Nos centraremos de manera especial en la identificación de riesgos inherentes al proceso de implantación y migración a servicios cloud.
El riesgo se mide en una escala variable que puede evaluarse con respecto a los criterios de aceptación del riesgo. Esta escala de riesgo también puede compararse con una sencilla clasificación general de riesgos: riesgo bajo, medio y alto.
Los riesgos del uso de la computación en nube deben compararse con los riesgos derivados de mantener las soluciones tradicionales, como son los habituales modelos de sobremesa.
En numerosas ocasiones, el nivel de riesgo variará considerablemente en función del tipo de arquitectura de nube que se esté considerando.
El cliente en nube puede transferir el riesgo al proveedor en nube, y los riesgos deben considerarse con respecto a la rentabilidad proporcionada por los servicios.
Sin embargo, no todos los riesgos pueden ser transferidos. Si un riesgo provoca el fracaso de un negocio, perjuicios graves al renombre del mismo o consecuencias legales, es muy difícil, y en ocasiones, imposible, que un tercero compense estos daños.
Vamos ahora a la identificación de riesgos conceptuales:
- La pérdida de gobernante
- Al utilizar las infraestructuras en nube, el cliente necesariamente cede el control de una serie de cuestiones que pueden influir en la seguridad al proveedor en nube.
- Al mismo tiempo, puede ocurrir que los acuerdos de nivel de servicio no incluyan la prestación de dichos servicios por parte del proveedor en nube, dejando así una laguna en las defensas de seguridad.
- La no portabilidad
- La oferta actual en cuanto a herramientas, procedimientos o formatos de datos estandarizados o interfaces de servicio que puedan garantizar la portabilidad del servicio, de las aplicaciones y de los datos, actualmente resulta escasa.
- El fallo de aislamiento
- La multiprestación y los recursos compartidos son características que definen la computación en nube. Por ello una categoría de riesgo a evaluar es el posible fallo del debido aislamiento requerido en el acceso a recursos compartidos o entre los distintos proveedores.
Riesgos de incumplimiento de requisitos deseables
La inversión en la obtención de la certificación (por ejemplo, requisitos reglamentarios o normativos del sector) puede verse amenazada por la migración a la nube.
Este sería el caso en el que el proveedor en nube no pueda demostrar su propio cumplimiento de los requisitos pertinentes o no permita que el cliente en nube realice la auditoría o tenga acceso a la misma.
En determinados casos, también significa que el uso de una infraestructura pública en nube implica que no pueden alcanzarse determinados niveles de cumplimiento.
Por otra parte, algunos proveedores en nube sí proporcionan información sobre sus prácticas de gestión de datos. Otros también ofrecen resúmenes de certificación sobre sus actividades de procesamiento y seguridad de datos y los controles de datos a que se someten.
Los riesgos enumerados anteriormente no siguen un orden de criticidad concreto, sino que simplemente constituyen algunos de los riesgos más relevantes de la computación en nube. Los riesgos del uso de la computación en nube deben ser comparados con los riesgos derivados de mantener las soluciones tradicionales, como los modelos de sobremesa.
A menudo es posible, y en algunos casos recomendable, que el cliente en nube transfiera el riesgo al proveedor en nube; sin embargo, no todos los riesgos pueden ser transferidos.
Si un riesgo provoca el fracaso de un negocio, perjuicios graves al renombre del mismo o consecuencias legales, es muy difícil, y en ocasiones, imposible, que un tercero compense estos daños. En última instancia, puede subcontratar la responsabilidad, pero no puede subcontratar la obligación de rendir cuentas.
Para la gestión de estos riesgos podemos adoptar herramientas o procedimientos como los siguientes:
Compromiso de control en la interfaz de gestión
Las interfaces de gestión de cliente de un proveedor en nube público son accesibles a través de Internet, y canalizan el acceso a conjuntos de recursos más grandes (que los proveedores tradicionales de alojamiento), por lo que plantean un riesgo mayor, especialmente cuando son combinados con el acceso remoto y las vulnerabilidades del navegador de web.
La protección de datos
La computación en nube plantea varios riesgos relativos a la protección de datos tanto para clientes en nube como para proveedores en nube. En algunos casos, puede resultar difícil para el cliente en nube comprobar de manera eficaz las prácticas de gestión de datos del proveedor en nube, y en consecuencia, tener la certeza de que los datos son gestionados de conformidad con la ley. Este problema se ve exacerbado en los casos de transferencias múltiples de datos.
Supresión de datos insegura o incompleta
Cuando se realiza una solicitud para suprimir un recurso en nube, al igual que sucede con la mayoría de sistemas operativos, en ocasiones el proceso no elimina definitivamente los datos. En ocasiones, la supresión adecuada o puntual de los datos también resulta imposible (o no deseable, desde la perspectiva del cliente), bien porque existen copias adicionales de datos almacenadas pero no disponibles o porque el disco que va a ser destruido también incluye datos de otros clientes. La multiprestación y la reutilización de recursos de hardware representan un riesgo mayor para el cliente que la opción del hardware dedicado.
Miembro malicioso
Aunque no suelen producirse habitualmente, los daños causados por miembros maliciosos son, con frecuencia, mucho más perjudiciales. Las arquitecturas en nube necesitan ciertas funciones cuyo perfil de riesgo es muy elevado. Algunos ejemplos son los administradores de sistemas de proveedores en nube y los proveedores de servicios de seguridad gestionada.
Auditoría y recogida de pruebas
Si estamos en un caso de IaaS, esta permite la clonación de máquinas virtuales bajo demanda. En caso de supuesto incumplimiento de la seguridad, el cliente puede tomar una imagen de una máquina virtual activa —o de los componentes virtuales de la misma— para llevar a cabo un análisis forense fuera de línea, lo cual reduce el tiempo de espera para la realización el análisis.
Actualizaciones y opciones más puntuales, efectivas y eficaces
Las imágenes por defecto de las máquinas virtuales y los módulos de software utilizados por los clientes pueden ser reforzados y actualizados previamente con los últimos parches y configuraciones de seguridad, conforme a procesos ajustados; las API del servicio en nube de la IaaS también permiten tomar imágenes de la infraestructura virtual de manera frecuente y comparada con un punto inicial
La auditoría y los acuerdos de nivel de servicio obligan a gestionar mejor el riesgo
La frecuencia de las auditorías impuestas a los proveedores en nube tiende a exponer los riesgos que, de otro modo, no habrían sido identificados, con lo que tiene el mismo efecto positivo.
Beneficios de la concentración de recursos
Aunque sin duda la concentración de recursos tiene desventajas para la seguridad, posee el beneficio evidente de abaratar la perimetrización y el control de acceso físicos y permite una aplicación más sencilla y económica de una política de seguridad exhaustiva y un control sobre la gestión de datos, la administración de parches, la gestión de incidentes y los procesos de mantenimiento.
Referencias Bibliográficas:
No hay comentarios:
Publicar un comentario