A medida que las empresas corren hacia la nube, los equipos de seguridad …


La mayoría de las organizaciones tienen una brecha entre el uso real y planeado de la nube y la madurez de sus programas de seguridad en la nube.

El cambio continuo a la nube está impulsando desafíos en preparación, gestión de configuración y defensa contra nuevas técnicas de ataque. Las empresas se apresuran a mover las aplicaciones a la nube, presionando cada vez más a los equipos de seguridad para que sigan el ritmo.

La confianza en la nube pública continúa creciendo, hallaron los investigadores en el «Informe de amenazas de nube de Oracle y KPMG 2020». El cuarenta por ciento de los 750 profesionales de TI y seguridad encuestados ven la nube pública como más segura de lo que pueden ofrecer en las instalaciones, marcando un salto de 13% año tras año con respecto al estudio de 2019. La mayoría (88%) actualmente united states of america servicios de infraestructura de nube pública.

Cuando se les preguntó sobre el consumo de aplicaciones críticas para el negocio como un servicio, los encuestados citan, en promedio, un aumento del 9% en los próximos dos años. El cambio al software package como servicio (SaaS) para estas aplicaciones muestra que cada vez más personas se sienten cómodas con la seguridad de los proveedores de la nube. Los investigadores dicen que la planificación de recursos empresariales, la gestión de la relación con el cliente, la gestión del funds humano y la gestión de los servicios de TI se encuentran entre las aplicaciones que están pasando por la transición a la nube.

«Muchos de nuestros clientes están en el punto en el que implementaron su primer conjunto de aplicaciones importantes, como aplicaciones de finanzas en la nube, aplicaciones de la cadena de suministro … un conjunto central de tres a cinco aplicaciones, y todo salió bien», dice Steve Barlock, director con KPMG Lo que sucedió en los últimos seis a 12 meses es que las empresas que han tenido un éxito temprano quieren comenzar a mover todo a la nube. «Estamos viendo un problema de escala en este momento», agrega.

Los datos de la encuesta muestran que el 92% de las empresas tienen una «brecha de disponibilidad de seguridad en la nube» entre su uso genuine y planificado de la nube y la madurez de sus programas de seguridad en la nube. Más del 40% informa una gran brecha, mientras que el 48% dice que la brecha es moderada. El espacio se crea cuando los servicios y aplicaciones en la nube son consumidos por unidades de negocios fuera del alcance de los equipos de TI y seguridad. A medida que los profesionales de seguridad intentan ponerse al día, se percibe que sus esfuerzos ralentizan el negocio.

«La imagen de la responsabilidad compartida empeora cada año», dice Greg Jensen, director principal senior de seguridad en la nube de Oracle. Los equipos de seguridad deben saber qué está pasando en producción. Una vez que lo hacen, lleva tiempo implementar mecanismos de monitoreo y remediación.

Esta brecha de preparación se manifiesta en nuevos desafíos para los profesionales de TI y seguridad: más de las tres cuartas partes (78%) dicen que las diferencias entre las aplicaciones y la infraestructura residentes en la nube y locales requieren un conjunto distinto de políticas y procesos de seguridad. Estas diferencias han llevado a comprar más controles de seguridad, lo que genera complejidad. El setenta por ciento informa que se necesitan demasiadas herramientas para proteger los entornos de nube pública. En promedio, cada uno usa más de 100 controles de seguridad discretos.

La visibilidad period un problema principal entre los encuestados. Casi el 30% de los encuestados dijeron La identificación de fallas y soluciones de software fue el área más importante para mejorar la visibilidad. Otras áreas incluyen la búsqueda de configuraciones de carga de trabajo que no cumplen (28%), un seguimiento de auditoría de la actividad a nivel del sistema (27%), la identificación de grupos de seguridad mal configurados (25%) y la detección de cargas de trabajo de servidores externos que no se enrutan Tráfico de World-wide-web a través del host de salto / bastión (25%).

«El ritmo de cambio de la tecnología subyacente es tremendo», dice Barlock. «Es difícil para los equipos mantenerse al día con el ritmo de ese cambio. La otra dimensión es la escala del equipo: ¿Tengo suficientes personas en mi equipo de seguridad que conozcan la nube y puedan conocer el negocio donde están?»

Barlock, quien dirige la división de nube e inteligencia artificial en KPMG, dice que su equipo enfrentó los mismos problemas. En respuesta, reorganizaron su equipo de ciberseguridad para centrarse más en la nube y la tecnología de nube / IA. También se acercaron a los socios tecnológicos y alentaron a los empleados a buscar certificaciones centradas en la nube, así como en el desarrollo de habilidades prácticas, explica.

La falta de habilidades de seguridad en la nube está resultando problemática para las organizaciones en typical, dice Jensen, y señala cuántos incidentes de seguridad durante el año pasado podrían vincularse con problemas de configuración de la nube, incluidas credenciales con privilegios excesivos, falta de cifrado o depósitos sin protección.

«La noticia está asustando a la gente», explica. «Les está haciendo darse cuenta de que son vulnerables debido a la falta de comprensión y capacidad para controlar los controles de seguridad».

Estos desafíos están impulsando a las empresas a contratar profesionales de seguridad en la nube más expertos en tecnología. Los investigadores informan que más empresas tienen un arquitecto de seguridad en la nube que un arquitecto de seguridad, lo que indica un replanteamiento de los programas de seguridad para cerrar la «brecha de preparación». Una función cada vez más común es el oficial de seguridad de la información empresarial (BISO), que ahora ocupa un puesto en el 35% de las empresas y el 21% de las empresas del mercado medio.

El BISO actúa como un enlace entre los ejecutivos de negocios y el CISO, explica Jensen, pero no reemplazará al líder de seguridad. Los CISO de hoy saben que las organizaciones buscarán aplicaciones basadas en la nube sin ellas. Un BISO acerca al equipo de seguridad al equipo de negocios y comprende el ciclo de vida del desarrollo empresarial, las prioridades y las brechas de seguridad, señala. Los BISO se basan en los objetivos y logros empresariales, y su función es ayudar a los CISO y a los propietarios de líneas de negocios a colaborar.

Contenido relacionado:

Aprenda de los expertos de la industria en un entorno propicio para la interacción y la conversación sobre cómo prepararse para eso «realmente mal día «en ciberseguridad. Haga clic para más información y para registrarse.

Kelly Sheridan es la Editora de own de Dim Studying, donde se enfoca en noticias y análisis de seguridad cibernética. Ella es una periodista de tecnología de negocios que informó anteriormente para InformationWeek, donde cubrió Microsoft, y Insurance policy & Technology, donde cubrió asuntos financieros … Ver biografía completa

Lectura recomendada:

Más tips





Enlace a la noticia authentic