Principales errores de seguridad en la Nube que cometen las PyME
La computación en la Nube es un componente esencial del panorama digital actual. Esto atrae a las pequeñas y medianas empresas (PyME) más que a la mayoría, ya que les permite competir en igualdad de condiciones con rivales de mayor envergadura, con más agilidad empresarial y una rápida escalabilidad, sin necesidad de gastar demasiado.
Sin embargo, la transformación digital también conlleva riesgos. La seguridad (72%) y el cumplimiento de normativas (71%) son el segundo y tercer reto más citado por las PyME encuestadas. El primer paso para hacer frente a estos retos es comprender los principales errores que cometen las empresas con sus implementaciones en la Nube.
1. Sin autenticación multifactor (MFA)
Las contraseñas estáticas son intrínsecamente inseguras y no todas las empresas siguen una política sólida de creación de contraseñas. Las contraseñas pueden ser robadas de varias maneras, por ejemplo mediante phishing, métodos de fuerza bruta o simplemente adivinando. Por eso es necesario añadir una capa adicional de autenticación. La MFA hará mucho más difícil que los atacantes accedan a las aplicaciones de las cuentas SaaS, IaaS o PaaS de sus usuarios, mitigando así el riesgo de ransomware, robo de datos y otros posibles resultados. Otra opción consiste en cambiar, siempre que sea posible, a métodos alternativos de autenticación, como la autenticación sin contraseña.
2. Depositar demasiada confianza en el proveedor de la Nube
Muchos responsables de TI creen que invertir en la Nube significa efectivamente externalizar todo a un tercero de confianza. Esto es cierto sólo en parte: existe un modelo de responsabilidad compartida entre el proveedor y el cliente, para asegurar la Nube. Lo que hay que tener en cuenta dependerá del tipo de servicio y del proveedor. Si bien la mayor parte de la responsabilidad recae en el proveedor, vale la pena invertir en controles adicionales de terceros.
3. No hacer copias de seguridad
Nunca dar por sentado que el proveedor de servicios en la Nube (por ejemplo, para servicios de almacenamiento/compartición de archivos) realiza copias de seguridad, lo mejor es confirmar. Tampoco está de más, considerar el peor de los escenarios: un fallo del sistema o un ciberataque al proveedor. No sólo la pérdida de datos afectará a tu organización, sino también el tiempo de inactividad y el golpe a la productividad que podría seguir a un incidente.
4. No aplicar parches con regularidad
No aplicar parches expone los sistemas en la Nube a la explotación de vulnerabilidades. Esto, a su vez, podría dar lugar a infecciones de malware, fugas de datos y mucho más. La gestión de parches es una de las mejores prácticas de seguridad que es tan importante en la Nube como en demás sistemas.
5. Desconfiguración de la Nube
Los proveedores de servicios en la Nube son un grupo innovador, pero el enorme volumen de nuevas funciones y capacidades que lanzan en respuesta a los comentarios de los clientes puede acabar creando un entorno en la Nube increíblemente complejo para muchas PyME. Esto hace que sea mucho más difícil saber qué configuración es la más segura. Los errores más comunes son configurar el almacenamiento en la Nube para que cualquier tercero pueda acceder a él y no bloquear los puertos abiertos.
6. No supervisar el tráfico
La detección y respuesta rápidas son críticas si se quieren detectar las señales a tiempo, para contener un ataque antes de que tenga la oportunidad de afectar a la organización. Esto hace que la supervisión continua sea imprescindible. Vale la pena pensar que no se trata de ‘si’ el entorno de nube será vulnerado, sino de ‘cuándo’.
7. No cifrar las joyas de la corona
Ningún entorno es 100% a prueba de brechas. Entonces, ¿qué ocurre si un malintencionado consigue acceder a sus datos internos más sensibles o a información personal de empleados/clientes altamente regulada? Si los encripta en reposo y en tránsito, se asegurará de que no puedan utilizarse, incluso si se obtienen.
Cómo garantizar la seguridad en la Nube
El primer paso para abordar estos riesgos de seguridad es comprender cuáles son sus responsabilidades y de qué áreas se encargará el proveedor.
Se debe tener en cuenta lo siguiente:
- Soluciones de seguridad de terceros para mejorar la seguridad y la protección de las aplicaciones de correo electrónico, almacenamiento y colaboración, además de las funciones de seguridad integradas en los servicios en la Nube que ofrecen los principales proveedores de servicios.
- Añadir herramientas de detección y respuesta ampliadas o gestionadas (XDR/MDR) para impulsar una respuesta rápida ante incidentes y la contención/remediación de infracciones.
- Desarrollar e implantar un programa continuo de aplicación de parches basado en el riesgo y basado en una sólida gestión de activos (es decir, saber qué activos en la Nube se tienen y asegurarse de que están siempre actualizados).
- Cifrar los datos en reposo (a nivel de base de datos) y en tránsito para garantizar su protección. Esto también requerirá una detección y clasificación de datos eficaz y continua.
- Definir una política clara de control de acceso; exigir contraseñas seguras, MFA, principios de mínimo privilegio y restricciones basadas en IP/listas de acceso permitido para IP específicas.
- Considerar la adopción de un enfoque de confianza cero, que incorporará muchos de los elementos anteriores (MFA, XDR, cifrado) junto con la segmentación de la red y otros controles.
Muchas de las medidas anteriores son las mejores prácticas que uno esperaría desplegar en los sistemas in situ, con algunas diferencias.
Lo más importante es recordar que la seguridad en la Nube no es sólo responsabilidad del proveedor y que se debe tomar el control para prevenir riesgos cibernéticos. Por ello, le invitamos a ponerse en contacto con nosotros para proveerle más información respecto al apoyo que Adaptix Networks puede brindar a su empresa.
Fuente https://www.welivesecurity.com/es/seguridad-corporativa/7-errores-comunes-servicios-en-la-nube/
