Las configuraciones erróneas en la nube cuestan a las empresas casi $ 5 billones


Un informe de DivvyCloud encuentra que 196 violaciones de datos expusieron más de 33 mil millones de registros debido a entornos sin la seguridad adecuada.

Dejar de ignorar los riesgos de seguridad de la nube híbrida
Karen Roby habla con un experto en seguridad sobre la protección de la empresa en un mundo híbrido de TI.

Investigadores de la empresa de seguridad en la nube DivvyCloud descubrieron que las infracciones causadas por las configuraciones incorrectas de la nube costaron a las empresas en todo el mundo y estimaron $ 5 billones en 2018 y 2019.

En el "Informe de mala configuración de la nube 2020" Los investigadores de DivvyCloud estudiaron todas las violaciones de datos reportadas públicamente entre el 1 de enero de 2018 y el 31 de diciembre de 2019 en todo el mundo, encontrando que se identificaron 196 violaciones de datos separadas como causadas definitivamente por fallas en la configuración de la nube.

Se han expuesto más de 33 mil millones de registros en los últimos dos años a medida que miles de empresas se mudan a entornos en la nube sin los sistemas de seguridad adecuados.

"Las violaciones de datos causadas por las configuraciones erróneas en la nube han estado dominando los titulares de las noticias en los últimos años, y la gran mayoría de estos incidentes son evitables", dijo Brian Johnson, director ejecutivo y cofundador de DivvyCloud.

Utilizando datos de un informe del Instituto Ponemon de 2019 que decía que el costo promedio por registro perdido a nivel mundial es de $ 150, los investigadores de DivvyCloud estimaron que las infracciones de la configuración incorrecta de la nube costaron a las empresas más de $ 5 billones durante esos dos años.

"Las brechas causadas por la mala configuración de la nube han estado dominando los titulares de las noticias en los últimos años. Los investigadores de DivvyCloud compilaron este informe para corroborar la tendencia creciente de las brechas causadas por la mala configuración de la nube, cuantificar su impacto en las empresas y los consumidores de todo el mundo e identificar los factores que pueden aumentar la probabilidad una empresa sufrirá tal incumplimiento ", dijo el informe.

"Año tras año, de 2018 a 2019, el número de registros expuestos por las configuraciones incorrectas de la nube aumentó en un 80%, al igual que el costo total para las empresas asociadas con esos registros perdidos", según el informe

Desafortunadamente, agrega el informe, los expertos esperan que esta tendencia al alza persista, ya que las compañías continúan adoptando servicios en la nube rápidamente pero no implementan medidas de seguridad en la nube adecuadas.

En 2018, descubrió que había un total de 11.8 mil millones de registros expuestos con un costo total de $ 1.76 billones. Para 2019, ese número aumentó a 21,2 mil millones de registros expuestos, y el costo aumentó a $ 3.18 billones.

VER: Nube híbrida: una guía para profesionales de TI (PDF gratuito) (TechRepublic Premium)

La gravedad de las configuraciones erróneas de la nube podría ser incluso peor de lo que sugieren las cifras del informe. Los investigadores de la compañía citaron datos de McAfee que decían que el 99% de todas las configuraciones erróneas en la nube pública no se informan.

El número de infracciones relacionadas con las configuraciones incorrectas en la nube aumentó de 81 a 115 entre 2018 y 2019 a medida que más empresas trasladan sistemas y procesos a plataformas en la nube. Pero el informe establece vínculos entre el año en que se iniciaron las empresas y la gravedad o frecuencia de las infracciones de la configuración incorrecta de la nube.

Casi el 70% de las organizaciones que se ocuparon de las infracciones se fundaron antes de 2010, mientras que aproximadamente el 7% fueron empresas inauguradas después de 2015.

"Estas estadísticas indican que las compañías más antiguas que están haciendo la transición a la nube están teniendo más dificultades para implementar y aplicar continuamente controles de seguridad adecuados sobre sus entornos de nube en comparación con las compañías más jóvenes que nacen en la nube", dijo el informe.

Las causas de las malas configuraciones

El informe dice que la mayoría de las configuraciones erróneas en la nube fueron causadas por usuarios sin experiencia o por una falla en el cambio de modelos de seguridad obsoletos. Otras razones incluidas en el informe fueron la falta de visibilidad unificada de la nube, así como una tasa de cambio, escala y alcance sin precedentes.

Ahora también hay muchas más personas dentro de una organización que usan sistemas en la nube, lo que abre la infraestructura con más superficies de ataque.

Según el informe, 40 personas solían tocar una plataforma en la nube en cualquier momento y ese número se ha disparado a 3.000 personas en el entorno cada vez más digitalizado de hoy.

El estudio también encontró correlaciones entre las infracciones de la configuración incorrecta de la nube y las empresas que están pasando por fusiones y adquisiciones, citando la infracción de Marriott / Starwood en 2018 como un excelente ejemplo de cómo la fusión de entornos de TI a veces puede conducir a una brecha de datos debido a la configuración incorrecta de la nube.

Más del 40% de las empresas estudiadas en el informe se ocuparon de una transacción de fusión y adquisición entre 2015 y 2019, y al menos tres de esas organizaciones experimentaron más de una violación de datos relacionada con la configuración incorrecta de la nube.

El informe también señala que existen precedentes de violaciones de datos que causan problemas para las fusiones, y menciona que Verizon redujo su oferta de adquisición para Yahoo en $ 350 millones después de que su violación masiva de datos apareciera en las noticias.

De los 196 incumplimientos examinados por los investigadores de DivvyCloud, el 44% de todos los registros expuestos en 2018 y 2019 se relacionaron con problemas con las configuraciones erróneas de Elasticsearch.

"El número de infracciones causadas por las configuraciones erróneas de Elasticsearch casi se triplicó de 2018 a 2019. Las configuraciones incorrectas de la cubeta S3 representaron el 16% de todas las infracciones. Las configuraciones incorrectas de la cubeta S3 disminuyeron un 45% de 2018 a 2019. Las configuraciones incorrectas de MongoDB representaron el 12% de todas las infracciones. MongoDB las instancias casi se duplicaron de 2018 a 2019 ", dijo el informe.

Los investigadores de DivvyCloud señalaron que, según Gartner, el 99% de las fallas de seguridad de la nube son culpa del cliente, pero la mayoría de las infracciones de la configuración incorrecta de la nube ocurrieron con los servicios de AWS. Microsoft Azure, Google Cloud Platform y Kubernetes también tuvieron varias infracciones de configuración incorrecta en la nube.

Las empresas tecnológicas se ocuparon de la mayoría de las infracciones, con el 41% de los incidentes atribuidos a la industria, seguidas de las empresas de atención médica con un 20% y entidades gubernamentales con un 10%. Las empresas de hostelería, finanzas, comercio minorista, educación y negocios obtuvieron alrededor del 6%.

"Estas empresas no logran mejorar la seguridad, tomar el control y minimizar el riesgo al adoptar la naturaleza dinámica de autoservicio de la infraestructura de nube pública y contenedores. Como resultado, sufren violaciones de datos, que son devastadoras no solo para sus organizaciones, pero el público también ", dijo el informe.

"En la mayoría de los casos, cuando una infracción aparece en los titulares, es la empresa la que posee (o se le confía la protección) de los datos expuestos cuya reputación sufre, no el proveedor de servicios en la nube subyacente. En lo que respecta a la seguridad, existe una relación de responsabilidad compartida entre cliente y proveedor de servicios en la nube ".

Priorizar desde el principio

El informe sugiere que cualquier empresa o empresa que utilice servicios en la nube debe priorizar la seguridad desde el principio y actualizar continuamente los protocolos para abordar los cambios en el mercado. Las organizaciones, y no los proveedores de la nube, son responsables de gestionar la gestión de acceso, el almacenamiento, el análisis de amenazas y la defensa de los datos almacenados en los sistemas de la nube.

La seguridad debe ser una preocupación constante que se aborde continuamente en lugar de una que se trate una vez. Desafortunadamente, el informe dice que las violaciones de datos causadas por configuraciones incorrectas en la nube continuarán siendo un problema a medida que más empresas adopten servicios en la nube sin reconocer la seguridad necesaria para protegerse.

"Sabemos que cada vez más empresas están adoptando la nube pública rápidamente porque necesitan su velocidad y agilidad para ser competitivas e innovadoras en el acelerado panorama empresarial actual", dijo Johnson. "El problema es que muchas de estas compañías no están adoptando un enfoque holístico de la seguridad, lo que las abre a riesgos indebidos. La configuración segura de la nube debe ser un proceso dinámico y continuo, y debe incluir una solución automatizada".

Ver también

<a href = "https://tr2.cbsistatic.com/hub/i/r/2020/02/13/be2c1930-88b1-4275-b920-9e2dc79169b5/resize/770x/8e69c81982f313572df46c4f645082d9/cloudproviderscover-1.jpg" target = "_ blank" data-component = "modalEnlargeImage" data-headline = "

"data-credit =" Getty Images / iStockphoto "rel =" noopener noreferrer nofollow ">Concepto de computación en la nube sobre fondo de tecnología futurista

Getty Images / iStockphoto



Enlace a la noticia original