5 estrategias para asegurar las operaciones en la nube contra …



Con estos fundamentos en mente, las organizaciones pueden reducir sus riesgos de seguridad y cumplimiento a medida que cosechan los muchos beneficios de la nube:

La nube, una vez promocionada como una panacea de TI, tiene un lado negativo que vemos con demasiada frecuencia en los titulares cuando los actores maliciosos aprovechan las brechas en la seguridad. Esto no puede repetirse lo suficiente: asegurar los datos y las redes en un entorno de nube es muy diferente a hacerlo en las instalaciones.

Los elementos de infraestructura que eran locales estáticos ahora se abstraen al program. Los firewalls deben estar diseñados para operar en una infraestructura inherentemente fluida. Y en la nube, deberá centrarse más en las aplicaciones, las interfaces de programación de aplicaciones y los roles de usuario.

A partir de nuestra experiencia con clientes en la nube comerciales y gubernamentales, aquí hay cinco consejos que enfatizan y amplían los fundamentos.

1. Controle el acceso a las herramientas de configuración y administración de la nube.
Dado que las herramientas de administración y configuración en la nube (consolas de proveedores de servicios en la nube (CSP), interfaces de línea de comandos y API) brindan a los usuarios finales una gran flexibilidad y autonomía, un manage de acceso basado en roles es very important para proteger a la organización contra amenazas externas e internas.

  • Autentique y autorice a usuarios privilegiados con autenticación de dos factores, firmas digitales y certificados.
  • Haga que las evaluaciones de capacitación y habilidades sean obligatorias antes de otorgar roles en la nube.
  • Separe estrictamente las credenciales de usuario y administrador y restrinja el acceso de los usuarios a los sistemas de producción.
  • Estandarizar procesos para la gestión del ciclo de vida de la cuenta.

2. Cifre datos confidenciales (y tal vez todos).
En la nube, la violación de datos y el derrame de datos son inevitables. Proteger los datos en tránsito mediante técnicas como el cifrado se vuelve más crítico como «las mismas nociones de datos en movimiento y datos en reposo se vuelven borrosos «.

Cifre todos los datos confidenciales y segméntelos con varias claves para minimizar el impacto de una clave comprometida. Las claves deben rotar regularmente, con políticas de command de acceso sólidas.

  • Implemente cifrado para datos en tránsito y en reposo.
  • Revise el cifrado de crimson CSP. (No todo el tráfico de crimson entre centros de datos puede cifrarse de forma nativa).
  • Evalúe las soluciones de cifrado nativas en la nube y de terceros.

3. Utilice la automatización para minimizar los errores humanos debido a una configuración incorrecta.
La configuración handbook eventualmente conduce a errores humanos y sus consecuencias: configuraciones de implementación inconsistentes, derrames involuntarios de datos y vulnerabilidades a actividades maliciosas. Este es un gran riesgo de seguridad. Según la investigación de Gartner, casi todos, el 99%, de «fallas de seguridad en la nube serán culpa del cliente».

La automatización, con configuraciones probadas y auditadas, garantiza que la infraestructura se implemente y configure correctamente. Recomendamos lo siguiente:

  • Automatización de infraestructura y construcción de plataformas, pruebas de seguridad, barandas de seguridad y configuraciones de línea de foundation.
  • Implementación de configuraciones de alta disponibilidad para mitigar los riesgos de regiones o zonas no disponibles debido a errores del proveedor de la nube.
  • Realizar periódicamente comprobaciones de configuración y evaluaciones de compromiso de rutina.

4. Adapte la visibilidad y la gestión de vulnerabilidades para gestionar efímeros y nuevos tipos de activos en la nube.
Con una solución en la nube, ya que los datos, los sistemas y las responsabilidades se extienden a través de los entornos, las organizaciones pueden carecer de suficiente visibilidad para monitorear las amenazas y garantizar el cumplimiento. Además, los métodos heredados que involucran la detección de vulnerabilidad humana y la gestión de remediación pueden ser demasiado lentos o engorrosos en la nube, donde los incidentes se mueven a gran velocidad en los sistemas y datos interconectados.

Un movimiento hacia la nube genera muchas preguntas de visibilidad:

  • ¿Su infraestructura permite visibilidad en el entorno de la nube? Por ejemplo, ¿existe un sistema agregado de registros, paneles e informes para recopilar datos de dispositivos de red, infraestructura en la nube, sistemas operativos, aplicaciones, and so on.?
  • ¿Entiende los acuerdos de nivel de servicio de respuesta a incidentes de su proveedor en la nube y cómo se integran en sus propios procesos?

Las organizaciones necesitarán extender las herramientas de gestión de vulnerabilidades a arquitecturas de contenedor y sin servidor y adaptar estas herramientas para ciclos rápidos de implementación de infraestructura y nuevos servicios en la nube. También se beneficiarán de servicios en línea, como servidores proxy y superposiciones de crimson para replicar el tráfico a servicios de seguridad «transparentes».

5. Implemente mejoras a lo largo del ciclo de vida de las operaciones.
A menudo, la implementación inicial de la nube es solo el comienzo. A medida que se introducen las aplicaciones, los equipos de TI deberán realizar mejoras continuas. Y las operaciones de TI tradicionales «estufadas» pueden impedir el viaje hacia la agilidad de la nube.

El enfoque DevSecOps puede ayudar. A medida que adopta este enfoque, haga lo siguiente:

  • Implemente las funciones de ingeniero de confiabilidad del sitio para que el own de operaciones pueda continuar actualizando el entorno.
  • Integre DevSecOps con el individual de seguridad en el desarrollo y las operaciones.
  • Rastree nuevos productos y servicios, con una hoja de ruta para la integración futura.

Con estos cinco fundamentos en mente, las organizaciones pueden reducir su riesgo de seguridad y cumplimiento a medida que cosechan los muchos beneficios de la nube: ahorro de costos, menor costo complete de propiedad y un tiempo de valor más rápido.

Contenido relacionado:

Chris Christou es líder en el negocio de infraestructura de TI y nube segura de Booz Allen. Aplica experiencia en seguridad en la nube, infraestructura y plataformas en la nube, ingeniería de redes e infraestructura de TI. Chris tiene más de 20 años de experiencia diseñando, probando y … Ver biografía completa

Más ideas





Enlace a la noticia original