Seguridad nativa de la nube y la posición de seguridad de los recursos de la nube

Autor: Héctor Tejero – Arrow Electronics

Introducción

En los últimos años, se ha producido un gran giro para aprovechar las ventajas de la computación en nube, como la escalabilidad, la elasticidad y la agilidad. Sin embargo, la naturaleza dinámica y distribuida de las arquitecturas nativas de la nube crea retos únicos que requieren la mitigación de riesgos en varios frentes, como la seguridad, la privacidad, la residencia de datos, etc.

La gestión de la seguridad de los recursos y servicios en la nube, independientemente de su ubicación o de los límites de la red, es un aspecto clave de la computación en nube. Los datos se mueven a través de servicios multicloud, de nube híbrida y de nube pública distribuida. Los crecientes requisitos internacionales de residencia y privacidad de los datos deben satisfacerse con soluciones que proporcionen una sólida seguridad, protección y cumplimiento de la normativa. Este artículo se centra en cómo se emplea una práctica integral de seguridad nativa de la nube para proteger los datos, las aplicaciones y la infraestructura alojados en la nube.

Seguridad nativa de la nube

Las prácticas, herramientas y estrategias que se aplican para proteger las aplicaciones y los datos en entornos nativos de la nube suelen conocerse como seguridad nativa de la nube. El término «nativo de la nube» hace referencia a aplicaciones y servicios diseñados específicamente para aprovechar las ventajas de la computación en la nube, como la escalabilidad, la elasticidad y la agilidad. Estas aplicaciones se construyen normalmente utilizando contenedores, microservicios y orquestados por plataformas como Kubernetes. La seguridad nativa de la nube pretende abordar los retos de seguridad únicos que plantea la naturaleza dinámica y distribuida de las arquitecturas nativas de la nube. Merece la pena destacar algunos aspectos de la seguridad nativa de la nube.

Seguridad de la infraestructura – Las aplicaciones nativas de la nube dependen de la infraestructura subyacente de la nube proporcionada por los proveedores de servicios en la nube (CSPs por sus siglas en inglés «Cloud Service Providers»). Es esencial configurar y proteger adecuadamente los recursos de la nube, incluidas las redes virtuales, el almacenamiento y las bases de datos. Es crucial implantar controles sólidos de gestión de identidades y accesos (IAM por sus siglas en inglés «Identity Access Management») y cifrado. Una tendencia emergente en la seguridad de la nube incluye la gestión centralizada de las políticas IAM de la nube.

Desarrollo seguro de aplicaciones – La seguridad nativa de la nube hace hincapié en incorporar la seguridad al ciclo de vida de desarrollo de aplicaciones desde el principio. Esto incluye la aplicación de prácticas de codificación seguras, la realización de revisiones del código y la utilización de marcos de desarrollo seguros. La confianza cero («Zero Trust») es un marco de seguridad y una mentalidad que no asume ninguna confianza implícita en los usuarios, dispositivos o redes, tanto dentro como fuera del perímetro de la red de la organización. Requiere verificar cada usuario y dispositivo que intenta acceder a los recursos, independientemente de su ubicación o contexto de red. Al adoptar un enfoque de confianza cero, las organizaciones pueden mejorar su posición de seguridad, reducir el riesgo de filtraciones de datos y amenazas internas, y proteger los activos y datos críticos independientemente de su ubicación o de los límites de la red.

Seguridad de microservicios – Las aplicaciones nativas de la nube suelen estar compuestas por multitud de microservicios. Asegurar los microservicios implica implementar mecanismos de autenticación y autorización fuertes, encriptar la comunicación entre servicios y monitorizar posibles brechas de seguridad.

Integración DevSecOps – La seguridad nativa de la nube se alinea con la filosofía DevSecOps, promoviendo la colaboración entre los equipos de desarrollo, seguridad y operaciones. El objetivo es que la seguridad se integre en todo el proceso de desarrollo y despliegue, con pruebas de seguridad automatizadas, análisis de vulnerabilidades y herramientas de análisis de código.

Seguridad de los contenedores – Los contenedores son unidades ligeras y aisladas que se utilizan para empaquetar y desplegar aplicaciones. La seguridad de los contenedores implica analizar las imágenes en busca de vulnerabilidades, utilizar imágenes base seguras, actualizar periódicamente los contenedores y aplicar un control de acceso entre contenedores.

Seguridad de la plataforma de orquestación – En los entornos nativos de la nube, las plataformas de orquestación como Kubernetes gestionan el despliegue y el escalado de las aplicaciones en contenedores. Asegurar la plataforma de orquestación implica implementar controles de acceso, habilitar la auditoría y el registro, asegurar la API de Kubernetes y aplicar regularmente parches de seguridad. Security Orchestration, Automation, and Response (SOAR, por sus siglas en inglés) es un enfoque de ciberseguridad que combina la orquestación de la seguridad, la automatización y la respuesta a incidentes para mejorar la eficiencia y la eficacia de las operaciones de seguridad. Las soluciones SOAR mejoran la posición global de seguridad de las organizaciones reduciendo los tiempos de respuesta, mejorando la eficiencia operativa y permitiendo una mejor colaboración entre los equipos de seguridad. Al automatizar y orquestar las tareas de seguridad, las organizaciones pueden responder más rápidamente a las amenazas, minimizar el impacto de los incidentes de seguridad y utilizar mejor sus recursos de seguridad.

Cumplimiento normativo y gobernanza – Implica implantar controles de seguridad, realizar evaluaciones de seguridad y mantener la documentación adecuada para cumplir los requisitos de conformidad. El objetivo es prevenir los riesgos legales y reputacionales que se deriven de incumplimientos de la normativa vigente. La seguridad nativa de la nube garantiza el cumplimiento de la normativa pertinente y las normas del sector.

Supervisión continua de la seguridad – La seguridad nativa de la nube implica la supervisión continua de las aplicaciones y los componentes de la infraestructura para identificar y responder con prontitud a las amenazas a la seguridad. Esto implica supervisar los registros, el tráfico de red y las métricas del sistema, así como emplear sistemas de detección y prevención de intrusiones. La gestión eficaz de vulnerabilidades y amenazas implica una combinación de medidas preventivas, supervisión proactiva, preparación para responder a incidentes y mejora continua. La práctica de supervisar y gestionar continuamente la configuración y el cumplimiento de la seguridad de los recursos y servicios en la nube se denomina Gestión de la Posición de Seguridad en la Nube (CSPM, por sus siglas en inglés «Cloud Security Posture Management»). Desempeña un papel crucial en la seguridad de los entornos en nube al identificar y abordar de forma proactiva los riesgos de seguridad derivados de las configuraciones erróneas y las lagunas en el cumplimiento. Al adoptar soluciones CSPM, las organizaciones pueden mantener una posición de seguridad robusta, reducir la superficie de ataque y mejorar la protección de sus activos y datos en la nube.

En resumen, la seguridad nativa de la nube se centra en la creación y el funcionamiento de aplicaciones nativas de la nube seguras mediante el empleo de una combinación de prácticas de desarrollo seguras, seguridad de contenedores y microservicios, plataformas de orquestación seguras, cumplimiento de la normativa y supervisión continua. Su objetivo es proteger las aplicaciones, los datos y la infraestructura frente a posibles amenazas a la seguridad en entornos de nube dinámicos.

Conclusión

La computación en nube engloba diversos aspectos relacionados con el suministro de servicios informáticos a través de Internet, gestionando al mismo tiempo la posición de seguridad de los recursos y servicios en nube con independencia de su ubicación o de los límites de la red. La posición de seguridad de los recursos de la nube es una responsabilidad compartida entre el proveedor de la nube y el cliente. Aunque la seguridad es crucial en la computación en nube, es sólo uno de los componentes de una estrategia global. Las organizaciones también deben tener en cuenta factores como la privacidad de los datos, el cumplimiento de la normativa, la copia de seguridad y recuperación de datos y el rendimiento general del sistema.

Este es el cuarto de una serie de artículos de Arrow Electronics que exploran las características deseables de los sistemas conectados seguros.