¿Qué es la seguridad en la nube? La seguridad en la nube es una familia de políticas, procedimientos, herramientas y tecnologías de seguridad diseñadas para proteger a los usuarios, los datos confidenciales, las aplicaciones y la infraestructura en entornos de computación en la nube. Las soluciones de seguridad en la nube más completas abarcan cargas de trabajo, usuarios y recursos SaaS en la nube para protegerlos de infracciones de datos, malware y otras amenazas para la seguridad.

¿Por qué es importante la seguridad en la nube?

La llegada del trabajo remoto y la adopción de la nube han acelerado la transformación digital. Sin embargo a medida que el personal, los datos y las aplicaciones han pasado a modelos más distribuidos, los modelos de redes heredados, construidos en torno a trabajadores y recursos locales, se han vuelto más lentos y menos seguros. Para compensar la reducción de la seguridad, la productividad y la satisfacción del usuario, las organizaciones deben reconsiderar cómo protegen sus entornos.

Irónicamente, muchas organizaciones citan las preocupaciones de seguridad como un motivo principal para no trasladarse a la nube. Pero hoy en día, en una economía compleja impulsada por la innovación (y ensombrecida por el creciente negocio de la ciberdelincuencia), las organizaciones necesitan la flexibilidad y la escalabilidad de los servicios en la nube, que solo pueden protegerse eficazmente con soluciones de seguridad en la nube que crezcan para satisfacer las necesidades únicas de la misma.

¿Cómo funciona la seguridad en la nube?

Un entorno en la nube es tan seguro como su punto más débil, por lo que una seguridad eficaz en la nube implica que varias tecnologías trabajen juntas para proteger los datos y las aplicaciones desde todos los ángulos. Esto a menudo incluye cortafuegos, gestión de identidad y acceso (IAM), segmentación y cifrado, aunque las necesidades de seguridad pueden variar según el tipo de implementación en la nube.

En lugar de proteger un perímetro, la seguridad en la nube protege los recursos y los datos individualmente. Esto significa aplicar medidas de seguridad más granulares y específicas, como la gestión de la postura de seguridad en la nube (CSPM), la protección de datos, la seguridad de los datos y la recuperación de desastres, así como un conjunto de herramientas para cumplir los requisitos de conformidad.

Los entornos en la nube, especialmente las nubes híbridas que combinan nubes públicas con centros de datos privados remotos o locales, pueden tener muchas vulnerabilidades internas y externas. Por eso es fundamental aprovechar los controles de acceso, la autenticación multifactorial, la protección de datos, el cifrado, la gestión de la configuración, etc., para mantenerlos accesibles y seguros.

¿Qué es la informática en la nube?

La informática en la nube, conocida más a menudo simplemente como "la nube", es cada vez más el sistema preferido en todo el mundo para acceder a aplicaciones, datos, sistemas, etc. a través de Internet, en lugar de solo en hardware o redes locales. Permite a las organizaciones confiar parte de sus datos, aplicaciones e infraestructura a terceros, que gestionan y protegen esos recursos en diferentes grados según el servicio.
 

Tipos de servicios en la nube

Las ofertas de SaaS, el almacenamiento en la nube y diversos servicios de infraestructura y plataforma están disponibles a través de proveedores de servicios de nube pública como Amazon Web Services (AWS), Microsoft Azure y Google Cloud.

Algunas organizaciones, como agencias gubernamentales y empresas financieras, adoptan nubes privadas para proteger mejor los recursos confidenciales. En total, hay cuatro subtipos de implementación de infraestructura en la nube, así como cuatro modelos principales de servicio.

Los cuatro subtipos de implementación en la nube son:

• Nube privada: infraestructura exclusiva que utiliza una sola organización propiedad de un tercero o de la propia organización, que es responsable de todos los aspectos de la gestión de la seguridad.
• Nube pública: infraestructura propiedad de un tercero y compartida entre varias organizaciones, que también comparte las responsabilidades de seguridad con el proveedor de acuerdo a un modelo de responsabilidad compartida.
• Nube híbrida: una combinación de implementación privada y pública en la que una organización utiliza cada una de sus ventajas, como la escalabilidad (nube pública) o los controles más estrictos (nube privada).
• Multinube: infraestructura compartida, generalmente entre organizaciones que necesitan acceder a las mismas aplicaciones y/o tienen los mismos requisitos de segmentación y privacidad (por ejemplo, PCI DSS).

Los cuatro modelos de servicios en la nube son:

• Software como servicio (SaaS): soluciones completas de software suministradas desde la nube, que pueden ser gratuitas o de pago (por ejemplo, Google Docs)
• Plataforma como servicio (PaaS): herramientas en la nube que los desarrolladores pueden utilizar para crear, probar e implementar aplicaciones en un entorno escalable.
• Infraestructura como servicio (IaaS): infraestructura virtualizada, gestionada por un tercero, en la que una organización puede instalar software
• Funciones como servicio (FaaS): similares a las PaaS, pero adecuadas para funciones individuales de aplicaciones, que pueden acelerarse o reducirse muy rápidamente (FaaS también se llama informática sin servidor)

Riesgos de seguridad de la informática en la nube

La nube le ayuda a construir, implementar, usar y mantener los recursos de manera flexible. Debido a que su organización no es responsable del hardware, puede usar tanto volumen de nube como necesite sin invertir en más dispositivos para gestionar la escala.

Sin embargo, cuando traslada los recursos fuera de la red, las defensas de tipo perimetral dejan de funcionar, lo que le obliga a reevaluar cómo y dónde trabajan sus empleados, así como la forma más eficaz de identificar los problemas de seguridad, mitigar las vulnerabilidades, bloquear el malware y evitar la pérdida de datos.

Ventajas e inconvenientes de la seguridad en la nube

Examinemos cómo la seguridad en la nube beneficia a una organización y las posibles formas en que puede aumentar el riesgo en la nube.

Ventajas

• Visibilidad mejorada sobre los recursos en la nube
• Seguridad que se adapta a las necesidades del cliente
• Mejor protección de los datos en la nube y de los puntos finales únicos

Inconvenientes

• El amenazador riesgo de desconfiguración
• Posible mala estrategia de asociación/despliegue
• Acceso no autorizado a los recursos, lo que aumenta la superficie de ataque

La lista de inconvenientes anterior puede parecer un poco intimidatoria, pero con la debida diligencia y una cuidadosa selección de socios, estos inconvenientes pueden eliminarse. Las ventajas resultantes valen la pena.

Seguridad en la nube frente a la seguridad de red tradicional

Las pilas de seguridad de red se diseñaron para proteger las redes empresariales, no la nube. No pueden brindar la seguridad cibernética y la protección de datos en la nube integral que necesitan las aplicaciones basadas en la nube y los usuarios móviles actuales. Para apoyar a las aplicaciones SaaS críticas para la empresa (por ejemplo, Microsoft 365) y gestionar otros servicios que consumen mucho ancho de banda, así como más tráfico de red sin costes ni complejidad añadidos, necesita una plataforma de seguridad multiusuario que se amplíe de forma elástica. Nunca lo logrará con una arquitectura de seguridad de red tradicional.

La mejor manera de proteger aplicaciones, cargas de trabajo, datos en la nube y usuarios, independientemente de dónde se conecten, es trasladando la seguridad y los controles de acceso a la nube. La seguridad basada en la nube siempre está actualizada, y puede proteger sus datos y usuarios contra el ransomware más reciente y otras amenazas sofisticadas.

Ventajas de la seguridad en la nube

Una plataforma integral de seguridad en la nube construye servicios de seguridad y controles de acceso a la nube que le dan visibilidad de todo el tráfico que se mueve a través de sus redes distribuidas (nube y local). A través de una interfaz, puede obtener información sobre cada solicitud (por usuario, ubicación, servidor y dispositivo final en todo el mundo) en cuestión de segundos. Las integraciones de API con otros proveedores de servicios en la nube, como aquellos que ofrecen SD-WAN, agente de seguridad de acceso a la nube (CASB), IAM y servicios de protección de puntos finales, fortalecen aún más su postura de seguridad.

Desafíos comunes de la seguridad en la nube

Nada que valga la pena es fácil y lo mismo puede decirse de la seguridad en la nube. A pesar de su potencial para facilitar la gestión de la seguridad y aumentar la visibilidad, incorpora unos desafíos que es necesario mitigar. Vamos a analizar algunos de estos desafíos en detalle.

Control de identidad y acceso

Los proveedores de la nube siguen añadiendo más servicios. El número medio de derechos distintos en estos servicios supera ya los 5000. Este volumen de derechos puede ser difícil de gestionar con los enfoques tradicionales de gestión de identidad y acceso (IAM).

Registro, supervisión y respuesta a incidentes

Los registros completos y precisos son la piedra angular de una respuesta adecuada a los incidentes. Lo que les sucede a muchas empresas es que sus cuentas de instalación están mal equipadas para este fin y no pueden registrarlo todo suficientemente.

Almacenamiento y cifrado

Los servicios de colas y notificaciones suelen almacenar información confidencial antes de procesarla y aplicar las medidas de seguridad adecuadas. A menudo se pasa por alto lo delicado de esta cuestión: muchos servicios carecen de cifrado en el lado del servidor.

Ransomware en la nube

Los entornos en la nube no son inmunes a los ataques de malware y ransomware. Las formas más comunes en que los atacantes se infiltran en las empresas son aprovechando un paso en falso o una desconfiguración, como un activo mal configurado, aprovechando contraseñas débiles o explotando controles de políticas insuficientes.

Ataques a la cadena de suministro en la nube

Los entornos en la nube corren un mayor riesgo de sufrir un ataque a la cadena de suministro e incluso pueden conllevar riesgos de cumplimiento. Los equipos de seguridad deben centrarse en minimizar el riesgo de terceros en un entorno de nube, ya que puede dar pie a un ataque a la cadena de suministro.

Por qué la nube ofrece mejor protección que los dispositivos

Proteger a los usuarios con políticas coherentes y ejecutables requiere mucho más que un simple filtrado de URL o de la web. Por ello, miles de organizaciones ya han trasladado su seguridad de TI de los dispositivos a controles de seguridad en la nube. Estas son algunas de las diferencias entre la seguridad basada en dispositivos y un enfoque en la nube.

Protección para toda la empresa

La seguridad basada en dispositivos requiere pilas de seguridad en todos los puntos de salida o el reenvío del tráfico a través de costosos enlaces MPLS desde las sucursales y sitios remotos a las DMZ. Los usuarios móviles están desprotegidos.

Con la seguridad basada en la nube, los usuarios obtienen la misma protección, tanto si se encuentran en la oficina central, sucursales, viajando o en casa.

Seguridad integrada

Con la seguridad basada en dispositivos, los dispositivos de puntos de diferentes proveedores funcionan de forma aislada, por lo que no hay una forma sencilla de agregar sus datos.

Con la seguridad basada en la nube, los controles de seguridad integrados y los servicios en la nube analizan la información para ofrecerle una imagen completa de toda su red.

Experiencia de usuario

Con la seguridad basada en dispositivos, cada dispositivo entre sus usuarios e Internet causa latencia. Si los usuarios tienen que utilizar la VPN para acceder al centro de datos, su experiencia es aún peor.

La seguridad basada en la nube con Zscaler proporciona rápidas salidas locales, y nuestra tecnología de análisis único multiacción permite a nuestros servicios de seguridad analizar simultáneamente para un rendimiento más rápido.

Complejidad de TI

Con la seguridad basada en dispositivos, la implementación y el mantenimiento de dispositivos de múltiples proveedores de seguridad es caro y difícil, ya que requiere continuas revisiones, actualizaciones y mejoras de hardware.

La seguridad en la nube consolida los productos puntuales en una plataforma integrada; no es necesario comprar ni administrar hardware ni software.

Inteligencia

Con la seguridad basada en dispositivos, los productos puntuales generalmente aplican una única técnica para identificar amenazas y pasar los datos al siguiente dispositivo. Las revisiones se aplican a medida que estén disponibles.

La seguridad basada en la nube aporta inteligencia de una variedad de fuentes, lo que significa que cada vez que se detecta una amenaza en cualquier lugar de la nube, la protección se implementa en todas partes. Zscaler aplica más que actualizaciones de seguridad a su nube todos los días.

Valor

La seguridad basada en dispositivos es cara de comprar y poseer, y a medida que aumentan las amenazas, se ve obligado a comprar más dispositivos.

La seguridad basada en la nube de Zscaler traslada la seguridad de CapEx a OpEx por el precio aproximado de una taza de café por usuario al mes.

Los 4 pilares de la seguridad en la nube

El objetivo de la seguridad en la nube es proteger más que solo el perímetro, llevando la seguridad hasta los propios datos. Algunas de las medidas más comunes incluyen:

• Gestión de identidades y accesos (IAM) para ayudar a proporcionar acceso a los recursos en entornos de nube. IAM también le ayuda a evitar el acceso no autorizado a los datos, las aplicaciones y la infraestructura compartida en las nubes.
• Prevención de la pérdida de datos (DLP) para supervisar e inspeccionar los datos con el fin de evitar la exfiltración. La DLP es un elemento esencial de la seguridad de la informática en la nube que un modelo de seguridad tradicional no puede llevar a cabo eficazmente.
• Cifrado de datos para codificar datos de modo que los atacantes no puedan interpretarlos sin descifrarlos. El cifrado también ayuda a establecer confianza y preservar el anonimato, y es requerido por varias regulaciones de privacidad en todo el mundo.
• Información de seguridad y gestión de eventos (SIEM) para analizar los registros de seguridad en tiempo real, dando a su equipo de seguridad una mayor visibilidad sobre su ecosistema de nube.

Estas fueron las técnicas clásicas para proteger la nube a medida que se generalizaba. Pero los autores de amenazas ahora son mucho más inteligentes, y los requisitos de cumplimiento exigen más seguridad y protección de datos que antes. La seguridad en la nube ha tenido que evolucionar para estar a la altura.

¿Cómo está evolucionando la seguridad en la nube?

La nube ha cambiado el panorama tecnológico mundial, y la seguridad en la nube está cambiando con ella. Más recientemente, esta circunstancia se ha evidenciado en la narrativa sobre el perímetro del servicio de seguridad (SSE) y la confianza cero.

Como tendencia creciente del sector, SSE resuelve los retos fundamentales relacionados con el trabajo remoto, la nube, la informática de perímetro seguro y la transformación digital, proporcionando acceso seguro a Internet, a las aplicaciones SaaS y en la nube, y a las aplicaciones privadas de su organización.

Más información sobre SSE.

La confianza cero, un componente clave de la SSE, también está experimentando una rápida adopción. Sobre la base de la idea de que ningún usuario o entidad debe ser inherentemente fiable, un enfoque de confianza cero otorga acceso a datos y aplicaciones basados en un determinado contexto —identidad, contenido, ubicación, dispositivo, etc.— mientras brinda experiencias de usuario mejoradas.

Más información sobre la confianza cero.

¿Por qué debería adoptar la confianza cero?

Los puntos finales, los recursos y los datos están en todas partes, y las ventajas de la nube están superando rápidamente la dependencia de la tecnología local. Proteger los entornos en la nube significa invertir en tecnologías que evitarán las infracciones de datos y, al mismo tiempo, ayudarán a los usuarios a mantenerse satisfechos y productivos. Hoy en día, la confianza cero es el único paradigma de seguridad que puede ofrecer eso.

Según Cybersecurity Insiders, el 72 % de las organizaciones priorizan la adopción de la confianza cero. Entienden que las herramientas de seguridad arcaicas y aisladas simplemente no tienen la capacidad o la escalabilidad para proteger todos sus recursos en la nube, independientemente del lugar desde el que se acceda a ellos.

Al evaluar las ofertas de confianza cero, tenga en cuenta esto: cualquier proveedor puede decir que ofrece confianza cero. Muchos proveedores incorporan una plataforma de nube a un dispositivo de red heredado y lo declaran "listo para la nube". Necesita un socio con una solución de confianza cero que se haya construido en la nube, para la nube.

Cómo puede ayudar Zscaler

Zscaler elimina los quebraderos de cabeza de la gestión de la seguridad de las cargas de trabajo en la nube. Parte de Zero Trust Exchange™, Zscaler Cloud Protection combina cuatro soluciones de protección de datos integradas de forma nativa, lo que le permite a su organización:

• Proteger configuraciones y permisos de carga de trabajo segura con Zscaler Workload Posture
• Proteger el acceso de los usuarios a aplicaciones privadas en la nube con Zscaler Private Access
• Proteger conexiones de aplicación a aplicación con Zscaler Workload Communications
• Eliminar el movimiento de amenazas lateral con la segmentación de carga de trabajo de Zscaler

Al trabajar en conjunto, estas soluciones pueden ayudarle a eliminar hasta el 90 % de sus políticas de seguridad y a reducir sus costes en un 30 % o más. En última instancia, minimizará su superficie de ataque, simplificará su estrategia de seguridad con automatización y reducirá drásticamente su riesgo de seguridad.

Zscaler Cloud Protection

Zscaler Cloud Protection asegura las cargas de trabajo en la nube sin introducir complejidad operativa. Con una innovadora arquitectura de confianza cero, soluciona automáticamente las brechas de seguridad y las configuraciones erróneas, minimiza la superficie de ataque, protege las comunicaciones de usuario a aplicación y de aplicación a aplicación y elimina el movimiento lateral de amenazas, lo que en última instancia reduce el riesgo empresarial. Visite la página de Zscaler Cloud Protection para obtener más información.