Cómo migrar de forma segura aplicaciones empresariales a la nube

La ciberseguridad es la práctica de garantizar la integridad, confidencialidad y disponibilidad de la información. Representa la capacidad de resistir y recuperarse de incidentes de seguridad. Estos incidentes de seguridad incluyen fallas en el disco duro o cortes de energía, así como ciberataques de la competencia. Estos últimos incluyen script kiddies, hackers, bandas criminales capaces de llevar a cabo amenazas persistentes avanzadas (APT) y otros que pueden representar una amenaza grave para una empresa. La continuidad del negocio y las capacidades de recuperación ante desastres son fundamentales para la ciberseguridad (por ejemplo, seguridad de aplicaciones y seguridad de red estrictamente definida).

La seguridad debe ser una prioridad máxima en toda la empresa y la alta dirección debe hacerla cumplir. La fragilidad del mundo de la información en el que vivimos hoy también requiere una sólida estrategia de control de la ciberseguridad. Los gerentes deben comprender que todos los sistemas están diseñados según ciertos estándares de seguridad y que los empleados deben recibir la capacitación adecuada. Por ejemplo, todo código puede tener vulnerabilidades, algunas de las cuales son fallas de seguridad críticas. Después de todo, los desarrolladores son humanos y cometen errores.

Formación en seguridad

Las personas suelen ser el eslabón más débil de un plan de ciberseguridad. Capacite a los desarrolladores para codificar de forma segura, capacite al personal de operaciones para priorizar perfiles de seguridad sólidos, capacite a los usuarios finales para que reconozcan correos electrónicos de phishing y ataques de ingeniería social; en resumen, la ciberseguridad comienza con la concientización.

Sin embargo, incluso con fuertes controles de ciberseguridad, todas las organizaciones siguen siendo vulnerables a algún tipo de ciberataque. Los atacantes siempre explotarán el eslabón más débil, pero muchos ataques se pueden prevenir fácilmente realizando algunas tareas de seguridad básicas (a veces llamadas "higiene cibernética"). A los cirujanos nunca se les permite entrar al quirófano sin lavarse las manos. Asimismo, las organizaciones tienen la responsabilidad de realizar tareas básicas para mantener la seguridad de la red, como mantener prácticas de autenticación sólidas y no almacenar datos confidenciales donde el público pueda acceder a ellos.

Sin embargo, una buena estrategia de ciberseguridad requiere más que estas prácticas básicas. Un hacker experto puede eludir la mayoría de las defensas y superficies de ataque y, para la mayoría de las organizaciones, el número de formas o "vectores" que tienen los atacantes para comprometer los sistemas aumenta constantemente. Por ejemplo, a medida que la información se fusiona cada vez más con el mundo real, los delincuentes y los grupos de espionaje estatales amenazan la ICA de los sistemas físicos en red, como automóviles, plantas de energía, dispositivos médicos e incluso refrigeradores de IoT. Del mismo modo, la omnipresente computación en la nube, el sistema BYOD (traiga su propio dispositivo) y las tendencias en auge del Internet de las cosas (IoT) crean nuevos desafíos de seguridad. La defensa de la seguridad de estos sistemas se ha vuelto particularmente importante.

Otra manifestación destacada de una mayor complejidad en la ciberseguridad es el entorno regulatorio que rodea la privacidad del consumidor. Cumplir con marcos regulatorios estrictos, como el Reglamento General de Protección de Datos (GDPR) de la Unión Europea, también requiere la asignación de nuevos roles para garantizar que las organizaciones puedan cumplir con los requisitos de privacidad y seguridad del GDPR y otras regulaciones.

Como resultado, la demanda de profesionales de la ciberseguridad ha comenzado a crecer aún más y los gerentes de contratación están trabajando arduamente para seleccionar a los candidatos adecuados para cubrir las vacantes. Pero el desequilibrio actual entre oferta y demanda requiere que las empresas se centren en áreas donde el riesgo es mayor.

Tipos de ciberseguridad

El alcance de la ciberseguridad es muy amplio, pero las áreas centrales son las siguientes, y cualquier organización debe prestar mucha atención a estas áreas centrales e incorporarlas al estrategia de ciberseguridad:

p>

1. Infraestructura crítica

La infraestructura crítica consiste en los sistemas de redes físicas de los que depende la sociedad, incluidas redes eléctricas, sistemas de purificación de agua, señales de tráfico, y sistemas hospitalarios. Por ejemplo, las centrales eléctricas son vulnerables a los ciberataques cuando están conectadas a Internet. Para las organizaciones responsables de la infraestructura crítica, la solución es hacer su debida diligencia para asegurarse de comprender y protegerse contra estas vulnerabilidades. Otros también deberían evaluar el impacto sobre ellos mismos si la infraestructura crítica de la que dependen se ve sometida a un ciberataque y luego desarrollar planes de contingencia.

2. Seguridad de la red (sentido estricto)

La seguridad de la red requiere la capacidad de prevenir intrusiones no autorizadas y personas internas maliciosas. Proteger su red a menudo implica sopesar los pros y los contras. Por ejemplo, los controles de acceso (como inicios de sesión adicionales) pueden ser necesarios por motivos de seguridad, pero también pueden reducir la productividad.

Las herramientas utilizadas para monitorear la seguridad de la red generan grandes cantidades de datos, pero las alertas válidas a menudo se pasan por alto debido al volumen de datos generados. Para gestionar mejor la supervisión de la seguridad de la red, los equipos de seguridad utilizan cada vez más el aprendizaje automático para detectar tráfico anómalo y generar alertas de amenazas en tiempo real.

3. Seguridad en la nube

Cada vez más empresas están migrando datos a la nube, lo que también plantea nuevos desafíos de seguridad. Por ejemplo, en 2017 hubo informes casi semanales de violaciones de datos debido a instancias de nube mal configuradas. Los proveedores de servicios en la nube están desarrollando nuevas herramientas de seguridad para ayudar a los usuarios empresariales a proteger mejor sus datos, pero una advertencia: pasar a la nube no es una panacea para hacer la debida diligencia en materia de ciberseguridad.

4. Seguridad de aplicaciones

La seguridad de aplicaciones (AppSec), especialmente la seguridad de aplicaciones web, se ha convertido en el punto más débil de la tecnología de ataque, pero pocas organizaciones pueden mitigar por completo todas las 10 vulnerabilidades web principales de OWASP. . La seguridad de las aplicaciones debe comenzar con prácticas de codificación segura y reforzarse mediante pruebas difusas y pruebas de penetración.

El rápido desarrollo y despliegue de aplicaciones en la nube ha impulsado a DevOps a convertirse en una disciplina emergente. Los equipos de DevOps suelen priorizar las necesidades empresariales por encima de la seguridad y, a medida que proliferan las amenazas, este enfoque puede cambiar.

5. Seguridad del Internet de las Cosas (IoT)

El Internet de las Cosas se refiere a una variedad de sistemas físicos en red críticos y no críticos, como electrodomésticos, sensores, impresoras, y cámaras de seguridad. Los dispositivos de IoT a menudo quedan inseguros y ofrecen pocos parches de seguridad, lo que amenaza no solo a los usuarios sino también a otras personas en Internet, ya que estos dispositivos suelen ser utilizados por actores maliciosos para crear botnets. Esto crea desafíos de seguridad únicos para los usuarios domésticos y la sociedad.