¿Qué es la seguridad multinube?
La seguridad multinube protege el almacenamiento de datos de la organización y los activos informáticos en todas partes, a través de múltiples servicios en la nube, incluyendo las infraestructuras locales que interoperan con los componentes nativos de la nube.
A medida que las organizaciones adoptan cada vez más los servicios en la nube, el uso de múltiples proveedores se ha convertido en una estrategia preferida, que ofrece más opciones, mayor flexibilidad y resistencia. Sin embargo, la multiplicidad de nubes conlleva una mayor complejidad a la hora de garantizar la aplicación y el cumplimiento de prácticas de seguridad coherentes. La automatización de la protección y el cumplimiento de las claves criptográficas, los datos y las cargas de trabajo, independientemente de dónde residan estos elementos, es cada vez más importante.
¿Cuáles son los principales retos?
A medida que las organizaciones adoptan cada vez más un modelo híbrido multinube para gestionar sus negocios, se enfrentan al reto de proteger las cargas de trabajo para garantizar el cumplimiento de las crecientes normativas de seguridad y protección de datos del gobierno y la industria . Proteger el creciente volumen de cargas de trabajo en las instalaciones y en la nube es esencial para el cumplimiento de la normativa y para mantener la competitividad. Establecer y aplicar políticas de seguridad coherentes en las máquinas virtuales, los contenedores y Kubernetes también es fundamental para el éxito, ya que las metodologías de integración continua/desarrollo continuo (CI/CD) con equipos de desarrollo de software DevOps y DevSecOps se convierten en la norma.
Las organizaciones que adoptan servicios en la nube deben entender que, mientras que los proveedores de servicios en la nube mantienen la responsabilidad de la seguridad de la infraestructura que ponen a disposición y la fiabilidad y el acuerdo de nivel de servicio, a menudo denominado "seguridad de la nube", no son responsables de la seguridad de los datos que los clientes de la nube almacenan y procesan en su infraestructura, a menudo denominada "seguridad en la nube". El modelo de responsabilidad compartida hace recaer la responsabilidad de la protección de los datos, de las claves criptográficas que los protegen y de los controles de acceso en el propietario de los datos.
Cómo asegurar las implantaciones multinube
Una estrategia eficaz de seguridad multinube (que incluya componentes locales) debe ser unificada y coherente y ofrecer visibilidad y control para todos los activos criptográficos con una gestión integrada del cumplimiento. La estrategia debe proteger las claves, los datos y las cargas de trabajo críticas en cualquier lugar en el que se encuentren o al que se dirijan, con un cifrado sólido y una gestión de claves centralizada. Debe aplicar las políticas de seguridad y ajustarse a las pistas de auditoría para la elaboración de informes y la corrección. La automatización de la seguridad y el cumplimiento de las normas es fundamental para establecer la coherencia y reducir los errores humanos.
Aunque hay muchos aspectos a tener en cuenta para proporcionar una seguridad integral en múltiples nubes, deben evitarse las soluciones puntuales que solo abordan requisitos específicos, ya que su despliegue introducirá complejidades y retos de gestión adicionales. Un modelo de gestión centralizada con almacenamiento descentralizado reducirá los riesgos e impulsará el cumplimiento de la normativa.
Beneficios de una estrategia multinube
Una estrategia multinube ofrecerá a las organizaciones una serie de beneficios:
- Flexibilidad: Las organizaciones pueden mantener la flexibilidad, lo que les permite escalar y flexibilizar entre nubes
- Resiliencia: Los proveedores de servicios en la nube son extremadamente resistentes y tienen esquemas de redundancia y recuperación de desastres bien diseñados en múltiples regiones. Sin embargo, si una carga de trabajo que reside en un CSP se ve comprometida o se desconecta, con la multinube tiene una alternativa. ¿Por qué poner todos los huevos en la misma cesta?
- Elección: Permite que los impulsores del negocio de una organización informen la selección del mejor CSP para el trabajo. Con un único CSP está atado a su cartera de productos, rendimiento, latencia, condiciones comerciales y modus operandi.
- Controlar: Posibilidad de elegir soluciones multinube independientes, como los HSM como servicio, que no están vinculados a un CSP específico. Esto proporciona el máximo control de sus servicios criptográficos y la libertad de integrarse con cualquier CSP que elija.
Mejores prácticas de seguridad multinube
En última instancia, la seguridad multinube se reduce a la planificación, la política coherente, la gestión unificada, la visibilidad y la automatización. La aplicación de estas mejores prácticas garantizará que su solución:
- Proteger las claves, los datos y las cargas de trabajo sensibles
- Validar la autenticidad e integridad del código
- Proteger contra los errores de configuración involuntarios o deliberados
- Proporcionar una raíz de confianza para la generación y gestión del ciclo de vida de las claves
- Gestionar los privilegios de los usuarios finales y los contenedores
- Garantizar el cumplimiento de las normas de seguridad
Simplifique la gestión de las cargas de trabajo cifradas en los entornos híbridos y multinube, el ciclo de vida de las claves de cifrado debe ser automatizado, incluyendo su creación, almacenamiento, copia de seguridad, distribución, rotación y revocación. En la medida de lo posible, las organizaciones deberían aprovechar un enfoque de bring your own key (BYOK) para generar, gestionar y utilizar sus propias claves de cifrado en todos los proveedores de servicios en la nube. Las soluciones de gestión de claves deben aislar siempre las claves de los datos cifrados para reducir el riesgo y garantizar el cumplimiento de la normativa. Los módulos de seguridad de hardware (HSM) proporcionan una raíz de confianza para la generación, protección y gestión del ciclo de vida de las claves de cifrado.
Para reunir todo esto en un marco unificado que garantice una postura de seguridad y un cumplimiento adecuados, es esencial contar con controles centralizados de autenticación, autorización y auditoría. Con estas medidas, las organizaciones podrán reducir el riesgo y los gastos operativos. Siguiendo estas mejores prácticas de seguridad y cumplimiento, el viaje hacia un entorno híbrido y multinube puede hacerse de forma segura.