Claves para la ciberseguridad en la nube contadas por expertos

¿Cómo han evolucionado los procesos internos de las empresas?

Desde el nacimiento de las nuevas tecnologías y la preocupación de la seguridad en la nube los procedimientos internos y la planificación de las compañías han sufrido grandes cambios.

Desde los archivos en papel hasta llegar al almacenamiento en la nube, necesitando únicamente un dispositivo con acceso a Internet, ha hecho que las empresas tengan que tener especial cuidado con los datos que guardan en la nube para garantizar la confidencialidad de la información y no sufrir ataques.

El uso de cloud computing está reduciendo la necesidad de personal especializado en TIC, lo que conlleva a la reducción de costes y mejora de la competitividad facilitando, así, la transformación digital de los procesos de los negocios.

Están cambiando los procesos, los profesionales, las responsabilidades, los tiempos y las leyes, apunta Jaime Gómez. Ya comenzamos a ver empresas con más de mil trabajadores en las que todos lo empleados trabajan a distancia.

Un dispositivo puede poner en peligro una empresa al completo, ¿verdadero o falso?

Cualquier elemento que se conecta a la red corporativa pone en peligro al compañía: impresoras, cámaras IP, máquinas vending… Hasta ahora la seguridad se gestionaba de una manera perimetral estableciendo controles en las entradas y salidas como firewalls y asumiendo que aquello que estaba dentro de la red corporativa era seguro. Este modelo ha evolucionado con la disrupción provocada por la movilización, cloud computing y IoT (Internet de las cosas) que hacen que los elementos a proteger se encuentren dentro y fuera. 

Esto conlleva a un nuevo modelo de gestión de la seguridad en la nube llamado Zero Trust, explica Rames Sarwat, donde toda conexión o acceso es verificado sin asumir confianza. De este modo se da más importancia a la gestión de la identidad y se lleva un control de quién se conecta y se limita dinámicamente las operaciones que se pueden realizar.

Jorge Sanz considera que el método de entrada puede ser ingeniería social, phishing, explotación de alguna vulnerabilidad en el puesto del usuario… Desde los departamentos de seguridad se cuenta con tecnología, procesos y personas. Las personas por falta de formación o iniciativas de concienciación están indefensas y son el punto más débil de la cadena.

¿Es fácil acceder a los datos de los demás?

Puede ser sencillo o complicado dependiendo del cuidado que tengan los demás en evitar que sus datos se expongan. Debemos gestionar diferentes capas de hardware y software donde pueden aparecer vulnerabilidades y fallos de configuración que debe ser corregidos.

Si los equipos que se dedican a hacer ejercicios de seguridad pueden acceder en menos de tres meses sin ser detectados, qué no podrán hacer grupos organizados que pueden dedicar tiempo y recursos para conseguir un objetivo, comenta Jorge Sanz. Hoy en día la inversión en la detección y respuesta a incidentes está creciendo y eso es debido a que las empresas empiezan a asumir que el compromiso de sus sistemas es algo que puede suceder y que es importante detectarlo y reaccionar correctamente.

¿Ha sustituido la nube al antivirus?

En general, los dispositivos y servicios en red están incorporando medidas de seguridad de serie, lo que hace que los usuarios se sientan más seguros. Un software antivirus y un firewall son la puerta y la alarma de tu casa. Hay gente más o menos confiada.

En algunas empresas existe la creencia de que se puede sustituir, pero es errónea y pone gravemente en riesgo a la empresa, dice Rames Sarwat. 

Cada software de seguridad informática tiene un propósito y ha sido diseñado para prevenir o mitigar ciertos riesgos. Los antivirus o antimalware han sido diseñados para prevenir, detectar y responder al malware en los dispositivos que se conectan a las redes como servidores, ordenadores, smartphones y tablets.

Almacenamiento de datos en diferentes países

La recomendación principal para evitar sorpresas, según Javier Casares, es tener los datos en Europa y hacer uso de servidores lo más cercanos a tu país posible. En caso de trabajar en red, se puede configurar los sistemas de la misma forma. Nunca está de más tener la infraestructura replicada en modo de Disaster Recovery o High Availability.

La ubicación de los servidores es importante y afecta a las empresas, dice Rames Sarwat. A mayor distancia, las conexiones deben pasar por diferentes redes que generan latencia y pueden afectar a la calidad. Pero sobre todo afectará a las empresas por la existencia de diferentes legislaciones que no son uniformes. Es por ello que los proveedores de cloud han creado datacenters en diferentes regiones y países permitiendo a los usuarios seleccionar dónde se ubicarán sus servidores, pero existen muchos casos de software como servicios que se prestan en Internet donde no es posible dicha selección exponiendo legalmente a las empresas.

Jorge Sanz cree que en el uso de la nube, la ubicación de los datos es transparente. GDPR nació para proteger los datos de los usuarios frente a abusos, obligando a las empresas a obtener un consentimiento explícito por parte del usuario final para que sus datos se usen para un fin concreto. Aunque es una ley europea, el ámbito de aplicación es mundial, ya que, en teoría, cualquier empresa que maneje información de usuarios europeos debe cumplir con la normativa.