Los 7 pecados capitales de la seguridad en la nube y cómo las PYMES pueden hacerlo mejor

Seguridad corporativa

Al eliminar estos errores y puntos ciegos, su organización puede lograr grandes avances en la optimización del uso de la nube sin exponerse a riesgos cibernéticos.

16 de enero de 2024
•
,
5 minutos. leer

La computación en la nube es una parte esencial del panorama digital actual. La infraestructura, las plataformas y el software de TI ahora se entregan como un servicio (de ahí las siglas IaaS, PaaS y SaaS respectivamente) en lugar de en una configuración local tradicional. Y esto atrae especialmente a las pequeñas y medianas empresas (PYME).

La nube ofrece la oportunidad de ponerse al día con competidores más grandes, lo que permite una mayor agilidad empresarial y un rápido escalamiento sin tener que gastar mucho dinero. Esta podría ser la razón por la que el 53% de las PYME encuestadas a nivel mundial se encuentran en una Informe actual dicen que gastan más de 1,2 millones de dólares al año en la nube; frente al 38% del año pasado.

Pero la transformación digital también conlleva riesgos. La seguridad (72%) y el cumplimiento (71%) son el segundo y tercer desafío de la nube más citados por las PYMES encuestadas. El primer paso para abordar estos desafíos es comprender los errores más grandes que cometen las pequeñas empresas en sus implementaciones en la nube.

Los siete mayores errores de seguridad en la nube que cometen las PYMES

Para ser claros, los siguientes errores no son sólo errores que cometen las PYMES en la nube. Incluso las empresas más grandes y con mejores recursos a veces olvidan lo básico. Pero al eliminar estos puntos ciegos, su organización puede lograr grandes avances en la optimización del uso de la nube sin exponerse potencialmente a riesgos financieros o de reputación graves.

1. Sin autenticación multifactor (MFA)

Las contraseñas estáticas son intrínsecamente inseguras y no todas las empresas las respetan política sólida de creación de contraseñas. Las contraseñas pueden ser robado de varias manerasB. mediante phishing, métodos de fuerza bruta o simplemente adivinanzas. Por este motivo, es necesario agregar una capa adicional de autenticación. MFA hace que sea mucho más difícil para los atacantes acceder a las aplicaciones de cuentas SaaS, IaaS o PaaS de sus usuarios, lo que reduce el riesgo de ransomware, robo de datos y otras posibles consecuencias. Otra opción es cambiar a métodos de autenticación alternativos cuando sea posible, como: autenticación sin contraseña.

2. Demasiada confianza en el proveedor de la nube (CSP)

Muchos líderes de TI creen que invertir en la nube significa subcontratar todo a un tercero de confianza. Eso es sólo parcialmente cierto. En realidad hay uno Modelo de responsabilidad compartida para proteger la nube, dividida entre CSP y cliente. Lo que hay que tener en cuenta depende del tipo de servicio en la nube (SaaS, IaaS o PaaS) y del CSP. Incluso si la mayor parte de la responsabilidad recae en el proveedor (por ejemplo, en SaaS), puede valer la pena invertir en controles adicionales de terceros.

3. Error al guardar

Como se describió anteriormente, nunca asuma que su proveedor de nube (por ejemplo, para servicios de almacenamiento/intercambio de archivos) lo respalda. Siempre vale la pena planificar para el peor de los casos, que probablemente sea una falla del sistema o un ciberataque. No son sólo los datos perdidos los que afectan a su negocio, sino también el tiempo de inactividad y la pérdida de productividad que pueden seguir a un incidente.

4. Fallo regular de parcheo

Si no aplica el parche, expone sus sistemas en la nube a la explotación de vulnerabilidades. Esto, a su vez, podría provocar infecciones de malware, filtraciones de datos y más. La gestión de parches es una de las mejores prácticas de seguridad fundamentales que es tan relevante en la nube como en las instalaciones.

5. Mala configuración de la nube

Los CSP son un grupo innovador. Pero el gran volumen de nuevas características y capacidades que introducen en respuesta a los comentarios de los clientes puede, en última instancia, conducir a un entorno de nube increíblemente complejo para muchas PYMES. Esto hace que sea mucho más difícil saber qué configuración es la más segura. Los errores más comunes incluyen: Configurar el almacenamiento en la nube para que terceros puedan acceder a él y no se bloqueen los puertos abiertos.

6. El tráfico en la nube no está monitoreado

Un dicho común dice que hoy en día ya no se trata de “si” sino de “cuándo” se produce una brecha de seguridad en su entorno de nube (IaaS/PaaS). Es por eso que la detección y respuesta rápidas son fundamentales si desea detectar las señales tempranamente y contener un ataque antes de que pueda afectar el negocio. Por tanto, el seguimiento continuo es fundamental.

7. Las joyas de la corona de la empresa no se pudieron cifrar

Ningún entorno está 100% protegido contra violaciones de seguridad. Entonces, ¿qué sucede si una parte malintencionada logra apoderarse de sus datos internos más confidenciales o de información personal de empleados/clientes altamente regulada? Al cifrarlo en reposo y en tránsito, se asegura de que no se pueda utilizar incluso si se recupera.

Hacer bien la seguridad en la nube

El primer paso para abordar estos riesgos de seguridad en la nube es comprender dónde residen sus responsabilidades y qué áreas aborda el CSP. Luego deberá decidir si desea confiar en los controles de seguridad nativos de la nube del CSP o mejorarlos con productos adicionales de terceros. Considera lo siguiente:

• Invertir en Soluciones de seguridad de terceros para mejorar la seguridad de su nube y la protección de sus aplicaciones de correo electrónico, almacenamiento y colaboración, además de las características de seguridad integradas en los servicios de nube ofrecidos por los principales proveedores de nube del mundo.
• Agregue herramientas de detección y respuesta avanzadas o administradas (XDR/MDR) para permitir una respuesta rápida a incidentes y la contención/remediación de brechas.
• Desarrollar e implementar un programa de parches continuo y basado en riesgos basado en una sólida gestión de activos (es decir, saber qué activos en la nube tiene y luego asegurarse de que estén siempre actualizados).
• Cifre los datos en reposo (a nivel de base de datos) y en tránsito para garantizar que estén protegidos incluso si los delincuentes los ponen en sus manos. Esto también requiere un descubrimiento y clasificación de datos efectivos y continuos.
• Definir una política clara de control de acceso. Requerir contraseñas seguras, MFA, principios de privilegios mínimos y listas de permisos/restricciones basadas en IP para IP específicas.
• Considere presentar uno Enfoque de confianza ceroque incluirá muchos de los elementos mencionados anteriormente (MFA, XDR, cifrado) junto con la segmentación de la red y otros controles.

Muchas de las medidas mencionadas anteriormente son las mismas mejores prácticas que uno esperaría para la implementación local. Y lo son a un alto nivel, aunque los detalles serán diferentes. Sobre todo, recuerde que la seguridad en la nube no es sólo responsabilidad del proveedor. Tome el control hoy para gestionar mejor el riesgo cibernético.