La ruta del éxito y los errores a evitar para el uso seguro de la nube
Eset destacó que la adopción de servicios digitales no solo implica ventajas para las PyMEs (Pequeñas y Medianas Empresas), sino que también conlleva riesgos en términos de seguridad, es por ello que subrayó la importancia de que las empresas, independientemente de su tamaño, presten atención a medidas de seguridad clave para evitar posibles amenazas.
En el contexto de la transformación digital y el uso masivo de infraestructura, plataformas y software desde la nube, no solo se presenta como una herramienta para la competitividad, sino también como un desafío que requiere una gestión prudente de la seguridad cibernética para salvaguardar la integridad de los datos y protegerse contra posibles amenazas.
Derivado de lo anterior, la firma advirtió sobre la necesidad de considerar puntos clave de seguridad para evitar posibles errores en este proceso como son: Autenticación multifactor, confianza excesiva en los proveedores de nube, copias de seguridad, aplicar parches con regularidad, desconfiguración de la nube, supervisar el tráfico de la nube y no cifrar información relevante de la empresa.
Autenticación multifactor: La ausencia de autenticación multifactor (MFA) expone a las contraseñas estáticas a riesgos significativos, ya que estas son intrínsecamente inseguras, especialmente cuando las empresas carecen de políticas robustas de creación de contraseñas, es por ello que, diversos métodos, como phishing, fuerza bruta o adivinanzas, pueden comprometer fácilmente contraseñas, advirtió el desarrollador.
Indicó que la MFA, o incluso la transición a métodos de autenticación sin contraseña, se presenta como crucial para agregar una capa adicional de seguridad y dificultar el acceso no autorizado a aplicaciones de cuentas SaaS, IaaS o PaaS. Esto no solo reduce la vulnerabilidad ante ataques, como el ransomware y el robo de datos, sino que también fortalece la protección global de la seguridad informática.
La tendencia de depositar excesiva confianza en los proveedores de la nube es una preocupación común entre los responsables de TI al invertir en servicios en la nube, y aunque muchos creen que externalizar todo implica una total confianza en un tercero, es esencial reconocer el modelo de responsabilidad compartida entre el proveedor y el cliente para garantizar la seguridad en la nube.
Adicionalmente, Camilo Gutiérrez Amaya, jefe del Laboratorio de Investigación de Eset Latinoamérica, aseguró que el 53% de las PyMEs encuestadas informan un gasto anual superior a 1.2 millones de dólares en la nube, un aumento significativo desde el 38% del año pasado, la seguridad (72%) y el cumplimiento de normativas (71%) son citados como el segundo y tercer desafío más frecuente.
Confianza excesiva en los proveedores de nube: La distribución de responsabilidades varía según el tipo de servicio (SaaS, IaaS o PaaS) y el proveedor específico, aunque la mayor carga de responsabilidad recae en el proveedor, Eset destacó la importancia de invertir en controles adicionales de terceros para fortalecer aún más la seguridad y mitigar riesgos asociados.
El especialista explicó que la falta de realizar copias de seguridad se presenta como un error crucial al utilizar servicios en la nube, ya que no se debe dar por sentado que el proveedor cubrirá todas las eventualidades, es así como, prever el peor escenario, como un fallo del sistema o un ciberataque al proveedor, es esencial para las empresas.
Realizar copias de seguridad: La pérdida de datos no es la única consecuencia al no realizar copias de seguridad; las PyMEs también se enfrentan a posibles períodos de inactividad y una disminución en la productividad de la organización tras un incidente de este tipo, destacando la importancia de asumir la responsabilidad de las copias de seguridad para mitigar estos riesgos y garantizar la continuidad operativa.
Aplicación de parches con regularidad: La ausencia de aplicación regular de parches es otro elemento para tomar en consideración, puesto que se presenta como una amenaza significativa al exponer los sistemas en la nube a la explotación de vulnerabilidades, además, la omisión de este proceso puede resultar en infecciones de malware, fugas de datos y otros riesgos potenciales.
“El primer paso para hacer frente a estos retos es comprender los principales errores que cometen las empresas más pequeñas con sus implementaciones en la nube. De todas formas, no son solo errores que cometen las pymes en la nube, las empresas más grandes y con más recursos son a veces culpables de olvidar lo básico. Al eliminar estos puntos ciegos, su organización puede dar grandes pasos hacia la optimización de su uso de la nube, sin exponerse a riesgos financieros, o de reputación, potencialmente graves”: Camilo Gutiérrez.
La gestión de parches es una de las mejores prácticas de seguridad, tanto en sistemas tradicionales como en entornos en la nube, dicha aplicación constante ayuda a mantener la integridad y la seguridad de los sistemas en la nube, mitigando la exposición a posibles amenazas y garantizando la protección de datos.
Desconfiguración de la nube: Como quinto punto a considerar está la desconfiguración de la nube que se ha convertido en un desafío significativo para las PyMEs al lidiar con proveedores de servicios en la nube que constantemente introducen nuevas funciones y capacidades, esto se debe en gran parte a que, en respuesta a las demandas de los clientes se generan entornos complejos en la nube, dificultando la identificación de las configuraciones más seguras.
A decir de Eset, entre los errores comunes se encuentra la configuración del almacenamiento en la nube permitiendo el acceso de terceros y la omisión de bloquear puertos abiertos, este fenómeno subraya la necesidad de una cuidadosa gestión de configuraciones en la nube para evitar posibles vulnerabilidades y garantizar la seguridad de los datos y sistemas.
Supervisión de tráfico en la nube: Continuando con los errores para evitar riesgos de seguridad, la empresa enlistó uno más, la falta de supervisión del tráfico en la nube, ya que la detección y respuesta rápidas son cruciales para identificar señales de posibles ataques y contenerlos antes de que afecten a la organización.
“Muchas de las medidas anteriores son las mismas mejores prácticas que uno esperaría desplegar también en los sistemas in situ, con algunos detalles que serán diferentes. Lo más importante es recordar que la seguridad en la nube no es solo responsabilidad del proveedor y que se debe tomar el control para prevenir los riesgos cibernéticos”: Jefe del Laboratorio de Investigación de ESET Latinoamérica.
La supervisión continua se presentó como una práctica indispensable, reconociendo la inevitabilidad de posibles vulneraciones en el entorno de nube. La premisa es que no se trata de “si” ocurrirá una vulneración, sino de “cuándo”, por lo que Eset enfatizó en la necesidad de una vigilancia constante para anticipar y mitigar amenazas de manera eficaz.
Cifrar información relevante: Por último, la falta de cifrado de los datos más sensibles de una empresa también representa un riesgo importante, dado que ningún entorno es completamente invulnerable a violaciones de seguridad, es así que, en caso de que un actor malintencionado acceda a datos internos críticos o a información personal altamente regulada de empleados o clientes, el cifrado tanto en reposo como en tránsito se presenta como una medida esencial.
Al aplicar esta protección, se asegura que, incluso si los datos son obtenidos, resultan inutilizables, proporcionando una capa adicional de seguridad para salvaguardar la integridad y confidencialidad de la información más crítica de la empresa.
Finalmente, la marca recordó la importancia de abordar los riesgos de seguridad en la nube mediante la comprensión de las responsabilidades y áreas gestionadas por los proveedores, recomendó decidir entre confiar en los controles nativos de la nube o mejorarlos con soluciones de seguridad de terceros, aconsejando invertir en soluciones de seguridad externas para fortalecer la protección en la nube como: agregar herramientas de detección y respuesta ampliadas (XDR/MDR) para una rápida respuesta a incidentes, implementar un programa continuo de aplicación de parches basado en riesgos, cifrar datos en reposo y en tránsito, establecer políticas claras de control de acceso, y considerar la adopción de un enfoque de confianza cero, que integra elementos como MFA, XDR, cifrado y segmentación de red, entre otros. Estas medidas buscan optimizar la seguridad y protección de datos en entornos en la nube.
WhatsApp eSemanal 55 7360 5651
