Los últimos riesgos involucrados en la computación en la nube apuntan a problemas relacionados con la configuración y la autenticación en lugar del enfoque tradicional en el malware y las vulnerabilidades, según un nuevo informe de Cloud Security Alliance.

El uso de la nube para alojar los datos, las aplicaciones y otros activos de su empresa ofrece varios beneficios en términos de administración, acceso y escalabilidad. Pero la nube también presenta ciertos riesgos de seguridad. Tradicionalmente, esos riesgos se han centrado en áreas como denegación de servicio, pérdida de datos, malware y vulnerabilidades del sistema. El informe argumenta que las últimas amenazas en la seguridad de la nube ahora se han trasladado a decisiones tomadas en torno a la estrategia e implementación de la nube.

Basado en una encuesta de 241 expertos de la industria sobre problemas de seguridad en la industria de la nube, el informe Top Threats to Cloud Computing: The Egregious 11 de CSA se centró en 11 amenazas, riesgos y vulnerabilidades notables en entornos de nube. Para cada amenaza descrita, el informe destaca el impacto comercial, ejemplos específicos y recomendaciones en forma de conclusiones clave.

Este artículo también está disponible para descargar en inglés: Cómo prevenir las 11 amenazas principales en la computación en la nube [PDF en inglés].

1. Data Breaches
2. Misconfiguration and Inadequate Change Control
3. Lack of Cloud Security Architecture and Strategy
4. Insufficient Identity, Credential, Access and Key Management
5. Account Hijacking
6. Insider Threat
7. Insecure Interfaces and APIs
8. Weak Control Plane
9. Metastructure and Applistructure Failures
10. Limited Cloud Usage Visibility
11. Abuse and Nefarious Use of Cloud Services (10)

1. Violaciones de datos

Una filtración de datos puede ser cualquier incidente o ataque de ciberseguridad en el que una persona no autorizada vea, robe o utilice información sensible o confidencial.

Impacto de negocios

• Las filtraciones de datos pueden dañar la reputación de una empresa y fomentar la desconfianza de los clientes y socios.
• Una infracción puede dar lugar a la pérdida de propiedad intelectual (PI) de los competidores, lo que afectará el lanzamiento de un nuevo producto.
• Las implicaciones regulatorias muchas resultan en pérdidas financieras.
• El impacto en la marca de una empresa podría afectar su valor de mercado.
• Pueden surgir responsabilidades legales y contractuales.
• Los gastos financieros pueden ocurrir como resultado de respuesta a incidentes y análisis forense.

Conclusiones y recomendaciones clave

• Definir el valor comercial de los datos y el impacto de su pérdida es esencial para las organizaciones que poseen o procesan datos.
• La protección de los datos está evolucionando hacia una cuestión de quién tiene acceso a ellos.
• Los datos accesibles a través de Internet son el activo más vulnerable a una configuración incorrecta o explotación.
• Las técnicas de cifrado pueden proteger los datos, pero también pueden obstaculizar el rendimiento del sistema y hacer que las aplicaciones sean menos fáciles de usar.
• Un plan de respuesta a incidentes sólido y bien probado que considere el proveedor de la nube y las leyes de privacidad de datos puede ayudar a las víctimas de violaciones de datos a recuperarse.

2. Configuración incorrecta y control de cambios inadecuado

La configuración incorrecta ocurre cuando los activos informáticos se configuran incorrectamente, dejándolos vulnerables a actividades maliciosas. Algunos ejemplos de configuración incorrecta incluyen: elementos o contenedores de almacenamiento de datos no seguros, permisos excesivos, credenciales predeterminadas sin cambios y ajustes de configuración, controles de seguridad estándar deshabilitados, sistemas sin parches y registro o monitoreo deshabilitados, y acceso sin restricciones a puertos y servicios.

Impacto de negocios

• El impacto empresarial depende de la naturaleza de la configuración incorrecta y de la rapidez con la que se detecta y se resuelve.
• El problema más común es la exposición de los datos almacenados en repositorios en la nube.

Conclusiones y recomendaciones clave

• Dado que los recursos basados ​​en la nube pueden ser complejos y dinámicos, su configuración puede resultar difícil.
• Los controles y enfoques tradicionales para la gestión del cambio no son efectivos en la nube.
• Las empresas deben adoptar la automatización y utilizar tecnologías que busquen continuamente recursos mal configurados y solucionen problemas en tiempo real.

3. Falta de arquitectura y estrategia de seguridad en la nube

A medida que las empresas migran partes de su infraestructura de TI a la nube pública, uno de los mayores desafíos es implementar la seguridad adecuada para protegerse contra los ataques cibernéticos. Asumir que puede simplemente “levantar y cambiar” su pila de TI interna existente y los controles de seguridad a la nube puede ser un error.

Impacto de negocios

• Se requiere una estrategia y una arquitectura de seguridad adecuadas para mover, implementar y operar de manera segura en la nube.
• Los ciberataques exitosos debido a una seguridad débil pueden provocar pérdidas financieras, daños a la reputación, repercusiones legales y multas.

Conclusiones y recomendaciones clave

• Asegúrese de que la arquitectura de seguridad se alinee con sus metas y objetivos comerciales.
• Desarrollar e implementar un marco de arquitectura de seguridad.
• Asegúrese de que el modelo de amenazas se mantenga actualizado.
• Brinde visibilidad continua de la postura de seguridad real.

4. Gestión insuficiente de identidades, credenciales, acceso y claves

Los incidentes de seguridad y las infracciones pueden ocurrir debido a la protección inadecuada de las credenciales, la falta de rotación automatizada regular de claves criptográficas y contraseñas, la falta de sistemas escalables de administración de identidades y credenciales, la falla en el uso de la autenticación multifactor y la falla en el uso de contraseñas seguras. .

Impacto de negocios

• Una gestión insuficiente de identidades, credenciales o claves puede permitir el acceso no autorizado a los datos.
• Como resultado, los actores malintencionados que se hacen pasar por usuarios legítimos pueden leer, modificar y eliminar datos.
• Los delincuentes informáticos también pueden emitir funciones de administración y plano de control, espiar datos en tránsito y liberar malware que parece provenir de una fuente legítima.

Conclusiones y recomendaciones clave

• Proteja las cuentas que incluyen la autenticación de dos factores y limitan el uso de cuentas raíz.
• Practique los controles de identidad y acceso más estrictos para los usuarios y las identidades de la nube.
• Separe y segmente cuentas, nubes privadas virtuales (VPC) y grupos de identidad según las necesidades comerciales y el principio de privilegios mínimos.
• Rote las claves, elimine las credenciales y privilegios no utilizados, emplee la administración central y programática de claves.

5. Secuestro de cuentas

Mediante el secuestro de cuentas, los atacantes obtienen acceso y abusan de las cuentas que son altamente privilegiadas o sensibles. En entornos de nube, las cuentas con mayor riesgo son las suscripciones o las cuentas de servicios en la nube.

Impacto de negocios

• Dado que el secuestro de cuentas implica un compromiso y control total de una cuenta, la lógica empresarial, la función, los datos y las aplicaciones que dependen de la cuenta pueden estar en riesgo.
• Las consecuencias del secuestro de cuentas pueden ser graves. Algunos casos de incumplimiento recientes conducen a importantes interrupciones operativas y comerciales, incluida la eliminación completa de activos, datos y capacidades.
• El secuestro de cuentas puede desencadenar fugas de datos que provoquen daños a la reputación, degradación del valor de la marca, exposición a responsabilidad legal y divulgaciones de información personal y comercial confidencial.

Conclusiones y recomendaciones clave

• El secuestro de cuentas es una amenaza que debe tomarse en serio.
• Los controles de IAM y de defensa en profundidad son clave para mitigar el secuestro de cuentas.