Concerned about recent PAN-OS and other firewall/VPN CVEs? Take advantage of Zscaler’s special offer today

Learn More

¿Qué es la seguridad en la nube?

La seguridad en la nube es un conjunto de políticas, procedimientos, herramientas y tecnologías de seguridad diseñadas para proteger a los usuarios, los datos confidenciales, las aplicaciones y la infraestructura en entornos de computación en la nube. Las soluciones de seguridad en la nube más completas abarcan cargas de trabajo, usuarios y recursos SaaS para protegerlos de infracciones de datos, malware y otras amenazas para la seguridad.

cloud-security-the-shared-responsibility-model
Ver

¿Por qué es importante la seguridad en la nube?

Ya que las plantillas, los datos y las aplicaciones en la nube están más diseminados, los modelos de redes heredados (centrados en los trabajadores y los recursos locales) los han vuelto más lentos y menos seguros. Para compensar sus pérdidas en seguridad, productividad y satisfacción del usuario, las organizaciones deben reconsiderar cómo protegen sus entornos.

Hoy en día, en una economía compleja impulsada por la innovación (y ensombrecida por el creciente negocio de la ciberdelincuencia), las organizaciones necesitan la flexibilidad y la escalabilidad de los servicios en la nube, que solo pueden protegerse eficazmente con soluciones de seguridad en la nube que crezcan para satisfacer las necesidades únicas de la misma.

¿Cómo funciona la seguridad en la nube?

Un entorno en la nube es tan seguro como su punto más débil, por lo que una seguridad eficaz en la nube implica que varias tecnologías trabajen juntas para proteger los datos y las aplicaciones desde todos los ángulos. Para ello, suele haber cortafuegos, gestión de identidad y acceso (IAM), segmentación y cifrado.

En lugar de proteger un perímetro, la seguridad en la nube protege los recursos y los datos individualmente. Esto quiere decir que se implementan medidas de seguridad más granulares, como la gestión de la postura de seguridad en la nube (CSPM), la protección y seguridad de datos, la recuperación ante desastres y las herramientas de cumplimiento.

Los entornos en la nube, especialmente las nubes híbridas que combinan nubes públicas con centros de datos privados, pueden tener muchas vulnerabilidades internas y externas. Por eso es fundamental aprovechar los controles de acceso, la autenticación multifactorial, la protección de datos, el cifrado, la gestión de la configuración, etc., para mantenerlos accesibles y seguros.

El 98,6 % de las organizaciones tienen mal configurados sus entornos en la nube, lo que lleva a riesgos importantes para los datos y la infraestructura. Leer más ➔

¿Qué es la informática en la nube?

La computación en la nube (la nube) ahora prevalece en todo el mundo como medio para acceder a los recursos por Internet. Permite a las organización confiar parte de sus datos, aplicaciones e infraestructura a proveedores de nube externos que pueden almacenar, gestionar o proteger esos recursos.

Tipos de servicios en la nube

Las ofertas de SaaS, el almacenamiento y diversos servicios de infraestructura y plataforma están disponibles a través de proveedores de servicios de nube pública como Amazon Web Services (AWS), Microsoft Azure y Google Cloud.

Hay cuatro subtipos de despliegue de infraestructura en la nube:

  • Nube privada: infraestructura exclusiva que utiliza una sola organización propiedad de un tercero o de la propia organización, que es responsable de todos los aspectos de la gestión de la seguridad. Los usuarios habituales suelen ser los gobiernos, las empresas financieras y otras instituciones que tienen que proteger datos especialmente confidenciales.
  • Nube pública: infraestructura propiedad de un tercero y compartida entre varias organizaciones, que también comparte las responsabilidades de seguridad con el proveedor de acuerdo a un modelo de responsabilidad compartida. Los servicios de la nube pública, como Google Workspace y Microsoft 365, son muy utilizados en todo el mundo.
  • Nube híbrida: una combinación de implementación privada y pública en la que una organización utiliza cada una de sus ventajas, como la escalabilidad (nube pública) o los controles más estrictos (nube privada). Los usuarios habituales son los equipos de DevOps y otros equipos que necesitan sistemas flexibles y configurables.
  • Multinube: infraestructura compartida, que generalmente usan organizaciones que necesitan acceder a las mismas aplicaciones y/o tienen los mismos requisitos de segmentación y privacidad (por ejemplo, PCI DSS). Empresas de todas partes del mundo usan entornos multinube para acceder a los servicios de múltiples proveedores.

También hay cuatro modelos principales de servicio en la nube:

  • Software como servicio (SaaS): soluciones completas de software suministradas desde la nube, que pueden ser gratuitas o de pago (por ejemplo, Google Docs)
  • Plataforma como servicio (PaaS): herramientas en la nube que los desarrolladores pueden utilizar para crear, probar e implementar aplicaciones en un entorno escalable.
  • Infraestructura como servicio (IaaS): infraestructura virtualizada, gestionada por un tercero, en la que una organización puede instalar software
  • Función como servicio (FaaS): es similar a PaaS, pero está adaptado a las funciones individuales de las aplicaciones, que se pueden activar o desactivar muy rápido.

Seguridad en la nube: el modelo de responsabilidad compartida

Un modelo de responsabilidad compartida es un marco de riesgo y seguridad en la nube que define qué procesos y responsabilidades de ciberseguridad están ligados a un proveedor de servicios en la nube (CSP) y cuáles al cliente. Ya que cada vez se trasladan más arquitecturas de TI a la nube, un modelo de responsabilidad compartida favorece una seguridad más sólida y determina la responsabilidad, ya que está relacionado con la seguridad de la nube.

Obtenga más información en nuestro artículo dedicado a este tema: ¿Qué es un modelo de responsabilidad compartida?

El 55,1 % de las organizaciones usa más de un proveedor de nube y el 66,7 % tiene depósitos de almacenamiento en la nube pública. Leer más ➔

Ventajas e inconvenientes de la seguridad en la nube

Cuando traslada sus recursos fuera de su red, las defensas de tipo perimetral ya no sirven para nada y le obligan a volver a valorar cómo respaldar de la forma más efectiva la productividad de los usuarios, identificar problemas de seguridad, mitigar vulnerabilidades, bloquear el malware y prevenir la pérdida de datos.

Llegados a este punto, entra en juego la seguridad en la nube, que trae consigo toda una serie de ventajas, aunque no están libres de riesgos potenciales. Echemos un vistazo a los aspectos más destacados:

Ventajas

  • Escalabilidad para satisfacer las necesidades de seguridad que tiene una organización a medida que crece y evoluciona.
  • Aumento de la visibilidad y la seguridad de los recursos en la nube y los dispositivos de punto final únicos.
  • Ahorro de costes gracias a la reducción de los gastos en infraestructura local y los asociados a su mantenimiento.
  • Gestión centralizada para simplificar la supervisión, el control y la aplicación de las políticas de seguridad.
  • Redundancia gracias a los múltiples puntos de presencia para apoyar los esfuerzos de recuperación ante desastres.
  • Actualizaciones automáticas para garantizar una protección rápida frente a las últimas vulnerabilidades.

Inconvenientes

  • Riesgo de configuraciones incorrectas que dejan los datos vulnerables a accesos no autorizados y hackers.
  • Problemas de cumplimiento en cuanto a las regulaciones del gobierno o del sector sobre el tratamiento de los datos.
  • Latencia y problemas de privacidad/soberanía de los datos si el proveedor no tiene puntos de presencia a nivel global.

A simple vista, todas estas desventajas pueden parecer alarmantes, pero con la debida diligencia y el socio adecuado, puede acabar con ellas.

Seguridad en la nube frente a la seguridad de red tradicional

Las pilas de seguridad de red se diseñaron para proteger las redes empresariales, no la nube. No pueden proporcionar la completa ciberseguridad que las actuales aplicaciones SaaS, los servicios de gran ancho de banda y los usuarios móviles necesitan. Para hacerlo sin añadir costes y complejidad, necesita una plataforma de seguridad multiusuario que sea flexible a la hora de escalar. Eso nunca se logrará con una arquitectura de seguridad de red tradicional.

La mejor manera de proteger aplicaciones, cargas de trabajo, datos en la nube y usuarios, independientemente de dónde se encuentren, es trasladando la seguridad y los controles de acceso a la nube.

Ventajas de la seguridad en la nube

Una plataforma de seguridad en la nube completa proporciona:

  • Servicios de seguridad integrados y controles de acceso a la nube que le dan visibilidad de todo el tráfico que pasa por su infraestructura de nube distribuida y local.
  • Información de cada solicitud (por usuario, ubicación, servidor y dispositivo de punto final en todo el mundo) en segundos a través de una sola interfaz.
  • Integraciones API con servicios SD-WAN, agente de seguridad de acceso a la nube (CASB), IAM y protección de puntos finales para fortalecer aún más su postura de seguridad.

Desafíos comunes de la seguridad en la nube

Aunque puede facilitar en gran medida la gestión de la seguridad y mejorar la visibilidad, la seguridad en la nube también conlleva sus desafíos, lo cual enfatiza la importancia de encontrar un socio adecuado.

1. Control de identidad y acceso

Los proveedores de la nube siguen añadiendo más servicios. El número medio de derechos distintos en estos servicios supera ya los 5000. Este volumen de derechos puede ser difícil de gestionar con los enfoques tradicionales de gestión de identidad y acceso (IAM).

2. Registro, supervisión y respuesta a incidentes

Unos registros completos y precisos son la piedra angular de una respuesta a incidentes efectiva. Las soluciones que ya tienen muchas organizaciones no están preparadas para el volumen de datos que la computación en la nube genera y son incapaces de recopilar registros completos con fiabilidad.

3. Almacenamiento y cifrado

Los servicios de colas y notificaciones suelen almacenar información confidencial antes de procesarla y aplicar las medidas de seguridad adecuadas. A menudo se pasa por alto lo delicado de esta cuestión: muchos servicios carecen de cifrado en el lado del servidor.

4. Ransomware en la nube

Los entornos en la nube siguen siendo vulnerables a los ciberataques. Normalmente, los atacantes se infiltran en los entornos aprovechándose de las configuraciones erróneas o las malas prácticas de seguridad, como el acceso con exceso de permisos, los controles de política insuficientes o las contraseñas débiles.

5. Ataques a la cadena de suministro en la nube

Compartir los datos y el acceso con terceros, como proveedores y contratistas, abre la puerta a un mayor riesgo de que los entornos en la nube sufran ataques a la cadena de suministro. Por esta razón, supervisar y gestionar el acceso de terceros es una prioridad vital para los equipos de seguridad.

El 68 % de las organizaciones tiene usuarios externos (de fuera de la organización, por delegación de funciones o usuarios invitados) con permisos de administrador en el entorno de nube. Leer más ➔

Por qué la nube ofrece mejor protección que los dispositivos

Proteger a los usuarios con políticas uniformes y aplicables requiere más que un filtrado de URL o web. Por eso, miles de organizaciones ya han transformado su seguridad de TI y han pasado de dispositivos a servicios de nube seguros. Veamos algunas de las principales diferencias.

Protección para toda la empresa

La seguridad basada en dispositivos requiere pilas de seguridad en todos los puntos de salida o el reenvío del tráfico a través de costosos enlaces MPLS desde las sucursales y sitios remotos. Los usuarios móviles están desprotegidos.

La seguridad basada en la nube hace que los usuarios tengan la misma protección en la sede central, las sucursales, de viaje o en casa.

Seguridad integrada

Con la seguridad basada en dispositivos, los dispositivos de distintos proveedores suelen funcionar de forma aislada y no hay una manera sencilla de incorporar sus datos para comprender los problemas de seguridad.

Con la seguridad basada en la nube, los controles de seguridad integrados y los servicios en la nube analizan la información para ofrecerle una imagen completa de toda su red.

Experiencia de usuario

Con la seguridad basada en dispositivos, cada dispositivo entre sus usuarios e Internet causa latencia. Si los usuarios tienen que utilizar la VPN para acceder al centro de datos, su experiencia es aún peor.

La seguridad basada en la nube con Zscaler proporciona rápidas salidas locales, y nuestra tecnología de análisis único multiacción permite a nuestros servicios de seguridad realizar análisis simultáneamente para garantizar un rendimiento más rápido.

Complejidad de TI

Con la seguridad basada en dispositivos, tener dispositivos de varios proveedores es caro y difícil, ya que requieren parches y actualizaciones continuamente.

La seguridad en la nube consolida los productos puntuales en una plataforma integrada; no es necesario comprar ni administrar hardware ni software.

Inteligencia

Con la seguridad basada en dispositivos, los productos puntuales suelen usar una única técnica para identificar las amenazas y transferir los datos al siguiente dispositivo, y se aplican los parches cuando están disponibles.

La seguridad basada en la nube de Zscaler integra la inteligencia de innumerables fuentes, por lo que cuando se detecta una amenaza en cualquier parte de la nube, se aplica la protección en todas partes.

Valor

La seguridad basada en dispositivos es cara y, a medida que aumentan las amenazas, se verá forzado a comprar más dispositivos y a reemplazar los antiguos.

La seguridad basada en la nube de Zscaler traslada la seguridad de CapEx a OpEx por el precio aproximado de una taza de café por usuario al mes.

Los 4 pilares de la seguridad en la nube

El objetivo de la seguridad en la nube es proteger más que solo el perímetro, llevando la seguridad hasta los propios datos. Algunas de las medidas más comunes incluyen:

  • Gestión de identidades y accesos (IAM) para ayudar a proporcionar acceso a los recursos en entornos de nube. IAM también le ayuda a evitar el acceso no autorizado a los datos, las aplicaciones y la infraestructura compartida en las nubes.
  • Prevención de la pérdida de datos (DLP) para supervisar e inspeccionar los datos con el fin de evitar la exfiltración. La DLP es un elemento esencial de la seguridad de la informática en la nube que un modelo de seguridad tradicional no puede llevar a cabo eficazmente.
  • Cifrado de datos para codificar datos de modo que los atacantes no puedan interpretarlos sin descifrarlos. El cifrado también ayuda a establecer confianza y preservar el anonimato, y es requerido por varias regulaciones de privacidad en todo el mundo.
  • Información de seguridad y gestión de eventos (SIEM) para analizar los registros de seguridad en tiempo real, dando a su equipo de seguridad una mayor visibilidad sobre su ecosistema de nube.

 

Estas son las tecnologías de seguridad principales, pero ya que los actores de amenazas actuales son cada vez más perspicaces y los requisitos de cumplimiento siguen aumentando, la seguridad en la nube ha tenido que evolucionar para estar a la altura.

¿Cómo está evolucionando la seguridad en la nube?

El panorama global tecnológico está evolucionando y con él la seguridad en la nube. En los últimos años, dos de los conceptos más importantes han sido el perímetro de servicio de seguridad (SSE) y la confianza cero.

SSE da respuesta a los desafíos fundamentales del trabajo remoto, la nube, la informática de borde segura y la transformación digital, y proporciona un acceso seguro a Internet, SaaS y aplicaciones en la nube, además de a las aplicaciones privadas de su organización.

Más información sobre SSE.

La confianza cero, un componente clave de SSE, también está experimentando una rápida adopción. Sobre la base de la idea de que ningún usuario o entidad debe ser inherentemente fiable, un enfoque de confianza cero otorga acceso a datos y aplicaciones basándose en un determinado contexto (identidad, contenido, ubicación, dispositivo, etc.) mientras brinda experiencias de usuario mejoradas.

Más información sobre la confianza cero.

 

¿Cómo está evolucionando la seguridad en la nube?

¿Por qué debería adoptar la confianza cero?

Los beneficios de la nube dejan cada día más atrás a la tecnología local. Proteger los entornos en la nube significa invertir en tecnologías que evitarán las infracciones de datos y, al mismo tiempo, ayudarán a los usuarios a mantenerse satisfechos y productivos. Hoy en día, la confianza cero es el único paradigma de seguridad que puede ofrecer eso.

Según Cybersecurity Insiders, el 72 % de las organizaciones priorizan la adopción de la confianza cero. Entienden que las herramientas de seguridad arcaicas y aisladas simplemente no tienen la capacidad o la escalabilidad para proteger todos sus recursos en la nube, independientemente del lugar desde el que se acceda a ellos.

Cuando evalúe las ofertas de confianza cero, recuerde que cualquier vendedor puede afirmar que la proporciona. Muchos proveedores incorporan una plataforma de nube a un dispositivo de red heredado y lo declaran "listo para la nube". Necesita un socio con una solución de confianza cero que sea nativa de la nube: construida en la nube para la nube.

Cómo puede ayudar Zscaler

Zscaler protege su entorno de nube con una arquitectura de confianza cero nativa de la nube a través de Zscaler Private Access™ (ZPA™), parte de la plataforma Zscaler Zero Trust Exchange™. Como la plataforma ZTNA más implementada del mundo, ZPA aplica el principio de privilegios mínimos para dar a los usuarios una conectividad segura y directa a las aplicaciones privadas, al tiempo que elimina el acceso no autorizado y el movimiento lateral.

ZPA le ofrece:

  • Seguridad sin igual, que va más allá de las VPN y cortafuegos heredados: los usuarios se conectan directamente a las aplicaciones, no a la red, lo que minimiza la superficie de ataque y elimina el movimiento lateral.
  • Acabar con el compromiso en las aplicaciones privadas: la protección de aplicaciones con prevención en línea, engaño y aislamiento de amenazas minimiza el riesgo de usuarios comprometidos.
  • Productividad superior para la fuerza de trabajo híbrida de la actualidad: el acceso ultrarrápido a las aplicaciones privadas se extiende sin problemas a los usuarios remotos, la sede central, las sucursales y los terceros.
  • Plataforma ZTNA unificada para usuarios, cargas de trabajo y OT/IoT: conéctese de forma segura a las aplicaciones privadas, los servicios y los dispositivos OT/IoT.

Zscaler for Workloads proporciona una protección integral para las cargas de trabajo en entornos multinube, incluidos los centros de datos locales. Zscaler Posture Control asegura sus aplicaciones nativas en la nube en el proceso de creación, implementación y ejecución con:

Además, Zscaler Workload Communications (ZWC) protege todo su tráfico de la carga de trabajo en la nube (de norte a sur y de este a oeste) para prevenir que el malware se extienda por toda su infraestructura en la nube. Al ser una solución unificada que proporciona orquestación en los principales proveedores de nube, ofrece tanto una seguridad uniforme como unas operaciones simplificadas.

Descubra los riesgos esenciales en todo su entorno de nube pública con nuestra evaluación gratuita de riesgos de seguridad en la nube. Obtendrá:

  • Un inventario de activos en la nube completo
  • Una idea clara de los riesgos de seguridad de la nube pública
  • Una visión general de su postura de cumplimiento
  • Guía para una remediación accionable

Recursos sugeridos

FAQs

¿Cuáles son los principales riesgos de seguridad en la nube?

Entre los principales riesgos de seguridad en la nube se incluyen las infracciones de datos y los accesos no autorizados, las configuraciones incorrectas que dejan expuestos los datos, los controles IAM inadecuados, los desafíos en materia de cumplimiento de la regulación y las interrupciones del servicio potenciales. Otros riesgos son las vulnerabilidades de infraestructura compartidas, las amenazas internas y la dependencia de proveedores de servicios de nube de terceros para las medidas de seguridad.

¿Qué diferencia hay entre la seguridad en la nube y la ciberseguridad?

La seguridad en la nube es una subcategoría de ciberseguridad que se centra específicamente en proteger los datos y las aplicaciones que están en los servidores remotos en lugar de en los servidores locales y privados de una organización. Incluye medidas para proteger los espacios virtuales, controlar el acceso y evitar las filtraciones en los entornos en la nube. Las medidas de ciberseguridad generales se crean para proteger una o todas las cargas de trabajo digitales, estén o no en la nube, frente a las amenazas en línea como los virus, la piratería y el robo de identidad.

¿Un ejemplo de seguridad en la nube?

La seguridad en la nube trata de proteger activos digitales almacenados en la nube. Una empresa podría usar controles de acceso estrictos (similares funcionalmente a pedir la tarjeta de identificación) para garantizar un acceso en función de la necesidad a la información sensible. La misma empresa podría también cifrar sus datos para que solo quienes tengan la contraseña puedan verlos. Al combinar esto con otras medidas y con auditorías de seguridad regulares, una organización puede crear un entorno controlado y seguro para sus datos en la nube.

¿Qué proceso se sigue para asegurar los datos en la nube?

Aunque el proceso es muy distinto según la organización, la mayoría comienza por proteger los datos en la nube identificándolos y clasificándolos para determinar sus necesidades. Luego, deberían implementar fuertes controles de acceso, autenticación y cifrado para proteger los datos en tránsito y en reposo. Las auditorías y pruebas de vulnerabilidad habituales pueden identificar puntos débiles y las soluciones integrales de supervisión y registro pueden ayudar a encontrar y a lidiar con los comportamientos anómalos.