¿Qué componentes debe incluir mi arquitectura de seguridad en la nube?

Escrito por: Carmen Larrazabal

La transición hacia la nube no solo ha traído beneficios operativos y de costos, sino también beneficios tecnológicos. Sin embargo, en un ambiente dinámico como el de la nube, la seguridad sigue siendo un reto significativo, por lo que es importante mencionar que no importa qué tipo de servicio en nube uses (IaaS, PaaS, SaaS), la responsabilidad de proteger ciertas cargas de trabajo o recursos siempre recaerá en ti, no en el proveedor de nube.

Por ello, te dejamos los criterios de diseño a tener en cuenta en la nube y las áreas en que se compone su arquitectura de seguridad para que le saques el máximo provecho.

Según el marco “Well-Architected” de AWS, la seguridad en la nube se compone de 6 áreas:

Fundamentos de seguridad en la nube

Para fortalecer la seguridad de tu infraestructura en nube es muy importante tener en cuenta los siguientes criterios de diseño:

• Implementa una base de identidad sólida.
• Habilita la trazabilidad; monitorea, alerta y audita las acciones y cambios en tu ambiente en tiempo real para investigar y tomar acciones.
• Aplica seguridad en todos los niveles.
• Automatiza las mejoras prácticas de seguridad.
• Protege los datos en sus tres estados; en reposo, en tránsito y en uso.
• Mantén a los usuarios alejados de los datos; eliminando o reduciendo accesos directos a información o procesamientos de datos manuales.
• Prepárate para eventos de seguridad.

Gestión de identidad y accesos en la nube

En un ambiente de nube es esencial contar con una administración de identidad y permisos sólida, que te permita asegurar que las personas correctas tienen acceso a los recursos correctos bajo las condiciones correctas.

En esta área también es importante mencionar que hay dos tipos de identidades que debes abordar: usuarios y máquinas. Los usuarios son los desarrolladores, operadores, arquitectos, consumidores de aplicaciones, entre otros que requieran acceso al ambiente en nube o aplicaciones. Cuando hablamos de identidad de máquinas, nos referimos a toda carga de trabajo, herramienta o componente externo o interno que requiera permisos para hacer solicitudes a otros servicios en la nube o para leer datos.

Algunas de las mejores prácticas para la gestión de identidades son las siguientes:

• Usar un proveedor de identidad centralizado, esto facilita la gestión de accesos a múltiples aplicaciones y servicios porque te permite crear, administrar y revocar accesos desde una única plataforma.
  
  
• Emplear grupos de usuario y atributos, de modo que te permita administrar a escala en caso de ser necesario.
  
  
• Usar fuertes mecanismos de inicio de sesión, como por ejemplo, longitud mínima de contraseña, restringir uso de contraseñas repetidas, aplicar MFA.
  
  
• Usar credenciales temporales, en los casos donde sea práctico y no implique riesgos.
  
  
• Auditar y rotar las credenciales de manera periódica.
  
  
• Almacenar y usar secretos de manera segura, a través de alguna herramienta dedicada a la gestión de secretos para administrar, rotar y almacenar de manera segura secretos cifrados.

Con respecto a la gestión de permisos, puedes seguir las siguientes mejores prácticas para garantizar que las identidades sólo tengan acceso a lo que necesitan.

• Definir límites globales en los permisos de tu organización, por ejemplo, a nivel organizacional restringir accesos a ciertas regiones, prevenir que el equipo elimine roles de identidad, entre otras restricciones en común.
  
  
• Otorgar permisos con privilegios mínimos, o el principio de “least privilege” para asegurar que las identidades tengan permitido el mínimo conjunto de acciones para cumplir con sus tareas de manera exitosa.
  
  
• Compartir recursos de manera segura, si es necesario compartir recursos entre cuentas dentro de una nube, asegúrese de hacerlo de la manera correcta y solo permitir los accesos desde las cuentas que desee.
  
  
• Reducir los permisos continuamente y evaluar si los accesos otorgados siguen siendo los correctos. Es probable que en la fase de pruebas los permisos se amplíen para evitar fallas u obstáculos, por ello es importante la evaluación y mejora contínua. Esta actividad también ayuda a identificar recursos no utilizados.
  
  
• Establecer un proceso de acceso de emergencia en caso de que algún problema se presente.

Detección

Esta área consiste en la capacidad de detectar tanto cambios de configuración inesperados como comportamientos inesperados.

El primero se puede aplicar a varias fases del ciclo de vida en la entrega de una aplicación, validando configuraciones no deseadas antes del despliegue de una carga de trabajo, o luego del despliegue de un recurso tanto en ambiente no productivo como en ambiente productivo. Estas validaciones pueden ser configuraciones que no cumplen los estándares de seguridad o mejores prácticas, o cambios que se realizaron entre una configuración probada y una implementada. Para aplicaciones en ejecución, debes cumplir con la capacidad de validar si han habido cambios inesperados en la configuración de un despliegue o recurso.

Con respecto al segundo, debes ser capaz de detectar comportamientos inesperados usando herramientas internas o externas a la nube que te permitan tener visibilidad y alertar sobre actividades inesperadas y potencialmente maliciosas o no autorizadas para luego tomar acciones sobre ellas.

Una vez definidas las herramientas necesarias, es importante realizar las configuraciones adecuadas con notificaciones y alertas automatizadas para permitir que el equipo pueda investigar de manera eficiente alguna actividad maliciosa.

Protección de la infraestructura

La protección de la infraestructura es clave dentro de la organización. Esta área ayuda a asegurar que los sistemas y servicios estén protegidos contra accesos no autorizados o involuntarios, contra vulnerabilidades potenciales, y además abarca metodologías de control que te permiten cumplir con las mejores prácticas y estándares mundiales de seguridad basados en regulaciones que debe cumplir tu organización.

Para cumplir con este componente de seguridad debes abordar dos enfoques: la protección de red y de componentes en la nube. En el primer enfoque debes seguir un modelo de Zero Trust donde los componentes de las aplicaciones o microservicios son independientes entre sí y ninguno confía en el otro.

Sobre el segundo enfoque, hay estrategias de seguridad en común que se pueden aplicar para los distintos recursos de nube en tu organización, como por ejemplo, defensa en profundidad, gestión de vulnerabilidades, reducción de la superficie de ataque, automatización de la configuración y operación, entre otros.

Protección de datos en la nube

El activo más importante a proteger dentro de su organización son los datos, es por ello, que la protección de datos es esencial en el proceso de diseño, configuración y operación de tu ambiente en nube. Existen 4 enfoques principales para abordar:

• Clasificación de Datos, provee una manera de categorizar los datos según el nivel de sensibilidad y criticidad para poder determinar la protección adecuada y los controles de retención.
  
  
• Protección de Datos en reposo, ayuda a reducir el riesgo de accesos no autorizados y los principales controles son el uso de cifrado y tokenización.
  
  
• Protección de Datos en tránsito, incluye la comunicación entre recursos dentro de tu ambiente así como también la comunicación entre servicios y usuarios finales, al aplicar los niveles apropiados de protección estás protegiendo la confidencialidad y la integridad de los datos de sus cargas de trabajo.
  
  
• Protección de Datos en uso, se refiere más que todo a los permisos que tienen los usuarios finales sobre la información accedida, si es posible descargar, imprimir o manipular datos dentro del documento o base de datos.

[LEE TAMBIEN: Cómo se garantiza la seguridad de datos en la nube]

Respuesta de incidentes

Aún con una postura de seguridad madura y unos controles de prevención y detección sólidos, toda organización debe implementar un plan de respuesta de incidentes. Esto te permitirá responder y mitigar el impacto de los incidentes de seguridad y le ayudará a tu equipo a estar preparado y ser capaz de operar de manera efectiva ante un incidente para aislar, contener, realizar análisis forense y restaurar las operaciones al estado ideal.

En suma, implementar cada uno de los 6 componentes de seguridad que demanda la nube, le garantizará a los usuarios de tu compañía acceder fácilmente a los datos y las aplicaciones sin importar dónde se encuentren y desde qué dispositivo. Además, los proyectos se podrán escalar fácilmente, el consumo se rastreará de manera efectiva, y se facilitará la resolución de incidentes al contar con acceso remoto a los portales de gestión habilitados.