Seguridad en la nube: cómo asegurar la computación en la nube

La computación en nube se ha convertido en la forma más extendida y eficaz de que las empresas y sus empleados utilicen las herramientas informáticas y de comunicación para alcanzar sus objetivos empresariales, y la cuestión de la seguridad en la nube es una de las principales preocupaciones. Hablamos de nubes públicas, en las que los usuarios finales y las empresas utilizan servicios de software (Software as a service, SaaS) como el correo electrónico, la mensajería, la colaboración, las redes sociales, la gestión de las relaciones con los clientes (CRM), etc., y de nubes privadas, que son infraestructuras construidas con los mismos conceptos que las nubes públicas, pero implantadas dentro o fuera de la empresa como entornos privados y estrictamente protegidos.

¿Qué es la seguridad en la nube y por qué es importante garantizarla?

La computación en la nube se está convirtiendo en la mejor práctica para que las empresas dispongan de un ecosistema informático que permita a los empleados conectarse a las aplicaciones y a la información desde cualquier parte del mundo. Y esto en cualquier momento y con cualquier tipo de dispositivo: PC, tableta, smartphone y, cada vez más en el futuro, otros tipos de dispositivos (como los dispositivos portátiles o los instalados en los vehículos).

También gracias a la computación en la nube, las empresas con muchas ubicaciones remotas no tienen que firmar costosos contratos con empresas de telecomunicaciones. Pueden permitir a las sucursales aprovechar las aplicaciones disponibles como SaaS conectándose directamente al servidor local del proveedor de la nube. Por último, pero no por ello menos importante, la computación en la nube, al igual que en los dos casos de negocio anteriores (uso de diferentes tipos de dispositivos móviles y empresas con ubicaciones remotas), permite a las empresas poner en marcha proyectos de Internet de las Cosas, que implican la conexión de dispositivos IoT a aplicaciones de computación, almacenamiento y comunicación a través de la web.

Sin embargo, todo esto tiene un inconveniente. Cuanto más se expanda la computación en nube, mayor será la superficie de ataque potencial disponible para los hackers. Así pues, ha llegado el momento de que las empresas pongan bajo la lupa la cuestión de la seguridad de la computación en nube.

¿Cuánto cuesta proteger los datos de las empresas de los ataques de la ciberdelincuencia?

A pesar de la creciente atención que prestan las empresas a la seguridad de la red, la realidad es que cada año crecen significativamente el número de ciberataques, la diversificación y sofisticación de las amenazas y el volumen de negocio de la ciberdelincuencia. Si bien el Informe Clusit de 2017 sobre el estado de la seguridad de las TIC afirmaba que ese año fue terrible para la ciberseguridad, con daños estimados en al menos 500.000 millones de dólares a nivel mundial, los datos recientes no nos permiten estar más tranquilos.

¿Cuántos y qué tipo de ataques ha habido en los últimos años?

El primer semestre de 2018, la ciberdelincuencia fue la causa del 80% de los ciberataques globales, un 35% más en comparación con los últimos seis meses de 2017. Sin embargo, el mayor aumento del año -un 69% en comparación con el semestre anterior- se produjo en las actividades de ciberespionaje.

La categoría más afectada en sentido absoluto en los primeros seis meses de 2019 es la identificada como “Objetivos múltiples” (18% del total de ataques a nivel mundial), un 15% más en comparación con el semestre anterior. Este fenómeno, que explica el creciente número de ataques graves realizados en paralelo por el mismo grupo de atacantes contra numerosas organizaciones pertenecientes a los sectores más dispares, pone concretamente de manifiesto la lógica “industrial” que subyace a las actividades de los ciberdelincuentes.

E incluso, en comparación con 2018, en términos absolutos en 2019 la mayoría de los ataques graves, es decir, el 91,5% fueron dirigidos a “Servicios en línea/nube”. Una cifra sólo superada por las amenazas a la “industria de la seguridad”.

Tendencias actuales

En términos más generales, La técnica más común utilizada por la ciberdelincuencia es el malware. Y es de esperar un aumento de los ataques de ransomware, un tipo de amenazas a la seguridad en la nube a través de las cuales grupos de ciberdelincuentes toman como rehén un sistema informático, una parte del mismo o incluso un único dispositivo, cifrando sus datos. Los hackers exigen entonces un rescate (a menudo en criptomoneda) para obtener una clave con la que desbloquear los datos o el software comprometidos. El costo de estos ataques para las empresas es muy variable. Puede oscilar entre miles de euros para las más pequeñas y cientos de miles para las grandes empresas.

Al mismo tiempo, el Observatorio de la Transformación de la Nube del Politécnico de Milán, en su informe publicado en 2019, señaló que una de las principales tendencias emergentes en la nube era la ciberinteligencia, es decir, el uso de servicios de seguridad, prestados en la nube, que se basan en tecnologías de aprendizaje automático e inteligencia artificial.

Gasto en seguridad en la nube

Por otro lado, el Observatorio de Ciberseguridad y Protección de Datos 2021 afirma que el 13% de todo el gasto en seguridad en la nube del año pasado se dedicó a la seguridad en la nube. De hecho, la nube fue el fenómeno que caracterizó el año de la pandemia que obligó a millones de personas a trabajar de forma inteligente y, por tanto, a la necesidad de acceder a datos y aplicaciones desde casa con la mayor seguridad posible.

Las amenazas de seguridad más comunes para la computación en la nube

La seguridad de la nube pública y la seguridad de la nube privada deben ser eficaces contra todos los posibles problemas de seguridad de la nube. Esto se consigue mediante una protección integral y la posibilidad de un control holístico y centralizado. Uno de los riesgos de seguridad en la nube más comunes es la falta de sistemas de seguridad adecuados en los dispositivos que se conectan a la nube. Esto es especialmente cierto en vista del aumento del fenómeno de “traiga su propio dispositivo” (BYOD). A los responsables de seguridad de las empresas les resulta cada vez más difícil imponer y verificar que las soluciones de seguridad se apliquen “a bordo” de los puntos finales.

¿Qué son las pasarelas de seguridad de Internet y para qué sirven?

Esta oferta permite utilizar diferentes tipos de soluciones de seguridad en la nube, en función de las necesidades específicas de la empresa y en sinergia con cualquier otra solución de amenazas a la seguridad en la nube ya implantada. Las pasarelas, en lenguaje informático, son tecnologías que permiten el acceso de un tipo de entorno informático a otro realizando determinadas operaciones. Por lo tanto, una pasarela de seguridad de Internet puede desplegarse en una nube para convertirse en la pasarela prevista entre un punto final, una red y la nube.

Como ya se ha mencionado, puede haber varias soluciones de seguridad tradicionales y avanzadas detrás de las pasarelas de seguridad de Internet. Entre los primeros, por ejemplo, están los sistemas utilizados para prevenir los clásicos ataques basados en la web. En este sentido, destaca el phishing (el robo de credenciales dirigiendo al usuario a sitios falsos). Entre estos últimos se encuentran los servicios de inteligencia sobre amenazas y los de cifrado y almacenamiento seguro en la nube.

Servicios de inteligencia sobre amenazas

Los servicios de inteligencia sobre amenazas pueden ser proporcionados por proveedores que tienen redes globales para recoger información sobre incidentes de seguridad. Permiten a todos sus clientes comprobar de antemano si un determinado ataque que han sufrido puede ser precursor de otro más grave y de mayor alcance. En lo que respecta al cifrado de la nube y al almacenamiento seguro en la nube, una pasarela de seguridad de Internet puede verificar si los datos que viajan desde un punto final a la nube, o que se almacenarán en la nube, están protegidos por el cifrado y cómo lo están.

Qué hacer para prevenir y frustrar las amenazas a la seguridad en la nube

Si no se implementan sistemas de seguridad “a bordo” del punto final, cualquiera que disponga del dispositivo puede acceder de forma fraudulenta a los recursos de la nube. Y también para robar datos sensibles, credenciales, o instalar programas que de forma paciente y desapercibida permiten realizar ataques dirigidos. Del mismo modo, una mala protección de un punto final no puede evitar que sea infectado por virus. Una infección que puede convertir un dispositivo en un nodo de una red que envía correos electrónicos de spam. Y ello utilizando el sistema de correo electrónico de la empresa y realizando ataques masivos contra determinados sitios o servicios de Internet, provocando interrupciones.

La primera acción para la seguridad de los datos en la computación en nube es establecer políticas para la protección de los puntos finales. La verificación del cumplimiento de estas políticas puede realizarse mediante soluciones de servicios de seguridad en la nube. Son oportunidades para verificar la seguridad sin controlar físicamente los dispositivos ni conectarse directamente a cada uno de ellos. Estas y otras soluciones de seguridad en la nube están ahora disponibles como parte de suites de seguridad en la nube integradas.

Las herramientas: corredores de seguridad de acceso a la nube (CASB) y software de seguridad en la nube, como los escáneres de seguridad en la nube

Los agentes de seguridad de acceso a la nube (CASB) son herramientas tanto locales como basadas en la nube que se interponen entre quienes utilizan los servicios en la nube y el proveedor.

CASB integra diferentes tipos de aplicaciones de políticas de seguridad, como la autenticación, el inicio de sesión único, las autorizaciones, la asignación de credenciales, el cifrado, la creación de perfiles de dispositivos, el registro, la tokenización, la elaboración de informes, la detección y prevención de malware, etc.

En la práctica, ayuda al departamento de TI a evaluar las aplicaciones en la nube que se utilizan. Ayuda a adoptar políticas para gestionar las aplicaciones en la nube en los cortafuegos o proxies web existentes, a crear políticas para regular la gestión de la información confidencial, a detectar comportamientos inusuales de las cuentas, etc.

Entre las herramientas dedicadas a los desarrolladores se encuentra el escáner de seguridad de Google Cloud, diseñado para analizar las aplicaciones web en busca de vulnerabilidades en el código y reducir los falsos positivos.