Dada la simplicidad y la rentabilidad de la nube pública, no sorprende que cada vez más organizaciones recurran a los servicios web de Amazon (AWS), Microsoft Azure y Google Cloud Platform (GCP).

Pero, si bien la nube pública resuelve muchos desafíos tradicionales de los recursos TI, genera nuevas brechas de seguridad. El rápido crecimiento del uso de la nube ha dado lugar a una distribución fracturada de los datos, con cargas de trabajo repartidas entre distintas instancias y, en el caso de algunas organizaciones, plataformas.

El secreto para una seguridad efectiva en la nube pública es mejorar las políticas de seguridad general. Debemos asegurarnos de que la arquitectura sea segura y esté configurada correctamente y de que tenga visibilidad, tanto de la arquitectura como de quién accede a ella. Para esto, Sophos recomienda:

1. Conocer las responsabilidades: Esto puede parecer obvio, pero la seguridad se maneja de manera un poco diferente en la nube. Los proveedores de nube pública como Amazon Web Services, Microsoft Azure y Google Cloud Platform ejecutan un modelo de responsabilidad compartida, lo que significa que garantizan la seguridad de la nube, mientras que cada persona es responsable de todo lo que coloque allí.
2. Plan de multi-nube: La multi-nube ya no es solo una buena estrategia, sino que se ha convertido en imprescindible. Hay muchas razones por las que se puede querer usar varias nubes, como la disponibilidad, la agilidad mejorada o la funcionalidad. Al planificar una estrategia de seguridad, es recomendable suponer que se implementará la multi-nube, ahora o en algún momento en el futuro.
3. Visibilidad de todo: Si no se ve, no se puede asegurar. Es por eso que uno de los mayores requisitos para tener una buena posición de seguridad es obtener una visibilidad precisa de toda la infraestructura basada en la nube, la configuración de los ajustes, las llamadas a la API y el acceso de los usuarios.
4. Integrar el cumplimiento en los procesos diarios: La naturaleza dinámica de la nube pública significa que la supervisión continua es la única forma de garantizar el cumplimiento de muchas regulaciones. La mejor manera de lograrlo es integrar el cumplimiento en las actividades diarias, con instantáneas en tiempo real de la topología de la red y alertas en tiempo real ante cualquier cambio.
5. Automatizar los controles de seguridad: Los ciberdelincuentes aprovechan cada vez más la automatización en sus ataques. Para mantenerse a la vanguardia es necesario automatizar las defensas, incluida la reparación de vulnerabilidades y los informes de anomalías.
6. Asegurar todos los entornos: La recomendación es una solución que pueda proteger todos los entornos (producción, desarrollo y control de calidad) de manera reactiva y proactiva.
7. Aplicar los conocimientos de seguridad en las instalaciones: La seguridad en las instalaciones es el resultado de décadas de experiencia e investigación. Es vital usar firewalls y protección del servidor para proteger los activos en la nube contra la infección y la pérdida de datos. Asimismo, es necesario mantener el endpoint y la seguridad del correo electrónico actualizados en todos los dispositivos para evitar el acceso no autorizado a las cuentas en la nube.

Pasar de las cargas de trabajo tradicionales a las basadas en la nube ofrece grandes oportunidades para organizaciones de todos los tamaños. Sin embargo, asegurar la nube pública es imperativo si se desea proteger la infraestructura y la organización de ataques.

(*) Leonardo Granda: Sales Engineer de Sophos