas y auditorias [8].
En [6], se señala que una visión de los aspectos críticos de seguridad se puede
extraer de las experiencias obtenidas por los primeros en adoptar infraestructuras en
la nube y por investigadores que analizan y experimentan con las plataformas en la
nube y tecnologías asociadas de distintos proveedores.
2.1. Las nueve amenazas a la seguridad
En una encuesta realizada por la CSA [9] en el 2012 entre expertos de la industria
para identificar las principales vulnerabilidades de la Computación en la Nube
relacionadas con la seguridad, se identificaron nueve amenazas críticas:
1. Violación de datos privados . Información confidencial copiada, transmitida,
leída, robada o utilizada por una persona no autorizada.
2. Pérdida de datos . Error en los sistemas, fallas en los dispositivos de
almacenamiento, transmisión o procesamiento de la información.
3. Secuestro de cuentas o servicios ( hijacking). Proceso por el cual una
cuenta de correo, usuario o sistema asociado a un dispositivo de computo, es
robada o secuestrada con propósitos mal intencionados
4. Interfaces y APIs inseguras . Interfaces de Programación de Aplicaciones
(APIs) con vulnerabilidades o debilidades que permiten explotar servicios o
datos de manera no autorizada.
Seguridad en la Computación en la Nube
Carlos R. Primorac Página 13
5. Negación de servicio . Una interrupción a una red de computadoras o
servicios, típicamente causado por un intento mal intencionado
6. Persona interna mal intencionada ( insider). Empleados o ex-empleados,
socios de negocio y proveedores con acceso autorizado a la red, sistemas o
datos y que pueden utilizarlo afectando la confidencialidad, integridad y
disponibilidad de la informacion.
7. Abuso de servicios en la nube . El uso de recursos legítimos en la nube para
darles mal uso.
8. Due diligence insuficiente . La adopción de servicios en la nube sin tener una
clara comprensión de los riesgos de seguridad en su despliegue o sin realizar
una validación de controles de seguridad y privacidad en la nube de terceros o
del proveedor de servicios en la nube.
9. Vulnerabilidades en tecnologías compartidas . Vulnerabilidades en
tecnologías clave que hacen posible la computación en la nube (hipervisores).
2.2. Evaluación de los riesgos de seguridad
Las organizaciones pueden obtener ventajas competitivas al adoptar la Computación
en la Nube. Sin embargo, antes deben tener una visión integral de los riesgos de
seguridad asociados.
Siguiendo a [8], antes de contratar un proveedor en la nube es necesario evaluar:
• Privilegios en el acceso de usuarios.
• Cumplimiento de la normativa.
• Ubicación de los datos.
• Separación de los datos
• Recuperación.
• Soporte a la investigación.
• Viabilidad a largo plazo.
Los datos confidenciales procesados fuera de la organización corren un riesgo si los
servicios IT tercerizados no ejercen los mismos controles físicos, lógicos y de personal
que se realizan para las aplicaciones de la empresa. Es necesario solicitar a los
proveedores información específica sobre la contratación y supervisión de los
administradores con privilegios sobre la información sensible y los controles que
realizan en el acceso a esta.
Seguridad en la Computación en la Nube
Carlos R. Primorac Página 14
El consumidor es el responsable de la seguridad e integridad de sus datos, incluso
cuando estos se encuentran en manos de un proveedor de servicios externos. Los
proveedores en la nube están sujetos a auditorías externas y certificaciones de
seguridad. Aquellos que se nieguen o no cuenten con estos controles no son
confiables.
En una infraestructura en la nube, es probable que el consumidor no tenga
conocimiento en qué país están alojados sus datos. Esto es motivo de preocupación
para cualquier organización que necesite cumplir con regulaciones nacionales de
privacidad. Se debe tener claro si los proveedores de servicios en la nube se
comprometen a almacenar y procesar datos en una jurisdicción específica y, si están
operando en ella, si está dispuesto a un compromiso contractual para obedecer la ley
en nombre de los consumidores.
Normalmente, en una infraestructura en la nube los datos se encuentran en un entorno
compartido con otro cliente. El cifrado es imprescindible, pero puede convertir los
datos en irrecuperables. El proveedor debe aportar la seguridad de que los esquemas
de cifrado están diseñados y probados por especialistas.
El proveedor debe garantizar la capacidad de una restauración completa en un mínimo
de tiempo en caso de fallas.
La investigación de actividades ilegales en una infraestructura en la nube puede ser
una actividad compleja puesto que los datos y registro de actividades es varios
clientes pueden coexistir e incluso estar en una gran cantidad de equipos y centros de
datos. Es necesario un compromiso contractual con el proveedor para apoyar a formas
específicas de investigación.
Es imprescindible asegurarse que el proveedor de servicios en la nube no tenga
dificultades financieras o que pueda ser absorbido por otra empresa. Llegado el caso,
es necesario saber que los datos se pueden recuperar.
2.3. Pautas de seguridad y privacidad en nubes públ icas
Las tecnologías de la Computación en la Nube pueden implementarse en una amplia
variedad de arquitecturas, diferentes modelos de servicios y despliegue, pudiendo
coexistir con otras tecnologías y enfoques de diseño de software. Los desafíos de
seguridad incluyen aquellos con los cuales se enfrentan las nubes públicas, en las
cuales la infraestructura y los recursos son provistos por un tercero que ofrece sus
servicios al público general a través de una plataforma distribuida (multi-tenant).
Seguridad en la Computación en la Nube
Carlos R. Primorac Página 15
El paradigma de la Computación en la Nube promete efectos a largo plazo en los
sistemas de las organizaciones. Muchas de las características que la hacen atractiva
pueden estar en oposición con los modelos y controles de seguridad tradicionales.
Cada organización es responsable de aplicar los lineamientos proporcionados al
analizar sus necesidades para evaluar, seleccionar y supervisar los servicios en una
nube publica que pueden satisfacer sus requerimientos.
Según el NIST [6], las cuestiones de seguridad y privacidad que pueden tener impacto
a largo plazo en una infraestructura en la nube pública, y en muchos casos, para otros
modelos de despliegue son:
1. Gobernabilidad.
2. Cumplimiento.
3. Confianza.
4. Arquitectura.
5. Gestión de la identidad y el acceso.
6. Aislamiento del software.
7. Protección de datos.
8. Disponibilidad.
9. Respuesta a incidentes.
2.3.1. Gobernabilidad
Implica el control y la supervisión por parte de la organización sobre las políticas,
procedimientos y estándares para el desarrollo de aplicaciones y la adquisición de
servicios IT, así como también el diseño, implementación, pruebas, uso y control de
los servicios desplegados o contratados.
La amplia disponibilidad de servicios en la nube y la falta de control sobre los
empleados puede ser una fuente de problemas. La adquisición de una infraestructura
en la nube, amplifica la necesidad de la gobernabilidad.
2.3.2. Confianza
Bajo el paradigma de la Computación en la Nube, las organizaciones ceden el control
directo de muchos de los aspectos de la seguridad y la privacidad, al hacerlo
conceden un alto nivel de confianza en el proveedor de la nube.
2.3.3. Arquitectura
Seguridad en la Computación en la Nube
Carlos R. Primorac Página 16
La arquitectura del software y del hardware utilizado para entregar los servicios en la
nube varía significativamente entre los distintos proveedores y para cada uno de los
servicios específicos del modelo. La localización física de la infraestructura, el diseño y
la implementación de la fiabilidad, el agrupamiento de recursos, la escalabilidad y otras
necesidades son decisiones del proveedor en la nube.
2.3.4. Gestión de la identidad y acceso
La sensibilidad de datos y privacidad de la información se han convertido en la
principal preocupación de las organizaciones. Las pruebas de autentificación y
aspectos de la gestión de identidades implican el uso, mantenimiento y protección de
la información de identificación personal (PII: Personally Identifiable Information) de los
usuarios. Otra consideración importante, es impedir el acceso no autorizado a los
recursos de información en la nube.
2.3.5. Aislamiento del software
Debido a las economías de escala, se requieren un alto grado de multi-tenencia en las
plataformas para lograr la flexibilidad y beneficios de costos previstos por el
autoservicio bajo demanda. Para llegar a altas escalas de consumo, los proveedores
deben garantizar la entrega dinámica y flexible de servicios, aislando los recursos de
los consumidores.
2.3.6. Protección de datos
En una infraestructura de nube pública, los datos de un cliente, normalmente residen
en un entorno y ubicación compartida con otros. Las organizaciones que mantengan
datos sensibles y reglamentados por una nube pública, deben tener en cuenta el
medio por el cual se controla el acceso a los datos y como se asegura la
confidencialidad de estos.
2.3.7. Disponibilidad
Es el grado en el cual una organización accede y utiliza un conjunto completo de
recursos computacionales. La Disponibilidad puede verse afectada temporal o
permanentemente y una perdida puede ser parcial o completa. Ataques de denegación
de servicio, caídas de sistemas y catástrofes naturales amenazan a la disponibilidad.
La mayor preocupación es la parte del tiempo de inactividad no planificada, la cual
puede afectar la misión de la organización.
2.3.8. Respuesta a incidentes
Seguridad en la Computación en la Nube
Carlos R. Primorac Página 17
Implica un método organizado para enfrentar las consecuencias de un ataque contra la
seguridad. Es de vital importancia que el proveedor de la nube realice las actividades
de respuesta a incidentes, incluyendo verificación, análisis, contención, recopilación y
preservación de datos, solución del problema y la restauración del servicio. Cada una
de las capas en la pila de aplicaciones en la nube, está bajo el control del proveedor.
En la Tabla 1, se resumen las cuestiones de seguridad y recomendaciones a seguir
para las organizaciones que planifiquen, revisen, negocien o inicien un acuerdo de
tercerización de servicios en una nube pública.
Tabla 1. Recomendaciones para la tercerización de servicios [6]
Área Recomendaciones
Gobernabilidad
Extender las prácticas de la organización relativas a las políticas,
procedimientos y estándares utilizados para el desarrollo de aplicaciones y
la prestación de servicios en la nube, así como el diseño, implementación,
pruebas, uso y control de los servicios desplegados o contratados.
Establecer mecanismos y herramientas para asegurar prácticas de
organización de auditoría lugar se siguen en todo el ciclo de vida del
sistema.
Cumplimiento
Comprender los diferentes tipos de leyes y normas que imponen
obligaciones de seguridad y privacidad en la organización y potencialmente
impactan en iniciativas de Computación en la Nube, en particular los
relacionados con la ubicación de datos, controles de privacidad y de
seguridad, gestión de registros y requisitos de descubrimiento electrónico.
Revisar y evaluar las ofertas del proveedor de nube con respecto a los
requisitos organizativos que deben cumplir y asegurarse de que los
términos del contrato cumplen adecuadamente con estos.
Asegurar que las capacidades de descubrimiento electrónico del proveedor
de la nube y los procesos no pongan en peligro la privacidad o la seguridad
de los datos y aplicaciones.
Confianza
Asegurar que los acuerdos de servicios y sus tiempos, tienen los medios
suficientes para permitir la visibilidad de los controles de seguridad y
privacidad y procesos empleados por el proveedor de la nube.
Establecer claramente los derechos, la propiedad exclusiva sobre los datos.
Instituir un programa de gestión de riesgos que sea lo suficientemente
flexible como para adaptarse a la constante evolución y cambio en estos,
según el ciclo de vida del sistema.
Monitorear continuamente el estado de seguridad del sistema de
Seguridad en la Computación en la Nube
Carlos R. Primorac Página 18
Área Recomendaciones
información para apoyar las decisiones de gestión de riesgos.
Arquitectura
Comprender las tecnologías subyacentes que utiliza el proveedor de la nube
para proporcionar los servicios, incluidas las consecuencias de los controles
técnicos involucrados en la seguridad y privacidad del sistema, a lo largo de
todo el ciclo de vida del mismo y de sus componentes.
Gestión de la
identidad y el
acceso
Asegurar que se cuenta con las garantías adecuadas para la
autentificación, autorización y otras funciones de gestión de la identidad y
acceso, además de que sean adecuados para la organización.
Aislamiento del
software
Comprender la virtualización y otras técnicas de aislamiento lógico que
emplea el proveedor en la nube para su arquitectura de multi-tenencia y
evaluar los riesgos que implican para la organización.
Protección de
datos
Evaluar la idoneidad de las soluciones del proveedor en la nube referidas a
la habilidad para controlar el acceso y seguridad de los datos de la
organización.
Comprender y ponderar los riesgos involucrados en la gestión de claves
criptográficas con las disponibles en el entorno en la nube establecidas por
el proveedor de la nube.
Disponibilidad.
Comprender las disposiciones del contrato y procedimientos para la
disponibilidad, respaldo y restauración de datos, recuperación de desastres,
y asegurar que cumplen con los requisitos de continuidad y planificación
de contingencias de la organización.
Asegurar que durante una interrupción intermedia o prolongada o un
desastre grave, las operaciones críticas pueden ser inmediatamente
reanudadas, y que todas las operaciones se pueden reestablecer de
manera oportuna y organizada.
Respuesta a
incidentes
Comprender las disposiciones del contrato y procedimientos de respuesta a
incidentes y asegurar que se cumplen los requisitos de la organización.
Asegurar que el proveedor de la nube tiene en marcha un proceso de
respuesta transparente y mecanismos suficientes para compartir
información durante y después de un incidente.
Asegurar que la organización pueda responder a los incidentes de manera
coordinada con el proveedor de la nube de conformidad con sus respectivos
roles y responsabilidades para el entorno.
Seguridad en la Computación en la Nube
Carlos R. Primorac Página 19
3. Arquitectura de Referencia de Seguridad del NIST
El NIST, junto con otros organismos, fue el encargado de las actividades específicas
encaminadas a acelerar la adopción de la Computación en la Nube. Estas incluyen la
creación de las Publicaciones Especiales del NIST (NIST SP), las cuales se ocupan de
las definiciones, arquitectura de referencia y aspectos de seguridad [5] [6] [10].
El grupo de trabajo de Seguridad en la Computación en la Nube del NIST fue creado
con el objeto de lograr la colaboración entre actores privados y federales para hacer
frente a las preocupaciones relacionadas con la seguridad. Este, se encargó del
diseño de la Arquitectura de Referencia de Seguridad de la Computación en la Nube
(NCC-SRA: NIST Cloud Computing Security Reference Architecture) [10], la cual
complementa a la NCC-RA [5] con un modelo formal que identifica el conjunto de
componentes de seguridad recomendados para un ecosistema de Computación en la
Nube exitoso.
La NCC-SRA se basa en datos recolectados y validados en nubes públicas, teniendo
en cuenta los tres modelos de servicio y todos los actores en la nube. Sin embargo el
estudio es agnóstico en cuanto al modelo de despliegue y su metodología puede
aplicarse a nubes privadas, comunitarias o hibridas. Es un marco de trabajo que [10]:
• Identifica un conjunto de componentes de seguridad los cuales se pueden
implementar en un ecosistema en la nube para asegurar el entorno, la
operación y la migración de datos hacia la nube.
• Proporciona un conjunto de componentes de seguridad y responsabilidades
para cada actor en la nube, según el modelo de despliegue y servicios.
• Define un modelo de arquitectura formal centrado en la seguridad para la NCC-
AR.
• Proporciona diferentes enfoques para el análisis de datos.
La intención es ofrecer un marco de trabajo elástico y dinámico sobre las capas de la
NCC-RA teniendo en cuenta:
• Los modelos de servicio.
• Los modelos de despliegue.
• Los actores definidos.
Seguridad en la Computación en la Nube
Carlos R. Primorac Página 20
3.1. Modelo Formal de la NCC-SRA
El borrador del modelo formal de la NCC-SRA, derivado de la NCC-RA actualizado
(Fig. 5), indica cada uno de los componentes de la arquitectura actualizada, los cuales
deben asegurarse mediante la implementación de componentes de seguridad.
Fig. 5. NCC-RA actualizada [10].
En la representación en capas del modelo formal de la NCC-SRA de la Fig. 6, se
pueden apreciar en primer plano los componentes de la arquitectura de seguridad
para cada uno de los actores ilustrados en segundo plano.
Fig. 6. Modelo formal de la NCC-SRA [10].
Seguridad en la Computación en la Nube
Carlos R. Primorac Página 21
Conclusiones
La definición de Computación en la Nube del NIST, es ampliamente aceptada y
proporciona una comprensión clara de las tecnologías involucradas. La NCC-RA,
identifica a los principales actores, sus actividades y funciones, facilitando la
comprensión de los requerimientos, usos, características y estándares.
La seguridad es un aspecto transversal de la arquitectura y se extiende a través de
todas las capas del modelo de referencia, abarcando tanto aspectos físicos como de
las aplicaciones. Por lo tanto, la seguridad en la Computación en la Nube, no es
exclusivamente competencia de los proveedores, sino también de los consumidores y
otros actores relevantes. Los sistemas basados en la nube, deben hacer frente a
requisitos de seguridad tales como autentificación, autorización, disponibilidad,
confidencialidad, gestión de la identidad, integridad, auditoria, supervisión, respuesta a
incidentes y gestión de políticas de seguridad. Las organizaciones deben tener una
visión integral de los riesgos de seguridad asociados y antes de contratar un
proveedor en la nube es necesario evaluarlos.
Cada organización es responsable de aplicar los lineamientos proporcionados al
analizar sus necesidades para evaluar, seleccionar y supervisar los servicios en una
nube publica que pueden satisfacer sus requerimientos. Las cuestiones de seguridad y
privacidad que pueden tener impacto a largo plazo en una infraestructura en la nube
pública son aplicables para otros modelos de despliegue.
El modelo formal que identifica el conjunto de componentes de seguridad
recomendados para un ecosistema de Computación en la Nube exitoso, se basa en
datos recolectados y validados en nubes públicas, teniendo en cuenta los tres modelos
de servicio y todos los actores en la nube. Sin embargo el estudio es agnóstico en
cuanto al modelo de despliegue y su metodología puede aplicarse a nubes privadas,
comunitarias o hibridas.
Seguridad en la Computación en la Nube
Carlos R. Primorac Página 22
Referencias
[1] C. R. Primorac. (2015). Computación en Nube [En línea]. Disponible:
http://exa.unne.edu.ar/informatica/SO/primorac_monografia_computacion_en_nu
be.pdf [22 de Septiembre de 2015].
[2] P. Mell, T. Grance. (2011). NIST Special Publication 800-145, The NIST Definition
of Cloud Computing [En línea]. Disponible:
http://csrc.nist.gov/publications/nistpubs/800-145/SP800-145.pdf [22 de
Septiembre de 2015]
[3] B. Furht and A. Escalante. Handbook of Cloud Computing.New York: Springer,
2010.
[4] Intel IT Center (2003). Virtualization and Cloud Computing. Steps in the Evolution
from Virtualization to Private Cloud Infraestructure as a Service [En línea].
Disponible:http://www.intel.in/content/dam/www/public/us/en/documents/guides/cl
oud-computing-virtualization-building-private-iaas-guide.pdf [22 de Septiembre
de 2015].
[5] F. Liu, J. Tong, J. Mao, R. Bohn, J. Messina, L. Badger and D. Leaf. (2001). NIST
Special Publication 500-292, NIST Cloud Computing Reference Architecture [En
línea]. Disponible: http://www.nist.gov/customcf/get_pdf.cfm?pub_id=909505 [22
de Septiembre de 2015].
[6] W. Jansen and T. Grance. (2011). NIST Special Publication 800-144, Guidelines on
Security and Privacy in Public Cloud Computing [En línea]. Disponible:
http://csrc.nist.gov/publications/nistpubs/800-144/SP800-144.pdf [22 de
Septiembre de 2015].
[7] Cloud Security Alliance. (2010). Top Threats to Cloud Computing V1.0 [En línea].
Disponible: https://cloudsecurityalliance.org/topthreats/csathreats.v1.0.pdf [22 de
Septiembre de 2015].
[8] Gartner. (2008). Assessing the Security Risks of Cloud Computing [En línea].
Disponible:http://www.globalcloudbusiness.com/SharedFiles/Download.aspx?pag
eid=138&mid=220&fileid=12 [22 de Septiembre de 2015].
[9] Cloud Security Alliance. (2013). The Notorious Nine Cloud Computing Top Threats
in 2013 [En línea]. Disponible:
https://downloads.cloudsecurityalliance.org/initiatives/top_threats/The_Notorious
_Nine_Cloud_Computing_Top_Threats_in_2013.pdf [22 de Septiembre de
2015].
Seguridad en la Computación en la Nube
Carlos R. Primorac Página 23
[10] NIST. (2013). NIST Special Publication 500-299, NIST Cloud Computing Security
Reference Architecture [En línea]. Disponible: http://collaborate.nist.gov/twiki-
cloudcomputing/pub/CloudComputing/CloudSecurity/NIST_Security_Reference_
Architecture_2013.05.15_v1.0.pdf [22 de Septiembre de 2015].
Top Related