Revista TrendTIC Ed. N°9

CLOUD
CLOUD
El verdadero
problema de la
infraestructura
cloud...
Durante más de 20 años gestionando
departamentos técnicos he convivido
con el mayor aliado y el mayor enemigo:
“la infraestructura tecnológica”.
Nuestro trabajo se concibe sobre una
infraestructura de servidores, routers,
balanceadores de carga, firewalls, sistemas
de almacenamiento distribuido,
repositorios de configuraciones, sistemas
de monitorización, backup, etc...,
necesarios para dar servicio a nuestras
organizaciones.
Muchos conocéis el lado oscuro. Reinicios,
problemas de hardware, falta
de rendimiento, semanas para adquirir
equipos nuevos, tiempos de instalación,
la guerra interna para que
te aprueben el presupuesto para un
sistema de seguridad “decente”, presión
en tiempos por parte de las unidades
de negocio, falta de definición
de esas áreas... Por ejemplo: Me encanta
cuando el director de marketing
dice: “necesito lanzar un servicio para
un número indeterminado de clientes,
durante un tiempo indefinido y que
esté funcionando en 3 días”. Aguantas
sin parpadear esperando que tu interlocutor
te diga “Tranquilo!! Estoy bromeando!”,
pero tras 20 segundos de
incómodo silencio, ves que no bromea
y pones cara de póker. O mi preferida:
La llamada siempre oportuna,:
“no quiero molestarte hoy sábado a
José Antonio Arribas
COO
GIGAS
las 2:00 AM pero la web no responde”!.
Esta es la realidad de los departamentos
de IT.
La tecnología es fundamental para
el funcionamiento de las empresas,
independientemente de su core business.
Los técnicos necesitamos entender
que esa “caja negra” que gestionamos
a diario y que permite que
nuestra empresa opere con normalidad,
tiene un único objetivo: proporcionar
de forma ágil y eficiente las
herramientas necesarias para que las
organizaciones saquen el máximo provecho
de ellas.
El cloud hosting nace en plena desconexión
entre las montañas de tareas
de las áreas técnicas y las demandas
de las áreas de negocio. No es una
tecnología revolucionaria, sino que la
combinación de conceptos (virtualización
& hosting) y algunos añadidos
(outsourcing, gestión en tiempo real,
pago por uso) es lo que le convierten
en herramienta fundamental para nosotros.
Tradicionalmente los responsables de
IT teníamos que tener infraestructura
sobredimensionada (y muchas veces
sin amortizar), para evitar que la web
responda más lenta, la base de datos
no soporte el tráfico, los clientes se
quejen y la tensión llame a la puerta
del dpto. de IT. Presupuesto para más
recursos, ofertas, firma, envío, instalación...,
2 ó 3 semanas donde no
quieres abrir esa puerta. Y no olvidemos
la costumbre de los elementos
mecánicos de estropearse. Muere el
disco, un kernel panic, y de nuevo la
pregunta: “Es urgente ¿a qué hora
estará solucionado?”
Las áreas de IT no siempre tienen el
protagonismo que merecen. Éste se
consigue haciendo de la infraestructura
una herramienta orientada a apoyar
el negocio. A mi juicio, este es
un cambio de paradigma en el uso y
la gestión de infraestructura. Como
co-fundador y COO de Gigas, referente
de cloud hosting a nivel mundial,
he visto la transformación que nuestros
servicios supone a las empresas.
El cloud hosting permite a las áreas de
IT contratar recursos en tiempo real,
ajustar su tamaño, mejorar la eficiencia
económica con el pago por uso, externalizar
la parte menos interesante
de la infraestructura y mantener total
independencia a la hora de gestionarla
e inclinar aún más la tecnología hacia
el lado del negocio.
Por eso, siendo muy pragmático, encuentro
la respuesta a mi pregunta: el
verdadero problema de la infraestructura
cloud es que no hubiera existido
antes!
11 Medidas
que TI debe
implementar
al adoptar
servicios
Cloud
La habilitación empresarial y la facilidad
de colaboración son algunos de
los tantos beneficios que ofrecen las
aplicaciones de nube; no obstante, la
adopción de estos servicios suele ser
un arma de doble filo. Si bien estos
servicios permiten a los empleados
compartir contenido en forma legítima,
también facilitan el uso compartido
excesivo e involuntario de contenido
o el uso compartido de contenido
con las personas equivocadas. Además,
las aplicaciones de nube introducen
un nuevo vector de amenazas,
dada la gran cantidad de credenciales
que circulan y proveen acceso directo
a los datos fundamentales de la empresa.
Este nuevo vector de amenazas
debe controlarse cuidadosamente.
Planificación de los servicios de
confianza
Los proveedores de servicios de nube
de confianza como Box, Dropbox, Office
365 y Salesforce adhieren a un modelo
de responsabilidad compartida
en materia de seguridad, en el que el
proveedor se compromete a entregar
una infraestructura segura que evite
el acceso a la cuenta sin las credenciales
de acceso a la cuenta autorizadas.
Fundamentalmente proporcionan el
equivalente de las defensas de seguridad
tradicionales, como la prevención
de intrusiones y el control del acceso
tan pronto como habilita el servicio:
una seguridad que comúnmente es
mucho más robusta que cualquier solución
que pudiera crear usted mismo.
No obstante, usted será el responsable
de evitar el uso indebido accidental
o malicioso de las cuentas de usuarios
de su empresa y de proteger los
archivos almacenados y compartidos
contra la filtración de datos. Incluso
los servicios de nube de confianza no
proporcionan funciones de seguridad
para estos fines. Además, lo que agrava
el problema es que el comportamiento
de los usuarios es mucho más
difícil de supervisar y controlar que el
malware común.
Planificación de las aplicaciones que
no son de confianza
Para las miles de aplicaciones que no
son seguras ni de confianza, que ni siquiera
garantizan la seguridad de sus
infraestructuras, las vulnerabilidades
de seguridad básicas como la ausencia
de autenticación de factores múltiples
(MFA) representan un riesgo extremo
para los usuarios y los datos. Por supuesto
que existe una solución sencilla:
simplemente evitar que los empleados
utilicen dichos servicios poco
seguros, en especial debido a que hay
servicios alternativos con mejor seguridad
que proveen la misma funcionalidad.
El secreto es, en primer lugar,
identificar las aplicaciones poco seguras,
bloquearlas y reemplazarlas por
servicios similares seguros.
Administración del factor humano
Ya sea que hablemos de aplicaciones
seguras o poco seguras, los empleados
son el eslabón más débil, debido a
que, sin saberlo, pueden divulgar credenciales
de cuentas a los hackers a
través de ataques de spear phishing,
accidentalmente compartir en exceso
documentos confidenciales con personas
no autorizadas, o robar o dañar
datos intencionalmente cuando renuncian
a la empresa. Y son estos tipos
de actividades las que no se prestan
para las soluciones de seguridad tradicionales.
En cambio, requieren herramientas
mucho más sofisticadas,
como agentes de seguridad de acceso
a la nube (CASB), que aprovechan la
ciencia de datos y el análisis de comportamiento
para comprender de qué
manera se accede a los datos y se
comparten, y quiénes lo hacen, a fin
de crear políticas de uso fundamentales
para proteger a sus usuarios, aplicaciones
y datos en la nube. A continuación,
le presentamos once medidas
que puede implementar para eliminar
los riesgos que plantean sus aplicaciones
y empleados antes de adoptar la
nube; o bien, antes de seguir avanzando,
debido a que probablemente
sus empleados ya hayan adoptado algunas
aplicaciones y servicios de nube
sin la supervisión de TI.
Medida n.º 1: Identifique y evalúe
todas las aplicaciones de nube aprobadas
y no aprobadas en su red extendida.
Medida n.º 2: Defina su estrategia de
gobernabilidad de la nube.
Medida n.º 3: Extienda el control de
políticas de extremo a extremo a las
aplicaciones de nube.
Medida n.º 4: Conozca y controle el
contenido confidencial que sus empleados
comparten.
Medida n.º 5: Cumpla con las leyes
de residencia de los datos de todo el
mundo.
Medida n.º 6: Implemente DLP para
la nube a fin de minimizar el riesgo de
filtración de datos.
Medida n.º 7: Supervise todo el tráfico
de nube de cada usuario, dispositivo
y ubicación.
Medida n.º 8: Otorgue protección
contra el acceso malicioso a sus cuentas
de nube con análisis del comportamiento
de los usuarios.
Medida n.º 9: Implemente la Protección
contra amenazas avanzadas para
resguardarse de las amenazas dirigidas
a su contenido de nube.
Medida n.º 10: Mantenga actualizados
a los ejecutivos en forma mensual
con respecto a las tendencias de la actividad
y la cuenta en nube.
Medida n.º 11: Proporcione un análisis
detallado posterior a incidentes antes
de que ocurra o cuando ocurra una
infracción de seguridad de los datos o
las cuentas.
24 25
Nov. - Dic. 2016 Nov. - Dic. 2016