Existen tres desafíos de seguridad en la nube que deben enfrentar las empresas: gestionar la identidad y la autenticación de acceso; la responsabilidad por parte de las empresas de almacenar y cifrar la información confidencial y anticiparse a los incidentes de seguridad.
Para profundizar en ello, BDO ha analizado la evolución de la percepción de las aplicaciones de la nube en el mundo empresarial y los desafíos a los que se enfrentan las compañías para alcanzar un correcto gobierno y gestión de riesgos ciber en el cloud.
“Cuando una empresa ejecuta y administra su infraestructura de TI en sus instalaciones y centros de datos, es responsable de la seguridad. Sin embargo, cuando cambia a un modelo de computación en la Nube, transfiere algunas, pero no todas, estas responsabilidades de seguridad de TI a su proveedor de la Nube”, explica Roger Pérez, director en el área de Risk Advisory de BDO.
Ciberseguridad en la nube
La Nube ofrece importantes ventajas de simplicidad y seguridad, pero sus servicios no son seguros de forma predeterminada, por lo que es necesario que las entidades apliquen planes y medidas, tanto preventivas como reactivas, además de implementar las medidas que proporciona el proveedor, con el fin de asegurar la infraestructura alojada en Cloud.
BDO ha analizado diferentes iniciativas y acciones que deben tener en consideración las entidades para una correcta gestión de ciber riesgos en el Cloud y lograr un correcto gobierno:
- Establecer un modelo de Vendor Risk Management en el que se identifiquen las necesidades de seguridad de los servicios Cloud que se van a externalizar y, posteriormente, analizar la seguridad de los potenciales proveedores, además de acordar contractualmente los niveles y requerimientos de seguridad.
El desafío de la ciberseguridad en la Nube pasa por la identidad y autenticación de acceso
- Llevar a cabo evaluaciones periódicas de cumplimiento de los proveedores Cloud con las mejores prácticas de seguridad. Generalmente, a través de auditorías externas regulares y certificaciones de cumplimiento de los estándares de mercado como por ejemplo SOC, Esquema Nacional de Seguridad, Pinakes o ISO 27001 y 27017.
- Auditar aquellos controles de seguridad que recaen en la empresa con el objetivo de detectar potenciales malas prácticas relacionadas con la configuración, implementación y uso de los servicios Cloud. Pese a que los proveedores Cloud ofrecen servicios y productos de seguridad a sus clientes, son estos últimos quienes tienen que aplicarlos, ejecutarlos y monitorizarlos. En este sentido, los proveedores Cloud realizan grandes esfuerzos en desarrollar detalladas guías de sus servicios para permitir a sus clientes cumplir con los requerimientos regulatorios y normativos aplicables.
