Seguridad en la nube: accesos, copias, registros, responsabilidad
La seguridad en la nube se apoya en cuatro bases: acceso, copias, registros y responsabilidad compartida. Qué es suyo y qué corresponde al proveedor.
Equipo de rabbitclipPublicación: 6 min. de lectura
En breve
La seguridad en la nube consiste en proteger sus datos y sistemas sobre la infraestructura de un proveedor haciendo cuatro cosas a la vez: limitar quién puede llegar a qué, mantener una copia de seguridad separada de sus datos, registrar lo que ocurre y saber qué parte de la seguridad corresponde al proveedor y cuál a usted. El proveedor protege la infraestructura física; proteger las cuentas, los permisos y los ajustes es tarea suya. La mayoría de las fugas de datos en la nube no nacen de ataques sofisticados, sino de un ajuste dejado abierto o de una contraseña débil.
Por eso la seguridad en la nube tiene menos que ver con comprar una herramienta cara que con aplicar con disciplina unos pocos hábitos básicos. A continuación exponemos las preguntas que un propietario o directivo debería hacerse, sin entrar en detalles técnicos.
¿En qué consiste la seguridad en la nube?
Bastan cuatro epígrafes para pensar. El acceso es quién puede entrar en qué recurso. La copia de seguridad es poder volver atrás cuando algo se pierde. El registro es poder ver después lo que ocurrió. La responsabilidad es saber quién sostiene cada uno de los otros tres puntos.
Los cuatro están enlazados. Si el acceso es débil, hasta la copia de seguridad puede borrarse; si no hay registro, nunca queda claro cuándo ni cómo empezó un problema. Descuidar uno rebaja el valor de los demás.
- Acceso: las cuentas, los permisos y el método de verificación.
- Copia de seguridad: copias guardadas en otro lugar, cuya restauración se ha probado.
- Registro: huellas que muestran quién hizo qué y cuándo.
- Responsabilidad: qué capa pertenece al proveedor y cuál a usted.
¿Qué significa la responsabilidad compartida en la nube?
El proveedor protege la seguridad física del centro de datos, el hardware y la capa de virtualización. Usted protege sus cuentas, los permisos de los usuarios, las actualizaciones de software, las reglas de red y los propios datos. Proveedores como AWS, Google Cloud y Azure describen esta línea cada uno en su propia documentación, y vale la pena leerla.
Dónde cae la línea depende del tipo de servicio que usted utilice. En una base de datos gestionada, el proveedor aplica las actualizaciones; en un servidor virtual que usted montó, actualizar le corresponde a usted. Anotar por escrito, desde el principio, qué se queda con usted en cada servicio evita discusiones más adelante.
¿Cómo se protege el acceso?
La base del control de acceso es el principio del mínimo privilegio: cada persona recibe solo el permiso que el trabajo necesita. Un contable no tiene por qué cambiar los ajustes de un servidor. Cuando los permisos se conceden de forma amplia, una sola contraseña robada abre todo el sistema.
La segunda base es la verificación en dos pasos. Cuando una contraseña se filtra o se adivina, el segundo paso sigue protegiendo la cuenta. Para las cuentas de administrador debería ser obligatoria. También conviene abandonar las contraseñas compartidas, porque nadie puede saber quién hizo qué y cuándo, y porque, cuando un empleado se va, cambiar la contraseña afecta a todos.
La tercera base es una revisión periódica de los accesos. La cuenta de alguien que se ha ido, una cuenta temporal que nadie usa o una antigua conexión de servicio siguen siendo un riesgo mientras permanezcan abiertas. Para un grupo de spas, cerrar las cuentas del personal de temporada cuando termina la temporada es una rutina sencilla pero eficaz.
- Dar a cada persona solo el permiso que necesita.
- Hacer obligatoria la verificación en dos pasos en las cuentas de administrador.
- Usar cuentas personales en lugar de contraseñas compartidas.
- Cerrar con regularidad las cuentas de quienes se han ido y las que no se usan.
¿Por qué hay que pensar por separado las copias de seguridad y los registros?
Una copia de seguridad le permite volver atrás cuando algo se borra o se daña. Una copia fiable se guarda aparte del lugar donde viven los datos originales, y su restauración se ha probado de verdad; una copia no probada es solo la suposición de que funcionará. Una función de copiado que ofrezca el proveedor no sustituye una estrategia de copia de seguridad propia.
Los registros le permiten entender lo que ocurrió cuando hay problemas. Huellas como quién inició sesión y cuándo, o qué ajuste se cambió, permiten encontrar el origen de un problema. En un sistema que no guarda registros, incluso un problema resuelto deja su causa desconocida y el mismo fallo vuelve. Puede existir una obligación legal sobre cuánto tiempo deben conservarse los registros; para eso debe consultar a un jurista.
¿Cuándo no hacen falta todas las capas de seguridad?
La seguridad debe ser proporcional al riesgo. Para un pequeño sitio de presentación que no guarda datos sensibles de clientes, una segmentación de red complicada o herramientas de vigilancia costosas suelen ser innecesarias; bastan el control de acceso básico, las copias de seguridad y las actualizaciones. Más capas de las necesarias producen una complejidad que nadie puede gestionar.
En cambio, en un sistema que guarda datos de pago, datos de salud o datos personales, estas bases no bastan; entran en juego otras medidas y exigencias legales. Para saber de qué lado está usted, basta preguntarse qué tipo de datos guarda el sistema y qué ocurriría si se filtraran.
¿Qué errores son frecuentes en la seguridad en la nube?
El error más habitual es suponer que el proveedor lo protege todo. Un espacio de almacenamiento dejado abierto al público por accidente es el resultado más conocido de esa suposición. El segundo error es guardar una copia de seguridad en un solo lugar y no probarla nunca.
El tercer error es conceder permisos de forma amplia por comodidad. Ahorra tiempo al principio, pero el precio es alto cuando se toma el control de una cuenta. El cuarto es tratar la seguridad como una tarea puntual; a medida que cambian los ajustes, el personal y los servicios, la seguridad hay que volver a revisarla.
- Suponer que el proveedor lo protege todo.
- Dejar por accidente espacios de almacenamiento abiertos al público.
- Guardar la copia de seguridad en un solo lugar y no probarla nunca.
- Conceder permisos amplios por comodidad.
- Tratar la seguridad como una tarea puntual.
La seguridad en la nube se apoya en cuatro bases: limitar el acceso, mantener una copia de seguridad separada y probada, registrar lo que ocurre y saber qué parte de la responsabilidad es suya. Nada de esto necesita una herramienta cara; necesita disciplina. Si desea revisar hasta qué punto su organización actual cumple estas bases, puede concertar una conversación de descubrimiento con rabbitclip.
Preguntas frecuentes
¿Es la nube más segura que mi propio servidor?
En seguridad física y mantenimiento del hardware, a menudo sí. Pero las cuentas, los permisos y los ajustes quedan en sus manos; si los descuida, la nube no será más segura.
¿No hace copias de seguridad el proveedor?
Los proveedores ofrecen funciones de copiado, pero estas no sustituyen una estrategia de copia de seguridad propia. Debería comprobar usted mismo dónde se guarda la copia y si se ha probado restaurar a partir de ella.
¿Es realmente necesaria la verificación en dos pasos?
Para las cuentas de administrador, sí. Aunque una contraseña se filtre o se adivine, el segundo paso protege la cuenta y cierra la vía de ataque más habitual.
¿Es adecuado usar la nube para datos personales?
Puede serlo, pero la ley de protección de datos le impone obligaciones. Debería consultar a un jurista sobre dónde se almacenarán los datos y cómo se protegerán.
