seguridad informática en la era del cómputo de...
17
CÓMO EVITAR PROBLEMAS DE SEGURIDAD CON EL CÓMPUTO DE NUBE ECUACIÓN DE RIESGO AYUDA A ENTENDER LA SEGURIDAD EN LA NUBE ¿CUÁL ES EL MEJOR MÉTODO PARA PROTEGER DATOS EN LA NUBE? CIFRADO CENTRALIZADO DE DATOS EN LA NUBE Seguridad informática en la era del cómputo de nube ¿Cómo garantizar que sus datos empresariales no están en riesgo en un entorno tan amenazado como el de los servicios de nube? ¿Qué lecciones nos dejaron las brechas de seguridad en iCloud, Dropbox y otros proveedores similares?
-
Upload
doannguyet -
Category
Documents
-
view
214 -
download
0
Transcript of seguridad informática en la era del cómputo de...
Cómo evitar problemas de seguridad Con el Cómputo de nube
eCuaCión de riesgo ayuda a entender la seguridad en la nube
¿Cuál es el mejor método para proteger datos en la nube?
Cifrado Centralizado de datos en la nube
seguridad informática en la era del cómputo de nube ¿Cómo garantizar que sus datos empresariales no están en riesgo en un entorno tan amenazado como el de los servicios de nube? ¿Qué lecciones nos dejaron las brechas de seguridad en iCloud, Dropbox y otros proveedores similares?
INICIO
EvItE prOblEmas
EN la NubE
ENtIENDa la
sEgurIDaD DE NubE
prOtECCIóN DE DatOs
CIfraDO EN la NubE
Seguridad informática en la era del cómputo de nube2
EvItE prOblEmas EN la NubE
Cómo evitar problemas de seguridad en el cómputo de nube
Un reciente artículo que escribí en las consideraciones de tercerización de software como servicio (SaaS) y servicios en la nube ha provocado algunas conversaciones interesantes, sobre todo en el ámbito de las cuestiones de seguridad en la computación en nube. Sin embargo, la mayor parte de esta discusión no ha tocado lo que veo a ser una de las mayores áreas de posibles vulnerabilidades: las brechas evitables que se abren conforme las iniciativas departamentales debilitan el imperativo de la empresa.
Claro, el control de acceso, el cifrado y las ramificaciones en la política y similares son todos críticos, ¿pero qué sucede cuando se da a las unidades de negocio (o asumen) el derecho
y la capacidad de hacer sus propias cosas? Nada bueno, le puedo decir.
un nuevo giro en un viejo Cuento
El empujar/tirar entre los departamentos y la empresa es una antigua dinámica, pregúntele a cualquiera que haya sido la víctima (o vencedor) de una guerra política corporativa. En el frente de tecnología, sin embargo, ahora es más fácil que nunca crear problemas, ya que la tecnología electrónica es mucho más accesible de lo que nunca ha sido.
Hace cien años—ok, 20—implementar sistemas era lo suficientemente complejo y caro como para requerir la participación de
Conforme los modelos se transformaron en saas y los motores de búsqueda gan aron fuerza, la gente se acomodó a hacer las cosas por su cuenta... ¿eso es bueno o malo?
INICIO
EvItE prOblEmas
EN la NubE
ENtIENDa la
sEgurIDaD DE NubE
prOtECCIóN DE DatOs
CIfraDO EN la NubE
Seguridad informática en la era del cómputo de nube3
EvItE prOblEmas EN la NubE
profesionales de TI capacitados, por lo que las iniciativas independientes eran difíciles de lograr. Pero conforme los viejos modelos de tiempo compartido se transformaron en SaaS y la nube, y los motores de búsqueda de los con-sumidores y los dispositivos inteligentes gana-ron fuerza, la gente se fue poniendo cómoda con la idea de hacer las cosas por su cuenta. Por lo tanto, lo que antes era una actividad empre-sarial ahora con frecuencia se lleva a cabo a nivel departamental.
Dependiendo de cuál sea el enfoque, esto puede ser bueno o malo.
no deje que esto le pase a usted
El niño del cartel para este tema bien podría ser una organización cliente de Holly Group, que creció como una serie de operaciones inde-pendientes y finalmente se estableció bajo un mismo techo corporativo. Esto no es raro, y no es necesariamente malo, pero, en este caso, las unidades de negocio siguieron disfrutando de la libertad de pedir, adquirir y desplegar tec-nología electrónica.
La buena noticia es que se ha implementado
un gran número de aplicaciones de alta calidad que maravillosamente satisface las necesi-dades de cada departamento. La mala noticia es que estos sistemas no interoperan con los de los otros departamentos. Y las peores noti-cias son que los ejecutivos de línea de negocio continúan sintiéndose en libertad de hacer cosas como (esta es una historia real) poner sus archivos PST de Outlook en la nube para per-mitir el acceso más fácil al correo electrónico mientras viajan.
¡Caramba!La prevaleciente falta de interoperabilidad
que ha surgido ha dejado las personas cuyos trabajos les obligan a cruzar líneas departa-mentales (por ejemplo, oficiales de registros y cumplimiento) a confiar en el teléfono y el correo electrónico como una forma de solicitar y recibir información necesaria. No hace falta mucha imaginación para prever los riesgos de seguridad asociados con esto—que van desde imitaciones por teléfono a un envío accidental de correo electrónico a una dirección incorrec-ta—y el cliente ahora está trabajando duro para habilitar al menos un nivel mínimo de acceso y auditoría en línea.
INICIO
EvItE prOblEmas
EN la NubE
ENtIENDa la
sEgurIDaD DE NubE
prOtECCIóN DE DatOs
CIfraDO EN la NubE
Seguridad informática en la era del cómputo de nube4
EvItE prOblEmas EN la NubE
A pesar de lo malo que es esto, la cultura de independencia que todavía existe es mucho peor, porque las personas que crean los ries-gos no saben que hay algo malo en lo que están haciendo. Después de todo, dicen, “siempre lo hemos hecho de esta manera” y, para ser justos, ¿cómo pueden saber que está mal si nadie les ha dicho? El resultado es que los repositorios de mensajes de correo electrónico confiden-ciales enviados a la nube y los equipos usados aparecen registrados en eBay sin haber sido autorizados para su liberación.
pero espere, hay más
Más allá de la seguridad básica, otros tipos de riesgos también pueden surgir de este tipo de comportamiento:
■■ La existencia continuada de feudos orga-nizacionales hace que sea casi imposible lograr o mantener una visión empresarial de cualquier cosa, incluyendo la gestión de licencias de software, la eficacia de procesos de negocio y las métricas de desempeño de la tecnología.
■■ La continua fragmentación de la infraes-tructura de la organización hace que sea casi imposible alcanzar cualquier tipo de economía de escala a la hora de orquestar múltiples servicios SaaS/nube y desarrollar las políticas necesarias que rigen su adquisi-ción y uso.
■■ El intercambio de información restringida hace que sea casi imposible responder efi- cientemente a las auditorías de cumplimiento o desarrollar cualquier tipo de inteligencia de negocios significativa, ramificaciones gemelas que pueden atacar directamente al corazón del éxito de su organización.
mira haCia atrás, ángel
Esta pieza se ha centrado principalmente en el departamento frente a la dinámica empre-sarial, conforme se relaciona con los problemas de seguridad en la computación en nube. Pero sería negligente no señalar que la cuestión es en gran parte lo mismo cuando se habla tam-bién de su infraestructura interna. La gran dife-rencia es simplemente dónde se encuentran
INICIO
EvItE prOblEmas
EN la NubE
ENtIENDa la
sEgurIDaD DE NubE
prOtECCIóN DE DatOs
CIfraDO EN la NubE
Seguridad informática en la era del cómputo de nube5
EvItE prOblEmas EN la NubE
sus servidores: ¿Están bajo el mismo techo corporativo, detrás del mismo firewall corpo-rativo, conectados por la misma red corpora-tiva? ¿O están en diferentes lugares, a cargo de diferentes organizaciones, utilizando diferentes conexiones?
De cualquier manera, queda aconsejado de asegurarse de que sus departamentos no están
trabajando con objetivos opuestos a su estrate-gia empresarial. Si es necesario, comience a trabajar para cambiar la cultura de los feudos de la federación, e instituya y explique las políti-cas corporativas para dejar en claro cómo y por qué los riesgos de seguridad de la nube antes descritos son tanto inaceptables, como evi-tables. —Steve Weissman
INICIO
EvItE prOblEmas
EN la NubE
ENtIENDa la
sEgurIDaD DE NubE
prOtECCIóN DE DatOs
CIfraDO EN la NubE
Seguridad informática en la era del cómputo de nube6
ENtIENDa la sEgurIDaD
DE NubE
ecuación de riesgo ayuda a entender la seguridad de la nube
¿Cuántas veces has escuchado que “la nube proporciona una mejor seguridad” o que “la nube proporciona peor seguridad” que su propio entorno? Todos hemos sido testigos de este continuo debate en innumerables ocasio-nes durante los últimos años. Por lo general, los partidarios de ambos lados de la discusión toman una posición basada en un subconjunto de información y algunos presumen la situa-ción en los centros de datos actuales.
La verdad es, que si un entorno de nube es más o menos seguro que su red corporativa depende de los escenarios de implementación y del estado actual de la infraestructura exis-tente. ¿Está usted simplemente moviendo el correo electrónico y el intercambio de archivos a la nube a través del software como servicio (SaaS), o almacenando datos sensibles en una nube privada o pública que requiere un con-trol de acceso privilegiado, cumplimiento y encriptación?
La ecuación del riesgo es la mejor manera de evaluar el impacto de los escenarios específicos de nubes en materia de seguridad informática y gestión de riesgos. El riesgo es una función de la probabilidad de que algún acontecimiento
negativo, como el acceso no autorizado o la pérdida de datos, se producirá y de las conse-cuencias previstas en caso de ocurrir, como la posible responsabilidad o las sanciones por incumplimiento. La probabilidad del evento se divide en un componente de amenaza, que es el potencial de que una fuente de alguna actividad en línea es maliciosa, y un componente de vul-nerabilidad, que determina el nivel en el que un
Cuando se aplica la escala de riesgos, muchas empre sas tienden a esperar un mayor nivel de amenaza.
INICIO
EvItE prOblEmas
EN la NubE
ENtIENDa la
sEgurIDaD DE NubE
prOtECCIóN DE DatOs
CIfraDO EN la NubE
Seguridad informática en la era del cómputo de nube7
ENtIENDa la sEgurIDaD
DE NubE
conjunto de recursos técnicos es capaz de verse comprometido.
A pesar de las elevadas preocupaciones por la seguridad entre los ejecutivos de TI, solo el 50% de los encuestados consultó a sus equi-pos de seguridad sobre los proyectos en la nube “siempre” o “casi todo el tiempo”, de acuerdo con el Estudio de Seguridad de los Usuarios de la Computación en la Nube 2013, realizado por el Instituto Ponemon.
Cuando las operaciones de seguridad tienen la tarea de evaluar el cambio en la postura de riesgo provocado por un movimiento hacia la nube, un buen lugar para comenzar es la evalua-ción de tres elementos de riesgo: amenazas, vulnerabilidades y consecuencias.
Como profesional de la seguridad, usted ya puede estar objetando lo difícil que es cuantifi-car estos tres elementos de riesgo. No se equi-voque, cualquier profesional bien intencionado que está tomando decisiones ya está cuantifi-cando estos elementos, ya sea que sean cons-cientes de ello o no. Lo que realmente hay que hacer es comparar el estado futuro esperado con la situación actual en términos bastante amplios, tal vez incluso asignando un valor
“superior” o “inferior” para el cambio esperado en cada elemento.
Durante este ejercicio, es útil tener en cuenta las amenazas, vulnerabilidades y consecuencias por separado, de cualquier entorno de control esperado o existente. Esto puede ser un poco difícil; sin embargo, los cambios en los con-troles de seguridad se evalúan en una etapa posterior.
Cambio en los niveles de amenaza
La mejor manera de pensar acerca de las amenazas es simplemente como una fuente de actividad—una dirección IP o una versión fic-ticia de ese “tipo malo” en medio de todo tipo de otras personas sentadas frente a sus tecla-dos. Cuando está evaluando las amenazas, es fundamental tener en cuenta la accesibilidad y el costo-beneficio del atacante. En primer lugar, determine si habrá algún cambio en el volumen global de uso de una vez que una apli-cación, servicio o proceso de datos se mueva a la nube. Por lo menos, el volumen de activi-dad proporciona una idea de la posibilidad de que los atacantes elegirán estos activos como
INICIO
EvItE prOblEmas
EN la NubE
ENtIENDa la
sEgurIDaD DE NubE
prOtECCIóN DE DatOs
CIfraDO EN la NubE
Seguridad informática en la era del cómputo de nube8
ENtIENDa la sEgurIDaD
DE NubE
objetivo (debería ser relativamente sencillo determinar si un recurso en la nube estará dis-ponible para más personas). Un servicio que solo es accesible dentro del entorno de una organización y se mueve a una nube pública verá un aumento de las amenazas; uno que ya es accesible por internet es menos probable que cambie significativamente. Y un entorno de nube privada, alojado internamente, es poco probable que cambie en absoluto.
Las cosas se ponen un poco más intere-santes cuando nos fijamos en el escenario de costos y beneficios para los atacantes. Los atacantes solo atacan si creen que sus costos son menores que los beneficios esperados. Cualquier cambio a una plataforma más popu-lar, o uno que utiliza componentes comunes, disminuye los costos. Es más probable que los atacantes estén familiarizados con la tec-nología, por lo que no necesitarán dedicar tiempo a capacitación o investigación. La dis-ponibilidad de recursos también es importante. En un escenario de nube pública, por ejemplo, que comparte muchas aplicaciones diferentes con diversos tipos de datos es probable que aumente el beneficio percibido.
Cuando los equipos de seguridad acceden al riesgo en la nube mediante la aplicación del valor “más alto” o “más bajo” a los cambios actuales y esperados, muchos entornos empre-sariales tienden a esperar un mayor nivel de amenaza.
evaluaCiones de vulnerabilidad
La comprensión de la superficie de ataque es la mejor manera de evaluar el segundo elemento de la ecuación de riesgo, que es el nivel de vul-nerabilidad. Esto implica mirar los componen-tes individuales de una aplicación y determinar si una implementación en la nube tiene más componentes que pueden ser atacados, como la capa de virtualización.
Los componentes complejos y distribuidos traen una mayor vulnerabilidad en la nube, pero si la aplicación es lo suficientemente importante y difícil de evaluar, puede valer la pena mirar el número de interfaces, el tamaño del código o incluso (estremecimiento) los procesos del sistema. Tenga en cuenta que el número de vulnerabilidades existentes no se menciona. Las vulnerabilidades descritas son
INICIO
EvItE prOblEmas
EN la NubE
ENtIENDa la
sEgurIDaD DE NubE
prOtECCIóN DE DatOs
CIfraDO EN la NubE
Seguridad informática en la era del cómputo de nube9
ENtIENDa la sEgurIDaD
DE NubE
en realidad elementos que impactan en las amenazas (es decir, que reducen los costos del atacante) en lugar de la vulnerabilidad.
Un entorno de aplicación que se está mo-viendo desde un sistema heredado o monolíti-co a una arquitectura altamente distribuida y virtualizada verá fácilmente incrementada su vulnerabilidad. En uno que ya está utilizando arquitecturas modernas es menos probable que veamos un gran aumento.
En las nubes públicas con recursos compar-tidos, es importante entender la posibilidad de daños colaterales, que afectan tanto a las amenazas como a las vulnerabilidades. En este contexto, los daños colaterales significan que su entorno de nube puede terminar bajo ataque simplemente porque sus recursos se comparten con algún otro objetivo. Un ataque de denega-ción de servicio distribuido contra un des-pliegue corporativo de SaaS puede resultar en que otras organizaciones se vean afectadas.
ConseCuenCias de la adopCión de la nube
Es útil recordar que cualquier aplicación o entorno de TI saludable está creciendo en valor
en algún nivel. Esto también significa que las consecuencias—el tercer elemento de la ecua-ción de riesgo—son mayores. Con el tiempo, la creciente dependencia en la tecnología de nube reduce la experiencia en la organización
y puede inhibir las innovaciones internas que aumentarían la eficiencia. Por lo tanto, general-mente no hay necesidad de suponer una dife-rencia significativa en las pérdidas potenciales cuando compara el ambiente existente con el que está orientado a la nube.
Hay, sin embargo, formas en que las conse-cuencias podrían cambiar significativamente. Tal vez la más obvia es en los costos de res-puesta y recuperación. La capacidad de quienes responden para tener acceso a todos los regis-tros y recursos adecuados de los proveedores de nubes u otros terceros puede ser deteriorado significativamente durante un incidente de bre-cha, creando el potencial para un mayor costo.
tenga en cuenta que las organi-zaciones son responsables por la integ ridad de la información.
INICIO
EvItE prOblEmas
EN la NubE
ENtIENDa la
sEgurIDaD DE NubE
prOtECCIóN DE DatOs
CIfraDO EN la NubE
Seguridad informática en la era del cómputo de nube10
ENtIENDa la sEgurIDaD
DE NubE
Por el lado de la recuperación, las cuestiones de jurisdicción pueden tener un impacto sig-nificativo en los costos legales y regulatorios a medida que más entidades afectadas se ven involucradas. Tenga en cuenta que las orga-nizaciones son responsables por la integridad de la información en cualquier violación de datos, aun cuando la fuga o el problema de cumplimiento se produjo a causa de un pro-veedor de nube o un proveedor externo, y los acuerdos de nivel de servicio están vigentes.
faCtorizaCión en entornos de Control
En esta etapa, evaluar la variación neta del riesgo debería ser bastante sencillo. En la mayo- ría de los casos, es probable que usted vea un aumento en el riesgo. ¿Pero eso no significa que la nube es menos segura? No necesariamente. Teniendo en cuenta las variables descritas, algunas implementaciones pueden ser fácil-mente más seguras o igualmente seguras en la nube, sobre todo cuando se consideran los fac-tores en un escenario de nube privada.
Sin embargo, es fundamental entender el cambio en la postura de seguridad. Sin duda, es
razonable crear un entorno de control orien-tado a la nube que reduce el riesgo a un nivel por debajo del que tiene el entorno existente, aunque solo sea porque muchas personas per-ciben—probablemente con razón— que los riesgos de la nube son más altos.
Hasta ahora, no se ha considerado soluciones de seguridad en la ecuación del riesgo. La nube ofrece una oportunidad para evaluar las dife-rencias en el entorno de control. Las empresas pueden y deben aprovechar la oportunidad para mejorar los mecanismos de autenticación, sobre todo porque los usuarios más privilegia-dos vendrán de lugares fuera del firewall. En el nivel de SaaS, se puede aplicar parches mucho más rápidamente. Y una organización también puede obtener beneficios de las operaciones de seguridad del proveedor de la nube. Esto es, si los controles del proveedor de nube son aplica-dos y monitoreados correctamente (es probable
las empresas pueden y deben mejorar los mecanismos de autenticación.
INICIO
EvItE prOblEmas
EN la NubE
ENtIENDa la
sEgurIDaD DE NubE
prOtECCIóN DE DatOs
CIfraDO EN la NubE
Seguridad informática en la era del cómputo de nube11
ENtIENDa la sEgurIDaD
DE NubE
que los proveedores de nube externos no hayan invertido tanto en asegurar su red y los activos de datos como las operaciones de seguridad interna de su empresa).
Estos son solo algunos ejemplos, y no tienen en cuenta los costos de seguridad en los cuales una organización puede ver un beneficio neto
en el riesgo, particularmente si su propio pro-grama de seguridad interno lucha—como muchos lo hacen—para mantener un alto nivel de competencia. La próxima vez que escuche a alguien decir que “la nube es más segura” o “la nube es menos segura”, siéntase libre de igno-rarlo. —Pete Lindstrom
INICIO
EvItE prOblEmas
EN la NubE
ENtIENDa la
sEgurIDaD DE NubE
prOtECCIóN DE DatOs
CIfraDO EN la NubE
Seguridad informática en la era del cómputo de nube12
prOtECCIóN DE DatOs
¿Cuál es el mejor método para proteger los datos en la nube?
Al proteger datos en la nube, la selección de un método de respaldo se reduce a las nece-sidades individuales de una organización y a la naturaleza del respaldo.
Los eventos de pérdida de datos toman muchas formas diferentes. Cuando una orga-nización hace respaldos de datos en la nube, no es solo para proteger esos datos contra el borrado accidental o la modificación, sino en contra de un fallo a nivel de nube. Como tal, los respaldos de nube a nube que crean una copia secundaria de los datos en la misma nube no protegen contra fallas a nivel de nube. Las únicas buenas opciones de respaldo implican un respaldo interno hacia el centro de datos local o respaldar los datos hacia una nube diferente.
Suponiendo que todos los recursos discu-tidos son razonablemente confiables, la dis-cusión sobre qué enfoque es mejor depende del costo. Independientemente del método de
respaldo que se utilice, el proveedor de nube que hospeda sus datos le facturará por el alma-cenamiento de I/O creado por el proceso de respaldo y el ancho de banda de red consumido. Estos pueden ser tratados como costos fijos.
Si decide realizar un respaldo de datos a otra nube, incurrirá en costos relacionados con el consumo de almacenamiento, I/O de alma-cenamiento y consumo de ancho de banda relacionado con el proceso de respaldo y el almacenamiento de la copia de seguridad. Si los datos son respaldados en su centro de datos local, puede incurrir en costos de ancho de banda WAN (si se utiliza una conexión medida) y habrá costos de almacenamiento,
los respaldos de nube a nube permiten hacer backups sin con-sumir su propio ancho de banda.
INICIO
EvItE prOblEmas
EN la NubE
ENtIENDa la
sEgurIDaD DE NubE
prOtECCIóN DE DatOs
CIfraDO EN la NubE
Seguridad informática en la era del cómputo de nube13
prOtECCIóN DE DatOs
mantenimiento, energía y enfriamiento a tener en cuenta.
Algunas organizaciones prefieren hacer un respaldo de los datos en la nube hacia un objetivo en sus instalaciones porque hace los datos más tangibles. Hay una copia de los datos almacenados dentro del centro de datos
local, donde es fácilmente accesible. Por otra parte, los respaldos de nube a nube le permiten completar el proceso de respaldo sin consumir nada de su propio ancho de banda WAN, así que puede ser una consideración para las orga-nizaciones que hacen frente a la escasez de ancho de banda. —Brien Posey
INICIO
EvItE prOblEmas
EN la NubE
ENtIENDa la
sEgurIDaD DE NubE
prOtECCIóN DE DatOs
CIfraDO EN la NubE
Seguridad informática en la era del cómputo de nube14
CIfraDO EN la NubE
Cifrado centralizado de datos en la nube
El cifrado de datos, para datos en reposo y en movimiento, debe ser una práctica habitual en la computación en nube. Pero, a pesar de la disponibilidad casi omnipresente del cifrado dentro de la empresa y a través de proveedores de la nube, las tecnologías de cifrado comunes no siempre son suficientes para algunas organizaciones.
Algunas empresas, por ejemplo, están suje-tas a regulaciones estrictas de cumplimiento, tales como la Ley de Responsabilidad y Por-tabilidad del Seguro de Salud, que requieren acuerdos formales entre las empresas de salud y sus socios, incluyendo los proveedores de nube. Y mientras que los proveedores de nube pueden satisfacer algunas de las necesidades de cifrado de una empresa, muchas compañías
están recurriendo a proveedores de seguridad de nube para ayudarles a llenar los vacíos.
los benefiCios de la enCriptaCión
Centralizado de datos en nube
Proveedores de cifrado centralizado de datos en nube, como Vaultive y CipherCloud, ofre-cen tecnología de nivel empresarial que permite a las empresas encriptar sus datos mientras todavía están en la red de confianza de la empresa. Esto asegura que todos los datos enviados hacia la nube y almacenados en ella estén encriptados. Solo el administrador de más alto nivel del servicio de nube puede acceder a los datos cifrados. Y si el proveedor de nube es hackeado o se le requiere dar a
si todos los datos enviados y almacenados en la nube están encriptados, sólo un administrador con privilegios puede acceder a los datos cifrados.
INICIO
EvItE prOblEmas
EN la NubE
ENtIENDa la
sEgurIDaD DE NubE
prOtECCIóN DE DatOs
CIfraDO EN la NubE
Seguridad informática en la era del cómputo de nube15
CIfraDO EN la NubE
conocer los datos por motivos legales, solo se entregan datos cifrados.
CipherCloud para Amazon Web Services (AWS) es un servicio de cifrado diseñado espe-cíficamente para la nube de AWS con soporte para el servicio de bases de datos relacionales y Redshift. El servicio utiliza el cifrado AES de 256 bits, combinado con almacenamiento y gestión de claves centralizado, y almacena las claves de cifrado en servidores CipherCloud. El cifrado de CipherCloud se implanta en el controlador de la aplicación, donde encripta los datos localmente antes de moverlo entre puntos.
CipherCloud permite a los administradores cifrar los datos en función de cada campo. Por ejemplo, un sistema de ventas en línea puede cifrar solo información de pago usando las he-rramientas CipherCloud de grano fino, mien-tras deja otros datos, como una dirección de envío, en texto plano.
Una característica avanzada de CipherCloud permite a los administradores generar datos cifrados que utilizan el mismo tipo y tamaño de datos que los datos sin cifrar. Esto es especial-mente importante cuando las empresas quieren
la protección del cifrado, pero no quieren modi-ficar sus esquemas de bases de datos.
A veces, una empresa querrá usar una sepa-ración de funciones al manipular el cifrado. Las funciones de gestión de claves de CipherCloud mitigan el riesgo de tener un insider con acceso inaceptable a las claves y, por tanto, a los datos cifrados.
Similar a CloudCipher, Vaultive tiene un servicio especializado para un único proveedor de la nube, Microsoft. Vaultive ofrece encrip-tación para una gama de servicios de Microsoft, incluyendo Office 365, Yammer, OneDrive y Dynamics CRM Online.
Vaultive funciona como una capa sin estado que sirve como una puerta entre un servicio de nube y los puntos finales de los usuarios. Por ejemplo, Vaultive, junto con su socio BitTitan, cifra los datos para Office 365 a medida que entran en la nube. A partir de ese momento, los datos permanecen cifrados hasta que vuelven a un usuario final con la autoridad para poder verlos. Los datos que viajan hacia y desde la nube de Office 365 siempre pasan a través de una capa de cifrado de red gestionada por BitTitan.
INICIO
EvItE prOblEmas
EN la NubE
ENtIENDa la
sEgurIDaD DE NubE
prOtECCIóN DE DatOs
CIfraDO EN la NubE
Seguridad informática en la era del cómputo de nube16
CIfraDO EN la NubE
prepárese para riesgos
de Cifrado Centralizado
A pesar de los beneficios de los servicios de cifrado centralizado, también pueden introducir un punto potencial de fallo en la infraestruc-tura de una organización. Si un gateway se cae o un software de cifrado como servicio (SaaS) no está disponible, no puede enviar nuevos datos cifrados a la nube. Además, sus datos cifrados en la nube serán inaccesibles hasta que el pro-blema se resuelva.
Una opción al implementar un gateway interno es el uso de su alta disponibilidad y escalabilidad. Para ello, ejecute varios gateways y equilibre la carga entre ellos o mantenga uno en espera. Como alternativa, si puede tolerar
más tiempo para la recuperación, usted podría subir un nuevo gateway manualmente cuando falle el gateway primario.
Al utilizar SaaS de cifrado, asegúrese de que los SLAs cumplen sus expectativas para la escalabilidad y la disponibilidad. El SLA también debe especificar una indemnización por fallos para cumplir los niveles de servicio acordados.
Los servicios de cifrado centralizado de datos en nube son una parte importante del eco-sistema de nube y será especialmente útil para empresas con regulaciones de cumplimiento exigentes. Sin embargo, siempre anticipe el riesgo de fallas temporales en el proceso y planifique en consecuencia. —Dan Sullivan
INICIO
EvItE prOblEmas
EN la NubE
ENtIENDa la
sEgurIDaD DE NubE
prOtECCIóN DE DatOs
CIfraDO EN la NubE
Seguridad informática en la era del cómputo de nube17
sObrE lOs
autOrEs
pete lindstrom es director y vicepresidente de investi-gación en Spire Security. Ha ocupado puestos similares en Burton Group y Hurwitz Group. Lindstrom también ha trabajado como arquitecto de seguridad para Wyeth Phar-maceuticals y como auditor de TI para Coopers & Lybrand y GMAC Hipotecaria.
brien posey cuenta con dos décadas de experiencia en TI y varias certificaciones de Microsoft. Ha publicado cien-tos de artículos y ha escrito o colaborado en docenas de libros de TI. Antes de ser escritor freelance trabajó como administrador de redes para grandes aseguradoras y para el departamento de Defensa en Fort Knox.
dan sullivan posee una maestría en ciencias y es autor, arquitecto de sistemas y consultor con más de 20 años de experiencia en TI. Él ha tenido proyectos en análisis avanzados, arquitectura de sistemas, diseño de base de datos, seguridad de la empresa e inteligencia de nego-cios. Ha escrito sobre almacenamiento, la computación en la nube y la gestión de seguridad.
steve Weissman tiene más de 20 años de experiencia en proyectos de innovación y éxito, ayudando a distintas empresas a obtener el máximo valor de sus productos. Consultor experimentado y analista, utiliza sus habili-dades de estrategia, negocios y tecnología para adminis-trar procesos, contenidos y datos.
Seguridad informática en la era del cómputo de nube es una publicación de SearchDataCenter.Es
Rich Castagna | Vicepresidente editorial
Lizzette Pérez Arbesú | Editora ejecutiva
Melisa Osores | Editora adjunta
Joe Hebert | Editor de producción
Linda Koury | Directora de diseño online
Neva Maniscalco | Diseñador gráfico
Bill Cowley | Publisher [email protected]
TechTarget 275 Grove Street, Newton, MA 02466
www.techtarget.com
© 2015 TechTarget Inc. Ninguna parte de esta publicación puede ser repro-ducidas o retransmitidas de ninguna manera o por ningún medio sin el con-sentimiento por escrito de la editorial. Los reimpresos de TechTarget están disponibles a través de YGS Group.
Acerca de TechTarget: TechTarget publica contenidos para profesionales de tecnología de información. Más de 100 sitios web focalizados permiten un rápido acceso a un vasto repositorio de noticias, consejos y análisis sobre tecnologías, productos y procesos cruciales para su trabajo. Nuestros even-tos virtuales y presenciales le proporcionan acceso directo a los comentarios y consejos de expertos independientes. A través de IT Knowledge Exchange, nuestra comunidad social, usted puede obtener asesoría y compartir solucio-nes con colegas y expertos.
COvEr art: IstOCk
