La importancia del cumplimiento de la nube
A medida que ha aumentado la adopción de la seguridad en la nube , los estándares de cumplimiento han tenido que evolucionar, ya que se espera que las plataformas y servicios en la nube sigan cumpliendo con diversos estándares, regulaciones y leyes de seguridad internacionales, federales, estatales y locales. La falta de cumplimiento de estas reglas rígidas puede dar lugar a impugnaciones legales, sanciones, multas y otras ramificaciones negativas.
El cumplimiento y la seguridad de la nube son más importantes que nunca a medida que el panorama de amenazas se vuelve más sofisticado. No puede ser pasado por alto, ignorado o empujado a un proverbial trasfondo. Es un tema que debe abordarse de manera proactiva. Pero es indudablemente desafiante, lo que lo convierte en un esfuerzo poco atractivo para las organizaciones que ya tienen suficientes tareas técnicamente complejas en sus listas de tareas organizacionales.
Parte del desafío del cumplimiento de la nube es que existe en múltiples niveles, y no todos están controlados por las mismas partes. Y con la introducción de la TI en la sombra, se vuelve aún más complejo. Además de los requisitos de cumplimiento estándar de los proveedores de la nube, la mayoría de las grandes industrias también tienen reglas y regulaciones específicas sobre el cumplimiento de la nube.
Por ejemplo, el Estándar de seguridad de datos de la industria de tarjetas de pago (PCI DSS), que se utiliza para garantizar la seguridad de los pagos realizados con tarjetas de débito o crédito, tiene requisitos específicos para la implementación en la nube. Lo mismo ocurre con la Ley de Portabilidad y Responsabilidad de Seguros Médicos (HIPAA) en la industria de la salud.
Y luego está el cumplimiento por parte del usuario. El hecho de que un proveedor de servicios en la nube cumpla con los estándares internacionales y los requisitos de la industria no significa que el usuario los cumpla automáticamente. El usuario aún debe asegurarse de que el servicio en la nube se utilice de manera compatible, así como el resto de la implementación.
Cinco consejos para un mejor cumplimiento de la nube
Garantizar un cumplimiento óptimo de la nube requiere una comprensión profunda del panorama general, así como una comprensión precisa de los detalles. Aquí hay algunos conceptos que podrían resularle útiles:
1. Conozca su nube
Tómese el tiempo para comprender cuidadosamente su modelo de nube, así como las responsabilidades de seguridad de sus proveedores de servicios en la nube. Esto le ayudará a identificar brechas de seguridad y cumplimiento. Existen marcadas diferencias y necesidades únicas cuando se compara la nube privada con la nube pública y la nube híbrida. No puede abordar el cumplimiento de la nube de manera significativa si no conoce su configuración y los factores únicos que enfrenta su situación específica.
2. Acepte la responsabilidad
Seamos claros en una cosa: aunque es posible que tenga una “responsabilidad compartida” con su proveedor de nube o de servicios, en última instancia es su organización la responsable. Siempre puede rescindir su contrato si el proveedor no sigue las reglas, pero todo el peso de proteger la información de sus clientes, los datos de los empleados, los datos corporativos, etc. recae en usted. Si no lo hace, su organización se verá enardada.
3. Póganse en serio acerca de los SLA
Las empresas suelen tratar los acuerdos de nivel de servicio (SLA) como documentos simples repetidos que se copian y pegan en su lugar. Por lo general, no se leen. Y si lo son, es un vistazo rápido. Pero por muy importante que sea el cumplimiento, no puede permitirse el lujo de ser negligente en este frente.
Las sanciones por incumplir las regulaciones son costosas y restrictivas. (Y recuerde, ¡la función es en última instancia sobre usted!) Si no es específico acerca de lo que necesita de su proveedor de servicios en la nube, es casi seguro que quedará expuesto a niveles innecesarios de riesgo.
Su SLA debe describir claramente cómo el proveedor de servicios en la nube segmentará su entorno de sus otros clientes, dónde pueden o no ubicarse geográficamente sus datos, quién puede acceder a los datos, etc.
Y recuerde: el hecho de que el proveedor de servicios en la nube tenga estas cosas por escrito en un SLA no significa que las cumplirá. Le toca a usted asegurarse de que lo hagan. Su SLA simplemente ejerce presión contractual adicional sobre ellos para que cumplan con las reglas.
4. Sea más intencional con el acceso de los empleados
La gestión del acceso es uno de los aspectos más vitales del cumplimiento de la nube, específicamente en lo que respecta a la protección de datos. Debe limitar significativamente qué empleados pueden acceder a qué aplicaciones, cuentas y datos. Refuerce sus políticas, promulga reglas de acceso basadas en las necesidades, refuerce los vencidos de acceso y realice auditorías periódicas y detalladas para asegurarse de que no haya puntos débiles que estén maduros para la infiltración. Además, la visibilidad centralizada de su plataforma en la nube le ayudará a mejorar la gestión de su postura de cumplimiento para que pueda monitorear el estado y tomar medidas rápidamente para prevenir amenazas.
5. Estrategia de seguridad unificada
La seguridad de su infraestructura en la nube y, por lo tanto, el cumplimiento deben ser holísticos e incluir elementos de prevención, gobernanza, visibilidad y agilidad. Habilite una estrategia de seguridad unificada que proteja su aplicación, incluida la seguridad de la red, la inteligencia sobre amenazas, la red, el nivel de controles de acceso y la visibilidad. El cifrado de datos es un hecho hoy en día, pero vale la pena repetirlo. No importa cuán seguro sea su perímetro, siempre habrá quienes encuentren una manera de llegar. En este punto, el cifrado de datos es su mejor línea de defensa. Debe asegurarse de que está tomando las medidas adecuadas para asegurarlo completamente. Esto significa tener el cifrado de datos en reposo.
Con el cifrado de datos habilitado en reposo, sus datos no pueden ser manipulados, incluso si las credenciales de acceso terminan en manos de un hacker (o incluso de una persona privilegiada). Con tantos tipos diferentes de cifrado, es necesario dedicar algo de tiempo a analizar sus necesidades exactas para poder implementar una solución sólida que brinde la máxima protección.
Socio de Check Point
A pesar de todos los beneficios que la nube ofrece a las organizaciones, no es algo que se pueda dejar expuesto. No tener en cuenta la seguridad adecuada en la nube lo dejará vulnerable a amenazas externas, ataques internos y una gran cantidad de otros problemas.
En Check Point, creemos que una organización es tan buena como su compromiso con la seguridad y la integridad. Si desea construir un negocio exitoso, debe asegurarse de que su seguridad esté alineada para frustrar las amenazas cibernéticas Gen 6 y debe priorizar la seguridad en la nube en cada paso del camino.
Si bien cada organización es diferente, la necesidad de soluciones de seguridad adecuadas es una preocupación compartida. Comuníquese con Check Point hoy para obtener más información sobre nuestros productos y soluciones, incluido nuestro servicio de consultoría de seguridad, que puede ayudar a empresas como la suya a descubrir cómo es cumplir con las normas en un ecosistema tan dinámico.
Comentarios