seguridad en la nube

Y, aunque la conclusión es que el mercado piensa que los servicios en la nube están cumpliendo las expectativas estratégicas y de servicio y que los problemas serán superados, no es menos cierto que se identifican ciertas preocupaciones:

• Que la computación en la nube sea considerada un aspecto técnico (una nueva versión del típico outsourcing) y que, como está pasando, sus riesgos sean analizados como riesgos tecnológicos más que como riesgos de negocio, puesto que este tratamiento limitará el potencial la nube.
• Las dificultades existentes para especificar los riesgos técnicos y de negocio en los contratos.
• La longevidad del proveedor
• La comprensión de las responsabilidades del propietario de datos y del custodio
• Los aspectos legales
• El lock-in en los contratos
• La disposición de estrategias de salida en caso de querer volver a un tratamiento in house o ir a otro proveedor
• Las regulaciones gubernamentales porque sigan una evolución muy diferente al mercado
• Y, en definitiva, que los usuarios necesitan confiar en los servicios por lo que los mecanismos de garantía y de transparencia deben mejorar

Frente a esto, los participantes en el estudio también han identificado los aspectos que están siendo adecuadamente contemplados por la computación en la nube:

• La disponibilidad
• La continuidad del negocio
• La recuperación en caso de desastres
• El rendimiento del servicio
• Los cortes en el servicio
• La resolución de problemas

Finalmente, destacar que los factores que inciden en la toma de decisiones son, por orden de importancia:

1. Los facilitadores de negocio (principalmente, fiabilidad y disponibilidad)
2. Las consideraciones financieras (especialmente, la reducción de costes)
3. La reducción de la huella en el medio

Como se puede ver, un estudio que nos ayuda a entender la situación actual, que dibuja un futuro esperanzados para la computación en la nube y que nos ayuda a identificar los retos para los próximos años… veremos si somos capaces de superarlos…

Fuente: Inteco

10/10/2012, por Antonio Ramos García

Una encuesta realizada entre más de 1.200 funcionarios de gobierno y ejecutivos de 10 países reiteró que el almacenamiento de la información en la nube es lo que detiene la migración hacia ese tipo de servicios

El 47% de los participantes de una encuesta realizada por KPMG mostró que la seguridad es el desafío más significativo al que se enfrentarán empresas y gobiernos al momento de migrar los servicios y los procesos a las plataformas de cloud computing.

Las inquietudes en torno a la seguridad fueron particularmente importantes entre las principales entidades gubernamentales, donde el 56% de los encuestados mencionó estar preocupado por este tema.

Sin embargo, casi el 80% de todos los encuestados mencionó que su confianza en los servicios de cloud computing aumentaría si un organismo gubernamental los certificara.

“Las entidades gubernamentales, por lo general, tienen acceso a información extremadamente confidencial y, por lo tanto, son objetivo habitual de los crackers”, advirtió John Herhalt, presidente Global de Gobierno e Infraestructura de KPMG.

“Los líderes del área de TI del sector público necesitarán asegurarse de que sus proveedores de servicios de cloud computing pueden brindar protocolos de seguridad y protección sólidos antes de migrar los servicios e información clave a estas plataformas”, mencionó Herhalt.
“Al prestar los servicios mediante una plataforma de cloud computing, los gobiernos comprueban cada vez más que pueden mejorar la manera en que los ciudadanos acceden a la información y –a la vez–lograr una experiencia más transparente y receptiva en la interacción con las áreas clave del sector público,” afirmó Herhalt.

“Sin embargo, garantizar la seguridad de la información será fundamental, particularmente, en relación con la información personal de los ciudadanos y la información gubernamental crítica”, finalizó.

Privados, al frente
Los resultados de la encuesta se resumen en el informe Análisis de los servicios de cloud computing: un estudio global de la adopción de estos servicios por parte del sector público.

Creer que la nube es una extensión de tu ordenador personal puede ser una falsa ilusión, sobre todo cuando los archivos que uno deja en un servicio de almacenamiento no son tan privados como uno pensaba. Hoy nos enteramos que eso le pasó a varios usuarios de SkyDrive, que vieron cancelada su cuenta sin previo aviso de un día a otro porque Microsoft consideró que los archivos que alojaban violaban los términos de uso del servicio.

En enero de 2012, un fotógrafo alemán que tenía 4 fotografías de desnudos parciales en una carpeta no compartida y que él pensaba que nadie veía, encontró su cuenta cancelada por parte de Microsoft. El asunto causó bastante revuelo en la prensa, y se habló de la función de guardado automático de las fotos que uno toma con el móvil pero también del hecho de que Microsoft estuviera monitorizando archivos supuestamente privados.

En mayo, un usuario holandés, que había subido 12 GB de contenido a su cuenta en SkyDrive, vio cerrado su acceso a su cuenta de Windows Live, lo que significaba que tampoco podía acceder a su correo en Hotmail, o a Xbox Live. La única explicación que le dio Microsoft fue que habían encontrado una carpeta en su SkyDrive con contenido que no estaba aprobado por el código de conducta de Microsoft SkyDrive. También esta carpeta era privada y no estaba compartida con nadie más.

Este usuario terminó creando una nueva cuenta, perdiendo la anterior, lo que tenía guardado e incluso las aplicaciones que había comprado.

¿Por qué sucede esto? Microsoft se reserva el derecho a suspender una cuenta por cualquier razón, y de hecho monitorea lo que los usuarios suben a SkyDrive, aunque sean cuentas privadas. Por esto no deberíamos ser tan ligeros al considerar a la nube, por lo menos en este caso, como una extensión de nuestro ordenador. Hace poco hablábamos de Cubby, y no está de más tener los términos de servicio en cuenta como uno de elementos a considerar en el momento de elegir uno u otro servicio de almacenamiento en la nube.

Algunos usos prohibidos que define el código de conducta famoso de Microsoft SkyDrive son los siguientes:

Subir, publicar, transmitir, transferir, distribuir o facilitar la distribución de ningún contenido (incluyendo texto, imágenes, sonido, video, datos, información o software) o usar el servicio en alguna forma que:

• muestre desnudez de cualquier tipo, total, parcial o desnudez en formas no humanas como cómics, arte o manga.
• incite o exprese pornografía, obscenidad, vulgaridad, odio, blasfemia, intolerancia, racismo o violencia gratuita.
• tergiverse la fuente de todo lo que publique o cargue, incluyendo la suplantación de otro individuo o entidad.
• ofrezca o cree vínculos a sitios externos que infrinjan este Código de Conducta.
• incluya contenido protegido por leyes de propiedad intelectual, derechos de privacidad o publicidad, o cualquier otra ley aplicable, a menos que usted posea o controle dichos derechos o haya recibido todos los consentimientos necesarios.
• tenga intención de dañar o explotar a menores de cualquier manera.
• esté diseñado para solicitar o recopilar información de identificación personal de cualquier menor de edad (menores de 18 años de edad), incluyendo pero no limitado a: nombre, dirección de correo electrónico, dirección postal, número de teléfono o el nombre de su escuela.
• invada la privacidad de nadie, tratando de recopilar, almacenar o publicar información privada o personal, como contraseñas, información de cuentas, números de tarjetas de crédito, direcciones u otra información de contacto sin su conocimiento y consentimiento voluntario.
• sea ilegal o que viole las leyes locales y nacionales, incluyendo pero no limitado a la pornografía infantil, bestialidad, incesto, drogas ilegales, la piratería de software, y el acoso.
• amenace, acose, difame, estafe, degrade o intimide a una persona o grupo de personas por cualquier razón, incluyendo por causas de su edad, género, discapacidad, etnia, orientación sexual, raza o religión, o incite o promueva a otras personas a hacerlo.
• dañe o perturbe, o tenga la intención de dañar o alterar, equipo de otro usuario o que permita que usted u otras personas puedan acceder ilegalmente al software o eludir la seguridad en los sitios Web o servidores, incluyendo pero no limitado a enviar spam.
• intente suplantar a un empleado de Microsoft, agente, director, conductor, administrador, moderador, otro usuario o cualquier otra persona a través de cualquier medio.
• promueva o facilite la compra y venta de municiones o de armas de fuego.
• contenga “correo basura”, “spam”, “cartas en cadena”, “esquemas piramidales”, “marketing de afiliación” o publicidad comercial no solicitada.
• tergiverse el contenido que publique o cargue o contenga el mismo o similar contenido que ya ha publicado.
• intente manipular los servicios, incluidos rankings y los sistemas de reputación en los servicios, violando cualquiera de las disposiciones de este Código de Conducta, en connivencia con otras personas en la votación o el uso de múltiples perfiles.
• se ofrezca para hacer transferencias internacionales de dinero por montos que excedan el precio de venta de un artículo, con la intención de solicitar un reembolso de cualquier porción del pago.
• contenga publicidad de planes de hacer dinero, tarjetas de descuento, asesoría de crédito, encuestas o concursos online.

El estudio se ha basado en siete servicios a los que se puede acceder mediante un cliente instalado en el ordenador del usuario. Estos servicios son CloudMe, CrashPlan, Dropbox, Mozy, TeamDrive, Ubuntu One y Wuala.

En el informe se realizó una comparativa en cuanto a funcionalidades y servicios de los distintos proveedores de almacenamiento como son: copias, copias de seguridad, sincronización y compartición de ficheros.

La parte más importante del mismo, se refiere a aspectos de seguridad como registro en el servicio, inicio de sesión, cifrado, y compartición de ficheros. En algunos de ellos se han encontrado vulnerabilidades, explicadas en el informe.

También hay una parte del informe donde se explican algunos conceptos legales referidos a diferencia entre la legislación americana (Patriot Act) y la europea, exponiendo que la protección de datos en Estados Unidos es distinta y más débil que en Europa, por lo que los servicios alojados en Europa son más fuertes en ese aspecto.

También se señala que están elaborando otro informe en el que se incluirán servicios como Amazon S3, cuyo funcionamiento es diferente a los analizados en este informe.

• Acceso al documento «Study: On the Security of Cloud Storage Services»

Fuente: Inteco

La externalización como concepto no es algo nuevo, desde hace tiempo las empresas externalizan departamentos, áreas, infraestructuras e incluso personas, pero con la llegada de la computación en la nube, la externalización va un paso más allá, permitiendo a la empresas y organizaciones disponer de todo tipo de aplicaciones y productos que pueden ser contratados como un servicio.

La computación en la nube abre interesantes posibilidades para las empresas y organizaciones, pero en especial para las pymes, ya que los servicios en la nube poseen características muy atractivas para las pequeñas y medianas empresas: reducido coste, rápido despliegue e implantación, y una contratación muy flexible, que permite disponer de distintos planes y modalidades.

Las ventajas parecen evidentes, pero un modelo tecnológico basado en la externalización también plantea riesgos y uno de los aspectos que más preocupa a los expertos en seguridad es el hecho de que este nuevo modelo supone poner en manos de terceras personas una parte de la información que tradicionalmente se encontraba dentro de la organización. Este problema no es nuevo y desde luego no es exclusivo del Cloud Computing. En cualquier caso, las ventajas que ofrece son muy valoradas por las empresas y las organizaciones, lo que está provocando una rápida adopción de este nuevo modelo tecnológico.

Las tecnologías Cloud también han llegado a la industria de seguridad TIC, aunque la externalización como concepto en las soluciones de seguridad no es nueva, de hecho, desde hace tiempo existe un concepto denominado Seguridad Gestionada (Managed Security) que consiste básicamente en externalizar las infraestructuras, servicios y operaciones de seguridad de las organizaciones para centralizarlas en lo que se conoce como SOC (Security Operation Center) o Centro de Operaciones de Seguridad.

Los SOC son básicamente centros de proceso de datos (CPD), pero a diferencia de estos, los SOC, son centros a través de los cuales se examina, filtra y bloquea el tráfico de red con el objetivo de eliminar todo tipo de amenazas, como el malware, el spam o ataques de denegación de servicio. Los SOC pueden proteger a decenas o cientos de empresas y organizaciones al mismo tiempo. Si los comparamos con los proveedores de servicios de internet, las compañías que ofrecen este tipo de servicios, son proveedores de servicios de seguridad.

Gracias a las tecnologías Cloud, la industria de seguridad TIC ha comenzado a ofrecer interesantes soluciones de seguridad basadas en estas tecnologías, pero también es cierto que en la mayoría de los casos, se trata de evoluciones de soluciones de seguridad que ya existían y que ahora se aprovechan de estas tecnologías. Tal es el caso de los servicios de copias de seguridad on-line, disponibles desde hace años, aunque no con la oferta y posibilidades que podemos encontrar en la actualidad.

Otro ejemplo son las soluciones para protección contra código malicioso (anti-malware), en las cuales encontramos fabricantes que ofrecen este tipo de aplicaciones basadas en “la nube” o que aprovechan estas tecnologías para mejorar sus soluciones, facilitando su despliegue e implantación o ayudándose de estas tecnologías para el desarrollo de sistemas de detección de amenazas más evolucionados. En realidad, los tipos de soluciones de seguridad que aprovechan la tecnología Cloud actualmente son relativamente pocos, concentrándose la mayoría de ellas en servicios de respaldo y recuperación ante desastres.

Los servicios Cloud poseen una característica que ayuda a las empresas a mejorar su seguridad y es la propia externalización. Aparentemente, ceder el control de los datos a una empresa externa o utilizar aplicaciones en la nube en vez de aplicaciones tradicionales instaladas en el puesto de trabajo, entraña riesgos, puesto que básicamente perdemos el control de una parte de los recursos y activos de la organización, pero también es cierto, que para muchas empresas lo ideal sería poder dedicar todos sus esfuerzos a la actividad que genera negocio y les reporta beneficio, dejando que otros se ocupen del resto, de aquellas tareas en las cuales no son expertos o no disponen de recursos para poder llevarlas a cabo de forma adecuada.

Si tomamos como ejemplo las empresas de gran tamaño o que cuentan con distintos departamentos o áreas, estas suelen externalizar parte de sus actividades de gestión o de infraestructura, pero su tamaño y capacidad es tal, que pueden contar con su propio personal, por ejemplo, para soporte informático, gestión de recursos humanos, administración, etc. En cambio en las pymes, micro-pymes o los autónomos, el panorama es bien distinto. Sus recursos suelen ser muy limitados, no disponen de personal y no tienen tiempo para dedicarlo a la seguridad o al mantenimiento de infraestructuras. La externalización forma parte de su modelo de negocio.

Los servicios de Cloud encajan muy bien con las pymes, que buscan soluciones de bajo coste, fáciles de desplegar e implantar y de cuya gestión se encargan otras empresas, aportando un servicio especializado, que de otra forma no sería posible. En este sentido, no es descabellado pronosticar que en los próximos años los servicios Cloud serán ampliamente aceptados por las empresas y organizaciones y en especial, por las pymes.

Desde INTECO-CERT, queremos hacer hincapié en la necesidad de ser conscientes de los riesgos que implican los servicios en el Cloud. Es fundamental que los proveedores de servicios Cloud puedan ofrecer garantías a sus clientes. Por otro lado, es fundamental que las empresas interesadas en este tipo de servicios, sopesen adecuadamente las distintas opciones y opten siempre por proveedores que ofrezcan garantías.

Fuente: Inteco