La seguridad de la nube se centra principalmente en cómo implementar políticas, procesos y tecnologías juntos a fin de garantizar la protección de los datos, respaldar el cumplimiento de las normativas y proporcionar control sobre la privacidad, el acceso y la autenticación para los usuarios y dispositivos. 

Los proveedores de servicios en la nube (CSP) suelen seguir un modelo de responsabilidad compartida, lo que significa que la implementación de la seguridad de la computación en la nube es responsabilidad del proveedor de servicios en la nube y de ti como cliente. Considéralo un marco de trabajo de responsabilidad que define qué tareas de seguridad pertenecen al proveedor de servicios en la nube y cuáles son deberes del cliente. Comprender dónde terminan las responsabilidades de seguridad de tu proveedor y comienzan las tuyas es fundamental para compilar una estrategia de seguridad de nube resiliente. 

En términos generales, el CSP siempre es responsable de la nube y su infraestructura principal, mientras que se espera que el cliente proteja todo lo que se ejecute “en” la nube, como los controles de red, la administración de identidades y accesos, los datos y las aplicaciones.  

Los modelos de responsabilidad compartida varían según el proveedor de servicios y el modelo de servicio de computación en la nube que uses. Cuanto más administre el proveedor, más podrá proteger.

Es imprescindible reconsiderar los enfoques de seguridad a medida que más empresas migran a la nube desde entornos locales, en especial con la administración de datos y el cumplimiento bajo el microscopio regulatorio. 

En un mundo cada vez más híbrido y con múltiples nubes, tienes más libertad que nunca para desarrollar donde y cuando quieras. Sin embargo, también implica que la seguridad es mucho más complicada que evitar que alguien acceda a tu red. Por desgracia, muchas organizaciones tienden a tratar la seguridad como una ocurrencia tardía y pueden renunciar a las prácticas recomendadas por perseguir una transformación digital más rápida. Como resultado, los atacantes ven los objetivos basados en la nube como una ruta potencialmente fácil para obtener grandes beneficios y están adaptando sus tácticas a fin de explotar vulnerabilidades en consecuencia. 

Si bien la seguridad en la nube nunca puede garantizar una prevención completa de los ataques y las vulnerabilidades, una estrategia de seguridad en la nube bien diseñada puede ayudar en gran medida a prevenir violaciones o mitigar problemas, mejorar el cumplimiento y crear una confianza más sólida con los clientes.

La nube tiene riesgos de seguridad similares a los que puedes encontrar en entornos tradicionales, como amenazas de usuarios con información privilegiada, violaciones de la seguridad de los datos y pérdida de estos, suplantación de identidad (phishing), software malicioso, ataque DDoS y APIs vulnerables.  

Sin embargo, la mayoría de las organizaciones se enfrentarán a desafíos de seguridad específicos de la nube, como los siguientes: 

Los recursos basados en la nube se ejecutan en una infraestructura que está ubicada fuera de tu red corporativa y que es propiedad de un tercero. Como resultado, las herramientas de visibilidad de red tradicionales no son adecuadas para los entornos de nube, lo que te dificulta la supervisión de todos tus recursos de nube, cómo se accede a ellos y quién tiene acceso a ellos. 

La configuración incorrecta de seguridad en la nube es una de las principales causas de las violaciones de la seguridad de los datos en los entornos de nube. Los servicios basados en la nube están diseñados para facilitar el acceso y el uso compartido de datos. Sin embargo, es posible que muchas organizaciones no sepan cómo proteger la infraestructura de nube. Esto puede dar lugar a una configuración incorrecta, como dejar en uso las contraseñas predeterminadas, no activar la encriptación de datos o administrar incorrectamente los controles de permisos. 

Se puede acceder a las implementaciones de nube directamente mediante la Internet pública, lo que permite un acceso conveniente desde cualquier ubicación o dispositivo. Al mismo tiempo, los atacantes también pueden obtener más recursos autorizados con credenciales vulneradas o un control de acceso inapropiado.  

Los recursos de Cloud se pueden aprovisionar y escalar verticalmente de forma dinámica según las necesidades de tu carga de trabajo. Sin embargo, muchas herramientas de seguridad heredadas no pueden aplicar políticas en entornos flexibles con cargas de trabajo efímeras y en constante cambio que se pueden agregar o quitar en cuestión de segundos. 

La nube agrega otra capa de requisitos de cumplimiento internos y regulatorios que puedes infringir, incluso si no experimentas una violación de la seguridad. Administrar el cumplimiento en la nube es un proceso abrumador y continuo. A diferencia de los centros de datos locales en los que tienes control total sobre tus datos y cómo se accede a ellos, es mucho más difícil que las empresas identifiquen de forma coherente todos los recursos y controles en la nube, los asignen a los requisitos relevantes y documenten todo correctamente. 

• Identity and Access Management (IAM): Los servicios y herramientas de IAM permiten a los administradores gestionar y controlar de forma centralizada quién tiene acceso a recursos específicos locales y basados en la nube. IAM te permite supervisar y restringir de forma activa la forma en que los usuarios interactúan con los servicios, lo que te permite aplicar tus políticas en toda la organización. 
• Prevención de pérdida de datos (DLP): DLP puede ayudarte a obtener visibilidad de los datos que almacenas y procesas, ya que proporciona capacidades para descubrir, clasificar y desidentificar de forma automática los datos regulados en la nube. 
• Administración de información y eventos de seguridad (SIEM): Las soluciones de SIEM combinan la información de seguridad y la administración de los eventos de seguridad para ofrecer supervisión, detección y respuesta ante incidentes automatizadas en relación con las amenazas en tus entornos de nube. Mediante las tecnologías de IA y AA, las herramientas de SIEM te permiten examinar y analizar los datos de registro generados en tus aplicaciones y dispositivos de red, y actuar con rapidez si se detecta una posible amenaza. 
• Infraestructura de clave pública (PKI): PKI es la estructura que se usa para administrar el intercambio seguro y encriptado de información mediante certificados digitales. Las soluciones de PKI suelen proporcionar servicios de autenticación para aplicaciones y verificar que los datos permanezcan confidenciales y no se vulneren a través del transporte. Los servicios de PKI basados en la nube permiten que las organizaciones implementen y administren los certificados digitales que se usan para la autenticación de usuarios, dispositivos y servicios.